La pandemia del coronavirus SARS-CoV-2 (COVID-19) ha supuesto un shock sanitario, social y económico a nivel mundial. El rápido contagio y el peligro para la vida de las personas ha propiciado que la actividad productiva haya tenido que ser paralizada, con el consiguiente confinamiento de la población en diferentes partes del mundo.
Con todo, tras la aparición de este virus a finales de 2019, y tras varios meses de expansión y adopción de medidas extraordinarias por los distintos países, una relativa contención del virus ha permitido el inicio de procesos de descalada en varios territorios.
Estos procesos de desescalada han sido posibles por un mayor conocimiento del virus, tanto en sus síntomas, como en sus causas. Por ello, teniendo en cuenta que alguno de los síntomas más comunes es la aparición de fiebre (aumento de la temperatura), y de que su rápida expansión se debe al fácil contagio por exposición pública, y al largo periodo de incubación (unos 14 días), se está empezando a generalizar la toma de temperatura para el acceso a infraestructuras, tanto laborales como comerciales. Y no sólo eso, sino que muchas empresas ya han empezado a encargar túneles de detección y desinfección. Medidas que, no debemos olvidar, pueden chocar contra los derechos fundamentales de las personas, tanto en lo que se refiere a la intimidad y a la integridad física, como a lo que datos personales sobre la salud se refiere.
La medición de temperatura, ¿un dato personal de la salud?
En primer lugar hemos de reparar sobre qué se entiende por datos personales y de la salud.
El artículo 4 del Reglamento General de Protección de Datos 2016/679 (“RGPD”) apartados 1) y 15) definen:
«1) «datos personales»: toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona;
[…]
15) «datos relativos a la salud»: datos personales relativos a la salud física o mental de una persona física, incluida la prestación de servicios de atención sanitaria, que revelen información sobre su estado de salud; […]»
Por su parte, el artículo 9.1 del RGPD blinda esta categoría de datos al considerarlos como especialmente sensibles:
«1. Quedan prohibidos el tratamiento de datos personales que revelen el origen étnico o racial, las opiniones políticas, las convicciones religiosas o filosóficas, o la afiliación sindical, y el tratamiento de datos genéticos, datos biométricos dirigidos a identificar de manera unívoca a una persona física, datos relativos a la salud o datos relativos a la vida sexual o las orientación sexuales de una persona física.«
De este modo, volviendo a la pregunta inicial, la medición de temperatura, ¿un dato personal de la salud?. Sí y no. Así de compleja es la respuesta. Ya que, si bien la toma de temperatura corporal a una persona identificada es un dato de salud, el uso de medidores individuales o cámaras termográficas sin grabación de imagen ni automatización podrían quedar excluidos de esta normativa. Todo dependerá del caso concreto, y de la situación laboral o comercial en donde se implanten este tipo de dispositivos (normativa extensiva a situaciones en las que se haga uso de tecnologías de control de presión sanguínea, reconocimiento facial para acceso a oficinas…).
¿Cuál es la base de legitimación de estos tratamientos?
La Agencia Española de Protección de Datos (AEPD) ha emitido un comunicado , en el que descarta el consentimiento (por no ser libre) y el interés público corporativo, como bases de legitimación para la toma de temperatura. No obstante, sí que permite la posibilidad de obligación legal del artículo 6.1. c) del RGPD.
En caso de que exista una obligación legal, pueden entrar en juego las excepciones a los tratamientos de datos de salud contenidas en el artículo 9.2 letras b) y h) del RGPD:
«[…] b) el tratamiento es necesario para el cumplimiento de obligaciones y el ejercicio de derechos específicos del responsable del tratamiento o del interesado en el ámbito del Derecho laboral y de la seguridad y protección social, en la medida en que así lo autorice el Derecho de la Unión de los Estados miembros o un convenio colectivo con arreglo al Derecho de los Estados miembros que establezca garantías adecuadas del respeto de los derechos fundamentales y de los intereses del interesado;
[…]
h) el tratamiento es necesario para fines de medicina preventiva o laboral, evaluación de la capacidad laboral del trabajador, diagnóstico médico, prestación de asistencia o tratamiento de tipo sanitario o social, o gestión de los sistemas y servicios de asistencia sanitaria y social, sobre la base del Derecho de la Unión o de los Estados miembros o en virtud de un contrato con un profesional sanitario y sin perjuicio de las condiciones y garantías contempladas en el apartado 3; […]»
Por lo de pronto, el Gobierno de España aún no ha prescrito la toma de temperatura entre las medidas previstas para el proceso de desescalada (Orden SND/388/2020, de 3 de mayo, por la que se establecen las condiciones para la apertura al público de determinados comercios y servicios, y otros).
Toma de temperatura en el ÁMBITO LABORAL
Dentro del ámbito laboral, y sin perjuicio de una posible habilitación legal, este tipo de medidas pueden ser formuladas dentro de la evaluación de riesgo de la prevención de riesgos laborales de la empresa (véase el procedimiento de actuación para los servicios de prevención de riesgos laborales frente a la exposición al Sars-Cov-2 (COVID-19). No obstante, la medición de temperatura no debe dejar de ser una medida complementaria a los protocolos de actuación, en su caso, establecidos. Proporcionalidad.
De esta manera, y a la espera de directrices más detalladas por parte de la AEPD, y de disposiciones legales por parte del Ministerio de Sanidad, el tipo de dispositivo utilizado para medir la temperatura (además del resto de tecnologías que pueden ser usadas, tanto para el acceso, como para el control sanitario dentro del ámbito laboral) influirá en el tipo de tratamiento que pueden realizarse con esos datos.
En todo caso, al entrar en juego la normativa de protección de datos en estas prácticas, y por el tipo de datos tratados, debe plantearse una evaluación de impacto y cumplirse, inexcusablemente, con los principios del artículo 5 del RGPD:
- Transparencia (informar a los trabajadores; documentalmente, y mediante carteles).
- Limitación de la finalidad (uso exclusivo para controlar el acceso en lo que respecta a la protección en el trabajo, con la activación de protocolo en caso de positivo por coronavirus).
- Minimización del tratamiento (sólo se recabarán los datos necesarios para alcanzar la finalidad de salud en el trabajo, y no se llevará, en principio, un almacenamiento general de esos datos).
- Exactitud de los datos (uso de sistemas homologados y por personal cualificado).
- Confidencialidad
- Responsabilidad proactiva (verificación organizativa del cumplimiento de lo anterior).
Toma de temperatura en el ÁMBITO COMERCIAL
Fuera del ámbito estrictamente laboral; esto es, cuando este tipo de acciones se lleven a cabo a clientes y/o usuarios, habrá de tenerse en cuenta que, no sólo la protección de la salud pública, sino la prevención en lo que respecta a la obligación legal de garantía de seguridad y salud de los trabajadores.
Para medir la temperatura pueden utilizarse todo tipo de sistemas, desde termómetros de infrarrojos (se apunta a la frente o la pupila), hasta cámaras térmicas móviles o fijas. Aquí hay que lidiar con que sólo se capte el dato de temperatura, y que no se establezca ningún tipo de registro que pueda identificar a los afectados más allá de esta medición in situ. Además, habrá que definir el procedimiento público a seguir en caso de que un cliente sobrepase la temperatura recomendada, ya que se podrían vulnerar sus derechos si no se gestiona la situación adecuadamente.
*********************************************
LEGISLACIÓN VIGENTE
Normas para la desecalada:
Normas en sanitarias / prevención riesgos laborales:
– LPRL (Ley 31/1995, de 8 de noviembre, de prevención de Riesgos Laborales).
Normas en protección de datos:
– RGPD [Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (Reglamento general de protección de datos)].
– LOPDGDD (Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y Garantía de los Derechos Digitales).
