El tratamiento de datos personales y otras consideraciones normativas derivadas de COVID-19

Tratamiento de datos personales por otras Autoridades de Control Europeas

Autoridad de control italiana, nuevas medidas provenientes del protocolo firmado con el Gobierno y los sindicatos:

https://www.cisl.it/attachments/article/15466/Protocollo.pdf

• La temperatura corporal solo se mide en tiempo real, y no se registra a menos que sea necesario para documentar que un empleado no fue permitido en las instalaciones debido a que su temperatura es superior a 37.5 °.
• Los empleados reciben un aviso de privacidad apropiado, que debe especificar, entre otras cosas, que: (i) el propósito del procesamiento es limitar el contagio de COVID-19; (ii) la base legal para el tratamiento es el cumplimiento de las medidas contra el contagio adoptadas por el Gobierno italiano; y (iii) los datos posiblemente puedan conservarse durante el estado de emergencia. Tal aviso también se puede proporcionar oralmente.
• Adoptan medidas de seguridad apropiadas e identifican y proporcionan instrucciones adecuadas al personal a cargo del tratamiento.
• Los datos que recopilan se tratan exclusivamente con el fin de limitar la propagación del virus y no se comunican a terceros que no sean las autoridades públicas competentes u otras entidades autorizadas.
• La información sobre las personas infectadas por COVID-19 o que experimentan sus síntomas se trata de forma confidencial. Esto también se aplica a la información proporcionada por el empleado sobre si se ha visitado un «área de riesgo» o ha estado en contacto con personas infectadas.

Il Garante (autoridad de control italiana: 

https://www.garanteprivacy.it/web/guest/home/docweb/-/docweb-display/docweb/9282117

• Los empleadores deben abstenerse de recopilar de manera sistemática y generalizada, también a través de solicitudes específicas al trabajador individual o investigaciones no autorizadas, información sobre la presencia de cualquier síntoma de gripe del trabajador y sus contactos más cercanos.
• Los trabajadores de la salud y el sistema de protección civil son responsables de determinar y recopilar información relacionada con los síntomas típicos del coronavirus e información sobre los movimientos recientes de cada individuo.
• Si durante la actividad laboral, el empleado que realiza tareas en contacto con el público (por ejemplo, servicios de mostrador) y se está en contacto con un caso sospechoso de Coronavirus, él mismo, también a través del empleador, comunicará la circunstancia a los servicios de salud competentes y cumplirá con las indicaciones de prevención proporcionadas por los trabajadores de salud consultados.

Autoridad de control belga: 

https://www.autoriteprotectiondonnees.be/covid-19-et-traitement-de-donn%C3%A9es-%C3%A0-caract%C3%A8re-personnel-sur-le-lieu-de-travail

• Teniendo en cuenta la información más reciente emitida por las autoridades de salud pública, las empresas y los empleadores no pueden basarse en el Artículo 6.1 d) RGPD («tratamiento necesario para salvaguardar los intereses vitales del interesado u otra persona física»). Las empresas no deben evaluar los riesgos para la salud de los empleados. Esa tarea pertenece a los médicos ocupacionales, es decir, un médico especializado en la salud.
• Se debe informar a los empleados y visitantes sobre los fines para los que se procesan sus datos y el período durante el cual se conservarán sus datos personales.
• No se pueden realizar verificaciones generalizadas y sistemáticas de los empleados (p. Ej., Temperaturas). Los controles serán realizados por el médico del trabajo. No se puede exigir a un empleado que complete un formulario sobre la situación de salud de ese empleado o sus viajes recientes.

Autoridad de control húngara: 

https://www.naih.hu/files/NAIH_2020_2586_EN.pdf

• La recopilación y el tratamiento de datos personales solo pueden considerarse necesarios si el propósito no puede lograrse por otros medios. La recopilación, el tratamiento y el almacenamiento de los datos deben ser proporcionales. El responsable debe proporcionar al interesado la información requerida en virtud del artículo 13 del RGPD.
• Los empleadores deben asegurarse de proporcionar un entorno de trabajo seguro, que incluye la planificación y el funcionamiento de los procedimientos de protección de datos. Este plan debe constar de un plan de continuidad comercial, proporcionar información detallada sobre el coronavirus, se deben cancelar o posponer los viajes de negocios y eventos e informar cualquier contacto sospechoso con el coronavirus.
• Los proveedores de atención médica y los profesionales médicos deben seguir las normas de protección de datos que les sean aplicables, incluidas las obligaciones establecidas en el Artículo 6.1 c) y el Artículo 9.2 RGPD.
• Los empleados deben cooperar y, de acuerdo con los principios de buena fe e integridad, informar a sus empleadores si tienen conocimiento de cualquier riesgo de infección que pueda afectar su lugar de trabajo, sus colegas o terceros.
• La guía señala que es un delito no seguir la legislación relativa a la propagación de enfermedades infecciosas, y quienes infectan a otros a propósito pueden ser declarados culpables de causar daños corporales graves o daños corporales graves que causan la muerte.
• La guía señala que es un delito no seguir la legislación relativa a la propagación de enfermedades infecciosas, y quienes infectan a otros a propósito pueden ser declarados culpables de causar daños corporales graves o daños corporales graves que causan la muerte.

Declaración del Presidente del EDPB:

 https://edpb.europa.eu/news/news/2020/statement-edpb-chair-processing-personal-data-context-covid-19-outbreak_en

• Las reglas de protección de datos (como RGPD) no obstaculizan las medidas tomadas en la lucha contra la pandemia de coronavirus. Sin embargo, me gustaría subrayar que, incluso en estos momentos excepcionales, el responsable de datos debe garantizar la protección de los datos personales de los interesados.
• Se permite que los empleadores y las autoridades competentes de salud pública procesen datos personales en el contexto de epidemias, sin la necesidad de obtener el consentimiento del interesado.
• Se establece el principio de que los datos de ubicación solo pueden ser utilizados por el operador cuando se hacen anónimos, o con el consentimiento de las personas. Esto podría permitir generar informes sobre la concentración de dispositivos móviles en una determinada ubicación («geolocalización»).
• Si no es posible procesar solo datos anónimos, el art. 15 de la Directiva sobre privacidad electrónica permite a los Estados miembros introducir medidas legislativas que persiguen la seguridad nacional y la seguridad pública. Esta legislación de emergencia es posible bajo la condición de que constituya una medida necesaria, apropiada y proporcionada.

Autoridad de control noruega: 

https://www.datatilsynet.no/aktuelt/aktuelle-nyheter-2020/koronasmitte-og-personvern/

• La información sobre si alguien está infectado por COVID-19 califica como datos de salud;
• La información sobre si un individuo ha regresado de un «área de riesgo» no califica como datos de salud;
• La información sobre si un individuo ha sido puesto en cuarentena (sin mencionar la razón específica) es de hecho dato personal, pero no califica como dato de salud.
• El empleador puede revelar dentro de su organización que un empleado ha sido infectado por el virus o puesto en cuarentena, si esto es necesario para garantizar un ambiente de trabajo seguro y se realiza de acuerdo con el «sentido común».

Autoridad de control irlandesa: 

https://dataprotection.ie/en/news-media/blogs/data-protection-and-covid-19

• Cuando las organizaciones actúan bajo la guía o instrucciones de las autoridades públicas competentes, es probable que el tratamiento de datos relevante se considere legal sobre la base de que es «necesario por razones de interés público en el área de salud pública” según el Artículo 9.2 RGPD.
• Se deben implementar medidas de seguridad como limitaciones en el acceso a los datos, límites de tiempo estrictos para el borrado y otras medidas, como la capacitación adecuada del personal para proteger los derechos de protección de datos de las personas.
• Las empresas pueden utilizar la base el Artículo 9.2 b) RGPD para tratar los datos personales de sus empleados, ya que los empleadores tienen la obligación legal de proteger a sus empleados bajo laLey irlandesa de seguridad, salud y bienestar en el trabajo de 2005. Sin embargo, los empleadores deben basarse en esta base legal solo cuando se considere necesario y proporcionado para hacerlo, y deben asegurarse de que cualquier información sea tratada de manera confidencial.

CNIL: 

https://www.cnil.fr/fr/coronavirus-covid-19-les-rappels-de-la-cnil-sur-la-collecte-de-donnees-personnelles

• El empleador es responsable de la salud y seguridad de los empleados / agentes de acuerdo con el Código Laboral y los textos que rigen el servicio público(particularmente el artículo L. 4121-1 del Código Laboral).
• Un empleador puede registrar la fecha e identidad de la persona sospechosa de haber sido expuesta y las medidas organizativas tomadas (encierro, teletrabajo, orientación y contacto con el médico del trabajo, etc.).
• Los datos de salud pueden ser recopilados por autoridades sanitarias, calificadas para tomar las medidas apropiadas a la situación. La evaluación y recopilación de información relacionada con los síntomas del coronavirus y la información sobre los movimientos recientes de ciertas personas es responsabilidad de estas autoridades públicas.

ICO: 

https://ico.org.uk/coronavirus

• Las leyes de protección de datos y comunicación electrónica no impiden que el Gobierno, el NHS o cualquier otro profesional de la salud envíe mensajes de salud pública a las personas, ya sea por teléfono, mensaje de texto o correo electrónico, ya que estos mensajes no son marketing directo.
• Los organismos públicos pueden requerir la recopilación y el intercambio adicional de datos personales para proteger contra amenazas graves a la salud pública.
• Se debe mantener informado al personal sobre los casos en su organización. Sin nombrar individuos y sin proporcionar más información de la necesaria. Existe la obligación de garantizar la salud y la seguridad de los empleados.
• Es razonable pedir a las personas que le digan si han visitado un país en particular o si están experimentando síntomas de COVID-19.

Autoridad de control croata: 

https://azop.hr/aktualno/detaljnije/obrada-osobnih-podataka-o-zdravlju-u-kontekstu-izvanredne-situacije-izazvanhttps://azop.hr/aktualno/detaljnije/obrada-osobnih-podataka-o-zdravlju-u-kontekstu-izvanredne-situacije-izazvan

• El tratamiento de datos tiene que fundamentarse en una de las bases legitimadoras establecidas en el art.6 del RGPD y, en caso del tratamiento de datos de saludo, en las excepciones establecidas en el art.9.2. del RGPD
• Tanto la ley local de trabajo como la de protección de riesgos laborales establecen la obligación para el empresario de implementar las medidas necesarias para la seguridad y salud de los trabajadores
• La agencia indica que las bases legitimadoras del tratamiento en el actual contexto del brote del coronavirus son el cumplimiento de obligaciones legales y la protección de intereses vitales (art.6.1.c y d del RGPD) y, en lo que respecta a los datos de salud en el entorno laboral, el art.9.2. b), es decir, el tratamiento necesario para el cumplimiento de obligaciones y el ejercicio de derechos específicos del responsable del tratamiento o del interesado en el ámbito del Derecho laboral y de la seguridad y protección social
• Por ultimo, la agencia indica que el tratamiento ha de ser necesario y proporcional y siempre sujeto al principio de minimización de datos