Con la obligatoriedad de cumplimiento del Reglamento General de Protección de Datos (en adelante, RGPD), y el posterior desarrollo y publicación de la normativa nacional en la materia (Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos y Garantía de los Derechos digitales, en adelante, LOPDGDD), la Protección de datos había causado gran impacto en todas las empresas y, bajo mi punto de vista, éste había sido mayor en los centros educativos.
No habían transcurrido siquiera dos años, trabajando para adecuar cada centro a las nuevas exigencias de esta normativa, cuando tenemos que enfrentar la complejidad de la situación en la que nos encontramos inmersos, compartiendo la incertidumbre con respecto al escenario al que nos vamos a enfrentar en las próximas semanas con un nuevo curso escolar ya iniciado.
Esta vuelta al cole sin precedentes genera grandes dudas e incertidumbre tanto para las familias, centros educativos y profesionales que trabajan en ellos, como también para los profesionales en la materia, dudas sobre las que voy a intentar aportar algo de luz para que, pese a las dificultades que nos encontramos cada día, podamos dar cumplimiento a los protocolos y decálogos de contingencia sin perder de vista la Protección de Datos.
Tratamiento de datos de salud
Lo primero que debemos tener en cuenta es, que en una situación excepcional como la actual, la protección de datos no puede utilizarse para obstaculizar o limitar la efectividad de las medidas que adopten las autoridades, especialmente las sanitarias, en la lucha contra la pandemia. Por ello, y atendiendo a esta situación excepcional, debe considerarse lícito el tratamiento de datos personales sin consentimiento del interesado en situaciones de interés público, en el ámbito de la salud pública y, en el cumplimiento de obligaciones legales en el ámbito laboral derivado de dichas situaciones.
A partir del Informe jurídico que publicó La Agencia Española de Protección de Datos (en adelante, AEPD) sobre el tratamiento de datos personales en relación con la situación derivada de la extensión del virus COVID-19, podemos resolver las que considero preguntas más frecuentes que se han planteado en estos últimos meses:
- ¿Está permitido el tratamiento de los datos de salud de las personas contagiadas por el virus COVID-19 por parte de la entidad empleadora?
Sí, la entidad podrá realizar el tratamiento de datos personales, de conformidad con la normativa vigente en materia de protección de datos y salud pública, si fuera necesario para proteger el interés vital y salud de las personas y para la adopción de las medidas oportunas por parte de las autoridades competentes. Esto incluye garantizar la salud del resto de trabajadores de la entidad, así como de otras personas físicas que pudieran verse afectados.
- ¿Se puede compartir esa información entre el personal de la entidad?
Sí, se puede compartir la información de un trabajador/a contagiado con el virus COVID-19 siempre que se mantenga la privacidad de la persona física en cuestión, salvo requerimiento expreso de la autoridad sanitaria competente.
- Si se ha confirmado el contagio de un trabajador o este se encuentra en cuarentena ¿tiene el trabajador/a la obligación de informar de dicha situación a la entidad empleadora?
Sí, todo trabajador/a está obligado a informar a la entidad empleadora de su estado de salud y a comunicar lo antes posible la situación de cuarentena o de asistencia médica relacionada con la enfermedad y, en su caso, al delegado de prevención de riesgos laborales.
Reincorporación y Enseñanza presencial
Lo siguiente que debemos tener en cuenta para poder hacer efectiva la reincorporación del personal, así como de los alumnos y familias a los centros educativos, son los Protocolos de actuación y medidas que cada Comunidad ha establecido, además de las ya conocidas medidas 3M: Mascarilla, Metros de distanciamiento social, y Manos limpias gracias a un lavado frecuente.
- Toma de temperatura y datos de salud de los trabajadores
Una de las medidas de contención más valoradas a este respecto es, la toma de temperatura en el acceso al centro. Así, la AEPD, ya se pronunció a este respecto indicando que sería la Ley 31/1995, de 8 de noviembre, de prevención de riesgos laborales la que legitimaría al responsable del tratamiento, para garantizar la salud de los trabajadores y evitar los contagios en el seno de la entidad a realizar esta toma de temperatura. No obstante, como centro, debemos optar por llevar a cabo esta medida de la manera menos invasiva para la privacidad de los trabajadores. Así, la opción óptima desde el punto de vista de protección de datos será optar por no registrar la información que podamos obtener.
Debemos recordar que los datos personales de salud son aspectos sensibles y reveladores de la vida privada del trabajador que, en principio, no deben ser conocidos por la entidad porque pueden generar cierta discriminación. Es por esta razón por la que esta categoría de datos está sujeta a un régimen de protección de datos especialmente aplicado (art. 9.1 y 9.2 del RGPD) de los cuales se deduce que el empleador no debe saber ni puede recoger o registrar datos de salud del trabajador.
Es cierto que la situación excepcional que estamos viviendo justificó cambios en el contexto del desempeño laboral y la relación entre entidad-trabajador. Sin embargo, la necesidad de prevenir el contagio por el nuevo virus no justifica la adopción de todas y cada una de las medidas por parte del empleador. Solo es legítimo si se lleva a cabo directa y exclusivamente por el profesional de medicina del trabajo (PRL), con miras a adoptar los procedimientos adecuados para salvaguardar la salud de ellos mismos.
Por tanto, los empleadores deben limitarse a actuar de acuerdo con las pautas de la autoridad nacional competente en salud para la prevención del contagio por el nuevo coronavirus en el contexto laboral, absteniéndose de adoptar iniciativas que implican la recopilación de datos de salud de sus trabajadores si no existe base legal o no ha sido ordenado por las autoridades.
- Toma de temperatura de los alumnos
La toma de temperatura a los alumnos es una medida que se está llevando a cabo en la mayoría de los centros educativos, pues en la Declaración de actuaciones coordinadas en Salud Pública frente al COVID-19 para los centros educativos aprobada el pasado 27 de agosto, ya se preveía esta cuestión y, posteriormente, las Comunidades Autónomas la recogen como una de las medidas a adoptar en sus protocolos de actuación para la contención del virus Covid-19. Ahora bien, en lo que a Protección de Datos se refiere, ¿qué implicaciones tiene?
Hace unas semanas, el Supervisor Europeo de Protección de Datos (en adelante SEPD) publicó una serie de recomendaciones para la utilización de este mecanismo, aportando luz sobre algunas de las cuestiones que nos planteábamos acerca de esta medida: la principal, los supuestos en los que la toma de temperatura pudiera suponer un tratamiento de datos personales, y por ende, debieran estar sujetos a la aplicación del RGPD.
Toma de temperatura SIN tratamiento de datos personales
Son todos aquellos supuestos en los que medimos la temperatura corporal de una persona de manera manual, y sin llevar a cabo un registro o documentación posterior que permita vincular el dato recabado con el interesado.
Ejemplo de ello sería la toma de temperatura con termómetros analógicos o digitales, siempre y cuando se tome la temperatura sin hacer un registro del dato en ningún sitio.
Toma de temperatura CON tratamiento de datos personales
Son todos aquellos supuestos en los que medimos la temperatura corporal de una persona, ya sea de manera manual o haciendo uso de otros dispositivos digitales, que permitan hacer identificable al interesado con acciones tales como recopilación y registro de la temperatura asociada a una persona concreta.
Hemos de tener en cuenta, además, que la temperatura es un dato especialmente protegido, puesto que puede revelar información sobre el estado de salud de una persona. Por ello, el SEPD en su informe, aporta una serie de recomendaciones a tener en cuenta a la hora de utilizar mecanismos para llevar a cabo de la toma de temperatura que impliquen algún tipo de tratamiento de datos personales, entre las que destacó las siguientes:
- En el supuesto de utilizar mecanismos tales como Cámaras termográficas, debemos tener en cuenta que su sistema debe operar de manera independiente, no pudiendo estar conectado a otros sistemas como pueden ser las cámaras de videovigilancia.
- Tampoco es recomendable que éste pueda estar vinculado a un sistema de verificación de identidad, puesto que implicaría asociar el dato de temperatura a una persona.
- Por ello, la identificación debe llevarse a cabo en tiempo real, por las personas estrictamente necesarias, y que se comprometan a guardar la confidencialidad de la información a la que pudieran tener acceso en el desarrollo de la actividad que les ha sido encomendada.
- Se recomienda, además, no grabar o registrar la lectura de temperatura que se efectúe a través de sistemas como el de las cámaras termográficas.
- Cabe recordar, los Principios de minimización y de limitación de la finalidad de los datos, siendo legitimo el uso de estas herramientas única y exclusivamente para detectar posibles personas contagiadas y evitar el acceso al centro.
- Por último, y no menos importante, como en cualquier tratamiento de datos hemos de informar debidamente a través de carteles (Ej.: Carteles de videovigilancia), de que existe un control de temperatura, la finalidad de dicha medida, así como de la posibilidad de recibir información más detallada.
Enseñanza telemática
El otro escenario al que podemos enfrentarnos es el que ya hemos experimentado durante el pasado curso escolar: la enseñanza telemática. En el mes de Mayo la AEPD se pronunció sobre la enseñanza a distancia desde la perspectiva de la Protección de Datos, y los puntos a destacar son los siguientes:
- Se considera que la enseñanza y evaluación a distancia por medios telemáticos entra dentro de las funciones que le corresponden al profesorado en el cumplimiento de un servicio de interés público. Ésta sería la base legitimadora, y no necesita consentimiento expreso, ni por parte del alumnado, ni de sus familias.
Por tanto, se puede combinar la enseñanza presencial con la telemática, por ejemplo, emitiendo en directo a través de cámaras instaladas en las aulas la clase correspondiente impartida por el profesor a los alumnos que se encuentran en el Modo Presencial, y pudiendo ser visualizada desde casa por aquellos alumnos que se encuentran en Modo Telemático.
- Respecto de las grabaciones de los exámenes, así como de las clases:
Pueden conllevar la revelación de datos personales a partir del entorno que se capte con la cámara. Además, no se hace habitualmente en los exámenes orales y adicionalmente tiene una gran importancia la evaluación continua, por lo que no se considera proporcional.
Ahora bien, la grabación de las clases por parte del profesorado debe valorarse en función de la finalidad. Si ésta fuera la posibilidad de visualización posterior por parte de otro alumno, podría entenderse que entra dentro de las funciones que le corresponden al profesorado en el cumplimiento de un servicio de interés público. Ésta sería la base legitimadora, y tampoco necesita consentimiento expreso.
En cualquier caso, siempre debe darse la posibilidad al alumno de apagar su cámara y, es recomendable que se haga fuera del entorno privado del alumno, utilizando estancias y fondos neutros, que puedan producir el mínimo impacto en la privacidad del mismo.
Sin embargo, la grabación de las clases por parte del alumnado no se considera correcta sin consentimiento por parte del profesor y de las familias del resto de alumnos.
- Con respecto a las herramientas que se utilicen tanto para la impartición de la docencia telemática como para la realización de exámenes:
- Deben ser determinadas por la titularidad del centro (no por cada profesor, y sin hacer uso de correos electrónicos personales, Whatsapp, o similares).
- La AEPD entiende que las plataformas que usan los centros docentes han sido analizadas previamente desde el punto de vista de la Protección de Datos.
No obstante, es recomendable revisar que los centros tienen firmado un contrato de prestación de servicios y, que éste incluye una adenda en materia de Protección de Datos adecuado a la normativa vigente.
- En cualquier caso, es importante que los centros fijen instrucciones concretas para el profesorado respecto a su utilización, así como adoptar las máximas garantías e informar debidamente a las familias, aunque no se requiera de consentimiento expreso.
Finalmente y, antes de poner punto final a este artículo, pese a la dificultad de la situación y cierta demora en las directrices que debíamos seguir en cuanto a varios aspectos de los que he intentado abordar, queda claro que la Protección de Datos no puede obstaculizar en ningún caso la labor de aquéllos que velan por intereses primordiales como el público y vital de las personas.
