NOTA SOBRE LA TOMA DE TEMPERATUA PARA DETEREMINAR EL ACCESO A UN RECINTO CERRADO
La Agencia Española de Protección de Datos se acaba de pronunciar sobre la toma de temperatura de las personas para determinar la posibilidad de que puedan acceder a centros de trabajo. El valor de la temperatura corporal es un dato de salud en sí mismo sino también porque, a partir de él, se asume que una persona padece o no la infección por coronavirus.
Si hay una cámara termográfica apuntando a una multitud de gente, no se está llevando a cabo un tratamiento de datos, pero si la implantación de estas cámaras para controlar el acceso a recintos cerrados sí podría significar un tratamiento de datos que ahora mismo no está regulado.
Una eventual denegación de acceso a un centro laboral estaría desvelando a terceros que no tienen ninguna justificación para conocerlo que la persona afectada tiene una temperatura por encima de lo que se considere no relevante y, sobre todo, que puede haber sido contagiada por el virus. Las consecuencias de una posible denegación de acceso pueden tener un importante impacto para la persona afectada, además las imágenes de una cámara termográfica se pueden asociar con las imágenes que se obtengan con otra tecnología, por ejemplo una cámara de vigilancia. En ese caso, la persona pasa a ser «identificable” y por tanto se debe tener en cuenta la normativa de protección de datos.
En principio sería necesaria una determinación previa que haga el Ministerio de Sanidad, de su necesidad y adecuación para contribuir eficazmente a prevenir la diseminación de la enfermedad regulando los límites y garantías específicos para el tratamiento de los datos personales de los afectados. Actualmente dicho Ministerio no se ha pronunciado. Por tanto se desconoce hasta qué punto estas medidas podrían o no ser sustituidas, con igual eficacia, por otras menos intrusivas porque no existe ninguna evidencia científica disponible.
Ante la ausencia de una disposición de la autoridad sanitaria se corre el riesgo de una aplicación heterogénea por cada entidad que disminuiría en cualquier caso su eficacia y podría dar lugar a discriminaciones injustificadas. En efecto, ¿quién determina científicamente que una temperatura superior a 37,5 y no 38 grados suponga una infección por coronavirus? por poner un ejemplo.
De cualquier modo, a constituir un tratamiento de datos de salud, se debe basar en una causa legitimadora. La Agencia Española de Protección de Datos entiende que no puede ser el consentimiento porque no sería un consentimiento libre porque las personas afectadas no pueden negarse a someterse a la toma de temperatura sin perder, al mismo tiempo, la posibilidad de entrar en la empresa.
Por tanto debemos buscar otra causa legitimadora.
Entiendo que en lo que respecta a los empleados, el tratamiento del dato de salud podría tener su legitimación en el artículo 22 de la Ley 31/1995, de 8 de noviembre, de prevención de Riesgos Laborales que determina:
1. El empresario garantizará a los trabajadores a su servicio la vigilancia periódica de su estado de salud en función de los riesgos inherentes al trabajo.
Esta vigilancia sólo podrá llevarse a cabo cuando el trabajador preste su consentimiento. De este carácter voluntario sólo se exceptuarán, previo informe de los representantes de los trabajadores, los supuestos en los que la realización de los reconocimientos sea imprescindible para evaluar los efectos de las condiciones de trabajo sobre la salud de los trabajadores o para verificar si el estado de salud del trabajador puede constituir un peligro para el mismo, para los demás trabajadores o para otras personas relacionadas con la empresa o cuando así esté establecido en una disposición legal en relación con la protección de riesgos específicos y actividades de especial peligrosidad.
Lógicamente, en cuanto se refiere a vuestros empleados el hecho de padecer la infección por coronavirus puede constituir un peligro para los demás trabajadores o para otras personas relacionadas con la empresa, por tal motivo se puede tratar este dato de salud sin el consentimiento del trabajador. Ahora bien, el acceso a ese dato se limitará al personal médico y a las autoridades sanitarias que lleven a cabo la vigilancia de la salud de los trabajadores, sin que pueda facilitarse al empresario o a otras personas sin consentimiento expreso del trabajador. Eso se debe tener en cuenta.
En cuanto al resto de personas no empleadas: personal externo, proveedores, becario, visitantes y dada la urgencia de la adopción de esta medida y la ausencia de una normativa por la autoridad sanitaria, no tenemos más remedio que buscar la causa legitimadora en el Reglamento General de Protección de Dato que nos marca El considerando (46) del RGPD determina:
El tratamiento de datos personales también debe considerarse lícito cuando sea necesario para proteger un interés esencial para la vida del interesado o la de otra persona física. En principio, los datos personales únicamente deben tratarse sobre la base del interés vital de otra persona física cuando el tratamiento no pueda basarse manifiestamente en una base jurídica diferente. Ciertos tipos de tratamiento pueden responder tanto a motivos importantes de interés público como a los intereses vitales del interesado, como por ejemplo cuando el tratamiento es necesario para fines humanitarios, incluido el control de epidemias y su propagación, o en situaciones de emergencia humanitaria, sobre todo en caso de catástrofes naturales o de origen humano.
En consecuencia, mientras no se pronuncie la autoridad sanitaria se podría tratar estos datos sin el consentimiento del interesado sobre la base de las dos disposiciones legales que se acaban de citar.
Dada la excepcionalidad de la situación y ante la ausencia de personal sanitario para la toma de temperatura de las personas podría sustituirse por personal de seguridad privada que está sujeto a una obligación de secreto profesional —similar a la de los sanitarios— por su propia normativa sectorial. En este caso personal que los emplee debe estar formado en su uso. Aunque se trata de una opinión personal dicha con las máximas reservas puesto que, como he dicho, el colectivo adecuado es el personal sanitario.
En cualquier para cumplir el principio de limitación de la finalidad los datos de temperatura solo pueden obtenerse con la finalidad específica de detectar posibles personas contagiadas y evitar su acceso a un determinado lugar y su contacto dentro de él con otras personas, no pudiendo utilizarse para ninguna otra finalidad.
Para atender al principio de exactitud, los equipos de medición que se empleen deben ser los adecuados para poder registrar con fiabilidad los intervalos de temperatura que se consideren relevantes.
También se debe proceder a la información sobre el tratamiento (en particular si se va a producir una grabación y conservación de la información), u otras para permitir que las personas en que se detecte una temperatura superior a la normal puedan reaccionar ante la decisión de impedirles el acceso al recinto.
Por último en cuanto a los plazos y criterios de conservación de los datos en los casos en que sean registrados. En principio, y dadas las finalidades del tratamiento, este registro y conservación no debieran producirse, salvo que pueda justificarse suficientemente ante la necesidad de hacer frente a eventuales acciones legales derivadas de la decisión de denegación de accesos.