Comunicado de la Agencia Española de Protección de Datos ¿Es posible tomar la temperatura para permitir el acceso a comercios, centros de trabajo y otros establecimientos?
La protección de datos en la toma de temperatura por COVID-19: Equilibrio entre seguridad sanitaria y derechos individuales
Sentencia del Consulta Vinculante (AEAT, SS) del 30/04/2020 en materia de VIDEOVIGILANCIA Y CONTROL EMPRESARIAL
Resumen
La toma de temperatura corporal constituye un tratamiento de datos personales sensibles, ya que revela información sobre la salud. Esto puede afectar los derechos de los individuos si se deniega el acceso a ciertos lugares, divulgando implícitamente su estado de salud. La AEPD señala que esta medida debe ser proporcional y regulada por normativa específica.
Supuesto de hecho
- La toma de temperatura supone un tratamiento de datos personales sensibles porque afecta a datos relativos a la salud de las personas, ya que el valor de la temperatura corporal es un dato de salud en sí mismo y, a partir de él, se asume que una persona padece, o no, una concreta enfermedad (en este caso, la infección por coronavirus).
- Esto puede afectar gravemente a los derechos de los afectados ya que, si el interesado tiene fiebre y se le deniega el acceso a un centro educativo, laboral o comercial, se estaría desvelando a terceros su temperatura corporal y que puede haber sido contagiado por el virus.
- Por ello, resulta necesario que el Ministerio de Sanidad defina los criterios para la aplicación de estas medidas, tanto en lo relativo a su utilidad, como a su proporcionalidad, a través de un soporte normativo que regule los límites y garantías específicos para proteger los derechos y libertades de los interesados.
- Al respecto, la AEPD recuerda que la fiebre no siempre es uno de los síntomas indicativos de esta enfermedad, ya que no se presenta en las primeras etapas del virus ni en pacientes asintomáticos, sin contar con que también puede haber personas que presenten elevadas temperaturas por causas ajenas al coronavirus.
- En este contexto, la AEPD realiza algunos matices sobre el amparo legal que podría tener esta situación.
Consideraciones jurídicas
- En primer lugar, la recogida de datos de temperatura, como todo tratamiento de datos, debe regirse por los principios establecidos en el Reglamento General de Protección de Datos (RGPD), debiendo basarse en una causa legitimadora de las previstas en la legislación de protección de datos para las categorías especiales de datos.
- En el entorno laboral, esa base jurídica podría encontrarse en la obligación que tienen los empleadores de garantizar la seguridad y salud de las personas trabajadoras en materia de prevención de riesgos laborales, incluso en aquellos establecimientos en los que se concentren un elevado número de clientes o usuarios ajenos a la empresa que los gestiona.
- En otros ámbitos, en cambio, el consentimiento de los interesados no puede servir como base jurídica porque éste no sería libre, ya que las personas afectadas no pueden negarse a la toma de temperatura sin perder, al mismo tiempo, la posibilidad de acceder a un determinado recinto.
- Aun así, será necesario una adecuada ponderación entre el impacto sobre los derechos de los clientes o usuarios de estas medidas y el impacto en el nivel de protección de las personas empleadas, atendiendo a los criterios establecidos por las autoridades sanitarias y al mayor o menor riesgo que se pueda producir en cada caso concreto o con la posibilidad de aplicar medidas alternativas de protección para el personal.
- En cualquier caso, estas medidas deberán respetar los principios de limitación de la finalidad y exactitud recogidos en el RGPD, lo que implica que los datos de temperatura solo podrán obtenerse con la finalidad específica de detectar posibles personas contagiadas y evitar su acceso a un determinado lugar, mediante equipos de medición adecuados que permitan registrar con fiabilidad los intervalos de temperatura que se consideren relevantes.
- También se deberán mantener los derechos de los afectados y las garantías que el RGPD establece, por lo que se deberá informar del tratamiento de sus datos para permitir que puedan reaccionar cuando se les impida el acceso a un recinto determinado (por ejemplo, justificando que su temperatura elevada obedece a otras razones).
- Además de establecer los plazos y criterios de conservación de los datos que, atendiendo las finalidades del tratamiento, no se deberán conservar salvo que sea necesario para hacer frente a eventuales acciones legales derivadas de la decisión de denegación de accesos.
- En cuanto al uso de nuevas tecnologías para la toma de temperatura, como las cámaras térmicas, estas deberán ser utilizadas prestando especial atención a los principios de limitación de finalidad y minimización de datos en la medida en que pueden ofrecer información adicional no vinculada a la toma de temperatura.
Conclusión Lexa
La Agencia Española de Protección de Datos insta al Ministerio de Sanidad a fijar los criterios a seguir para la correcta toma de temperatura corporal de las personas para que puedan acceder a los establecimientos abiertos al público y centros de trabajo como medida preventiva frente a nuevos contagios de COVID-19 y advierte que la recogida de esos datos debe regirse, como cualquier dato de carácter personal, de acorde a los límites y garantías establecidos en el Reglamento General de Protección de Datos al ser datos que afectan a la salud de las personas.