Comunicado da AEPD en relación coa toma de temperatura por parte de comercios, centros de traballo e outros establecementos


O comunicado da Agencia Española de Protección de Datos (AEPD) o que fai é desenvolver unha resposta a unha pregunta frecuente que ten a propia AEPD e que recolle a súa preocupación pola toma de temperatura das persoas para determinar a posibilidade de que poidan acceder ao seu posto de traballo, a un comercio ou a outros establecementos, que se está realizando sen o criterio previo e necesario das autoridades sanitarias. A pregunta e a resposta é a seguinte:

O persoal de seguridade pode tomar a temperatura aos traballadores co fin de detectar casos coronavirus?

Verificar se o estado de saúde das persoas traballadoras pode constituír un perigo para elas mesmas, para o resto do persoal, ou para outras persoas relacionadas coa empresa constitúe unha medida relacionada coa vixilancia da saúde dos traballadores que, conforme á LPRL, resulta obrigatoria para o empregador e debería ser realizada por persoal sanitario.

En todo caso, o tratamento dos datos obtidos a partir das tomas de temperatura debe respectar a normativa de protección de datos e, por iso e entre outras obrigacións, debe obedecer á finalidade específica de conter a propagación do coronavirus, limitarse a esa finalidade e non estenderse a outras distintas, e ser mantidos non máis do tempo necesario para a finalidade para a que se solicitan.

Conclusión: Nou se esixe que en todo caso e en exclusiva sexa só e máis nada que persoal sanitario quen pode tomar a temperatura aos traballadores co fin de detectar casos de coronavirus. O que si se esixe en todo caso é que se respecten os principios de protección de datos, e especialmente o de finalidade (só conter a propagación do coronavirus e non outras distintas) e conservar os datos non máis do tempo necesario para tal finalidade. Non existe unha prohibición absoluta a que persoal distinto ao sanitario leve a cabo o tratamento dos devanditos datos, a condición de que devandito persoal non sanitario estea suxeito a un deber de confidencialidade e a un deber de secreto.

Puntos básicos a ter en conta:

1. A aplicación destas medidas e o correspondente tratamento de datos requiriría (pero non é obrigatorio) a determinación previa que faga a autoridade sanitaria competente, que nestes momentos é o Ministerio de Sanidade, da súa necesidade e adecuación ao obxectivo de contribuír eficazmente a previr a diseminación da enfermidade nos ámbitos nos que se apliquen, regulando os límites e garantías específicos para o tratamento dos datos persoais dos afectados

2 Como todo tratamento de datos, a recollida de datos de temperatura debe rexerse polos principios establecidos no Regulamento xeral de protección de datos (RGPD) e, entre eles, o principio de legalidade. Este tratamento debe basearse nunha causa lexitimadora das previstas na lexislación de protección de datos para as categorías especiais de datos (artigos 6.1 e 9.2 do RGPD). Neste caso (a recollida de datos de temperatura do persoal traballador ou dos clientes ou usuarios) a base xurídica para un tratamento lícito de datos persoais está no cumprimento dunha obrigación legal: os empregadores teñen a obriga legal, en virtude da normativa de prevención de riscos laborais, de protexer a saúde dos seus traballadores e manter o lugar de traballo libre de riscos sanitarios. O artigo 14 da LPRL e concordantes da devandita lei establece un deber do empresario de protección dos traballadores fronte aos riscos laborais, para o que o empresario deberá garantir a seguridade e saúde de todos os traballadores ao seu servizo nos aspectos relacionados co traballo.

3 O tratamento dos datos de recollida de temperatura, en canto afecta a datos relativos á saúde das persoas, deberá seguir realizándose con plena observancia da normativa, así como aplicando os principios que se recollen no RGPD, en particular o de tratar os datos persoais con licitude, lealdade e transparencia, e cos principios de:

- limitación da finalidade: neste caso, salvagardar os intereses das persoas ante esta situación de pandemia, detectando posibles persoas contaxiadas e evitar o seu acceso a un determinado lugar e o seu contacto dentro del con outras persoas.

- exactitude: os equipos de medición que se empreguen deben ser os adecuados para poder rexistrar con fiabilidade os intervalos de temperatura que se consideren relevantes. Esta adecuación debese establecerse utilizando só equipos homologados para estes fins e con criterios que teñan en conta eses niveis de sensibilidade e precisión. O persoal que os empregue debe reunir os requisitos legalmente establecidos e estar formado no seu uso.

- minimización de datos: os datos tratados terán que ser exclusivamente os limitados e necesarios para a finalidade pretendida sen que se poida estender en ningún caso para outros fins distintos. Isto último é especialmente aplicable nos casos en que a toma de temperatura se realice utilizando dispositivos (como, por exemplo, cámaras térmicas) que ofrezan a posibilidade de gravar e conservar os datos ou tratar información adicional, en particular, información biométrica.

4 A normativa de protección de datos persoais, en tanto que dirixida a salvagardar un dereito fundamental, aplícase na súa integridade á situación actual, dado que non existe razón algunha que determine a suspensión de dereitos fundamentais, nin a dita medida foi adoptada. Nese sentido, deben considerarse, entre outras, medidas relativas á información aos traballadores, clientes ou usuarios sobre estes tratamentos (en particular se se vai a producir unha gravación e conservación da información), ou outras para permitir que as persoas en que se detecte unha temperatura superior á normal poidan reaccionar ante a decisión de impedirlles o acceso a un recinto determinado
(por exemplo, xustificando que a súa temperatura elevada obedece a outras razóns). Para iso, o persoal deberá estar cualificado para poder valorar esas razóns adicionais ou debe establecerse un procedemento para que a reclamación poida dirixirse a unha persoa que poida atendela e, no seu caso, permitir o acceso.

É igualmente importante establecer os prazos e criterios de conservación dos datos nos casos en que sexan rexistrados. En principio, e dadas as finalidades do tratamento, este rexistro e conservación non deben producirse, salvo que poida xustificarse suficientemente ante a necesidade de facer fronte a eventuais accións legais derivadas da decisión de denegación de accesos.

No caso das cámaras térmicas, na medida en que poden ofrecer posibilidades  adicionais á toma de temperatura, deben ser utilizadas prestando especial atención aos principios de limitación de finalidade e minimización de datos establecidos polo artigo 5.1 RGPD.