Contacto
A raíz las consultas recibidas por esta Autoridad en relación con el tratamiento de datos personales relacionado con las medidas para hacer frente al Covid-19, esta Autoridad consideró oportuno señalar lo siguiente:
Los artículos 6.1.e) y 9.2.e) del Reglamento (UE) 2016/679 del Parlamento y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (RGPD) habilitan el tratamiento de datos personales, incluidas categorías especiales de datos tales como los datos de salud, por parte de las autoridades en materia de salud pública "cuando el tratamiento es necesario por razones de interés público en el ámbito de la salud pública, como la protección frente a amenazas transfronterizas graves para la salud, o para garantizar niveles elevados de calidad y de seguridad de la asistencia sanitaria y los medicamentos o productos sanitarios, sobre la base del derecho de la Unión o de los estados miembros que establezca medidas adecuadas y específicas para proteger los derechos y las libertades del interesado, en particular el secreto profesional".
A su vez, la disposición adicional decimoséptima de la Ley Orgánica 3/2018, de 5 de diciembre, de protección de datos y garantía de los derechos digitales dispone que: "Están amparados en las letras g), h), i) yj) el artículo 9.2 del Reglamento (UE) 2016/679 los tratamientos de datos relacionados con la salud y de datos genéticos que regulen las leyes siguientes y sus disposiciones de desarrollo: (..) a) la Ley 14/1986, de 25 de abril, General de Sanidad; (...) g) La Ley 33/2011, de 4 de octubre, General de Salud Pública."
La Ley 18/2009, de 22 de octubre, de Salud Pública, crea la Red de Vigilancia de Salud Pública integrada por el conjunto de unidades de vigilancia epidemiológica del Departamento de Salud y entre sus funciones destaca la función de dar "respuesta rápida a emergencias de salud pública y el apoyo a la gestión del sistema de alertas."
En cuanto a la posibilidad de que los ciudadanos puedan comunicar información a las autoridades en materia de salud pública y que estas puedan recoger y tratar, el artículo 9 de la Ley 33/2011, de 4 de octubre, General de Salud Pública establece:
"1. Las personas que conozcan hechos, datos o circunstancias que puedan constituir un riesgo o peligro grave para la salud de la población los deben poner en conocimiento de las autoridades sanitarias, que deben velar por la protección debida a los datos de carácter personal.
2.Lo que dispone el apartado anterior se entiende sin perjuicio de las obligaciones de comunicación e información que las leyes imponen a los profesionales sanitarios."
De acuerdo con el artículo 33 de la misma ley, este deber de comunicación también afecta a los empresarios que, de acuerdo con la legislación sobre prevención de riesgos laborales, tengan conocimiento de alguno de estos datos.
En este sentido, el artículo 33.2.h) prevé, entre otras cuestiones, que la autoridad sanitaria, de manera coordinada con la autoridad laboral, ha de "establecer mecanismos de coordinación en caso de pandemias u otras crisis sanitarias, en especial para llevar a cabo acciones preventivas y de vacunación".
Por otra parte el artículo 58 de la Ley 18/09 establece que "si los titulares de instalaciones, establecimientos, servicios o industrias detectan la existencia de riesgos para la salud derivados de la actividad o de los productos respectivos, informarán inmediatamente a la autoridad sanitaria correspondiente ... "
En especial, hay que tener en cuenta que "Todas las administraciones públicas y los organismos competentes en materia de salud pública, así como todos los centros, servicios y establecimientos sanitarios y los profesionales sanitarios, deben participar, en el ámbito de sus respectivas funciones , en el Sistema de Formación e Investigación en Salud Pública y en el Sistema de Información de Salud Pública. Con este fin, deben comunicar a estos sistemas los datos pertinentes por medio de sus órganos responsables "(art. 10.3 de la Ley 18/09).
Por otra parte, de acuerdo con la Ley Orgánica 3/1986 de medidas especiales en materia de salud pública, las autoridades competentes en materia de salud pública pueden "adoptar medidas de reconocimiento, tratamiento, hospitalización o control cuando se aprecien indicios racionales que permitan suponer la existencia de peligro para la salud de la población debido a la situación sanitaria concreta de una persona o grupo de personas o por las condiciones sanitarias en que se desarrolle una actividad "(art 2) y para controlar enfermedades transmisibles "adoptar las medidas oportunas para el control de los enfermos, de las personas que estén o hayan estado en contacto con los mismos y del entorno inmediato, así como las que se consideren necesarias en caso de riesgo de carácter transmisible." ( art. 3)
En este sentido, de acuerdo con el artículo 55.1.j) de la Ley 18/09, la autoridad sanitaria, mediante los órganos competentes, y para proteger la salud de la población y prevenir la enfermedad puede "adoptar medidas de reconocimiento médico, tratamiento, hospitalización o control si existen indicios racionales de la existencia de peligro para la salud de las personas debido a una circunstancia concreta de una persona o un grupo de personas o por las condiciones en que cumple una actividad. También se pueden adoptar medidas para el control de las personas que estén o hayan estado en contacto con los enfermos o los portadores. Estas medidas deben adoptarse en el marco de la Ley Orgánica 3/1986, de 14 de abril, de medidas especiales en materia de salud pública, y de la Ley del Estado 29/1998, de 13 de julio, reguladora de la jurisdicción contencioso administrativa, y de las disposiciones legales que las modifiquen o deroguen", de acuerdo con lo establecido en la normativa de protección de datos de carácter personal y con los procedimientos que esta normativa y las demás normas aplicables hayan establecido, y disponiendo de las autorizaciones preceptivas.
La realización de estas actuaciones puede conllevar no sólo la recogida de información, incluidos datos de salud, por parte de las autoridades en materia de salud pública sino también la revelación de datos de salud relativos a personas contagiadas o sospechosas de estarlo cuando sea necesario para aplicar dichas medidas de control.
En este sentido, conviene tener en cuenta el procedimiento de actuación establecido por la Agencia de Salud Pública de Cataluña: