Una de las medidas más controvertidas que se están intentando adoptar en diferentes Comunidades Autónomas, bajo el pretexto de garantizar la salud como consecuencia de la pandemia de Covid-19, es la solicitud del certificado Covid de vacunación (certificado Covid Digital de la UE) para acceder a establecimientos hosteleros y locales de ocio.
La petición de dicho certificado no es una cuestión baladí desde la óptica de la normativa de protección de datos.
Recordemos que el Reglamento General de Protección de Datos (RGPD) exige para todo tratamiento de datos la aplicación de, al menos, una de las bases legitimadoras recogidas en su artículo 6.1. Dichas bases legitimadoras son las siguientes:
- Consentimiento.
- Ejecución de un contrato en el que el interesado es parte o aplicación a petición de este de medidas precontractuales.
- Cumplimiento de una obligación legal aplicable al responsable del tratamiento.
- Protección de intereses vitales del interesado o de otra persona física.
- Cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento.
- Satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero.
En su informe jurídico 0017/2020, la Agencia Española de Protección de Datos (AEPD) ya dejaba claro que las consideraciones relacionadas con la protección de datos, dentro de los límites previstos por las leyes, no deberían utilizarse para obstaculizar o limitar la efectividad de las medidas que adopten las autoridades, especialmente las sanitarias, en la lucha contra la epidemia. El propio Considerando (46) del RGPD ya reconoce que, en situaciones excepcionales, como una epidemia, la base jurídica de los tratamientos puede ser múltiple, basada tanto en el interés público, como en el interés vital del interesado u otra persona física. Por lo tanto, como base jurídica para un tratamiento lícito de datos personales, como regla general, el RGPD reconoce explícitamente las dos citadas: misión realizada en interés público (art. 6.1.e) o intereses vitales del interesado u otras personas físicas (art. 6.1.d).
Ahora bien, debemos tener en cuenta que los datos que vienen reflejados en el certificado de vacunación se consideran datos de salud y, por tanto, una categoría especial de datos de las que recoge el artículo 9 del RGPD. Al tratarse de una categoría especial, para el tratamiento de datos de salud no basta con que exista una base jurídica del art. 6 del RGPD, sino que de manera complementaria, de acuerdo con el art. 9.1 y 9.2 RGPD, exista una circunstancia que levante la prohibición de tratamiento de dicha categoría especial de datos.
Las letras g) e i) del artículo 9.2 del RPGD prevén excepciones que podrían resultar de aplicación al presente supuesto. En concreto, ambas hacen referencia a un interés público, el primero de ellos calificado de “esencial” y el segundo de ellos que hace referencia a un interés público calificado “en el ámbito de la salud pública, como la protección frente a amenazas transfronterizas graves para la salud”, todo ello sobre la base del Derecho de la Unión o de los Estados Miembros que establezca medidas adecuadas y específicas para proteger los derechos y libertades del interesado, en particular el secreto profesional.
Cuando la norma se refiere a “todo ello sobre la base del Derecho de la Unión o de los Estados Miembros” se está refiriendo a que debe existir una norma con rango de Ley que regule este tratamiento.
Por lo tanto, es necesario que exista una Ley que habilite el tratamiento de los datos de salud (certificado covid de vacunación) para que la solicitud del mismo a la entrada de los locales de ocio y hostelería sea conforme con la normativa de protección de datos. Además, esta normativa debe regular de manera adecuada y específica el tratamiento de dicha información.
En virtud de lo anterior, ¿existe alguna norma con rango de Ley que habilite el tratamiento indicado?
Desde mi punto de vista, no. Recordemos que el reglamento europeo que regula el pasaporte Covid (Reglamento (UE) 2021/953 del Parlamento Europeo y del Consejo de 14 de junio de 2021 relativo a un marco para la expedición, verificación y aceptación de certificados COVID-19 interoperables de vacunación, de prueba diagnóstica y de recuperación (certificado COVID digital de la UE) a fin de facilitar la libre circulación durante la pandemia de COVID-19) limita su finalidad a facilitar el ejercicio del derecho a la libre circulación dentro de la Unión. En concreto, el artículo 10 determina lo siguiente: “A efectos del presente Reglamento, los datos personales contenidos en los certificados expedidos de conformidad con el presente Reglamento serán tratados únicamente con el fin de acceder a la información incluida en el certificado y verificarla, con el fin de facilitar el ejercicio del derecho a la libre circulación dentro de la Unión durante la pandemia de COVID-19. No se producirá ningún tratamiento ulterior una vez finalizado el período de aplicación del presente Reglamento.
Es cierto que el considerando 48 del referido reglamento prevé que los Estados miembros traten la información del certificado Covid con otros fines, pero siempre y cuando se cumplan ciertos requisitos: “Los Estados miembros pueden tratar datos personales con otros fines si la base jurídica para su tratamiento con otros fines, incluidos los plazos de conservación correspondientes, está establecida en el Derecho nacional, que debe cumplir con el Derecho de la Unión en materia de protección de datos y los principios de eficacia, necesidad y proporcionalidad, y debe incluir disposiciones específicas que determinen claramente el ámbito de aplicación y el alcance del tratamiento, la finalidad específica de que se trate, las categorías de entidades que puedan verificar el certificado, así como las salvaguardias pertinentes para evitar la discriminación y el abuso, teniendo en cuenta los riesgos para los derechos y las libertades de los interesados. Cuando el certificado se utilice con fines no médicos, los datos personales a los que se acceda durante el proceso de verificación no deben conservarse, según lo dispuesto en el presente Reglamento”.
Por lo tanto, no podría tratarse el certificado de vacunación para otros fines, como restringir la entrada a los locales a aquellas personas que no lo presenten, salvo que, como digo, se regule este tratamiento mediante una norma con rango de Ley, debiendo especificar de manera concreta, las entidades que pueden tratarlo, qué salvaguardas deben aplicarse, alcance del tratamiento, finalidades, etc. En aquellas comunidades donde se ha empezado a adoptar esta medida los tribunales la han ido paralizando como medida cautelar (Tribunales Superiores de Justicia de Andalucía, Canarias, Cantabria y Galicia).
La propia AEPD ha solicitado a varias Comunidades Autónomas información sobre el uso del certificado de vacunación para acceder a establecimientos con el fin de comprobar la licitud del tratamiento de datos personales. No debemos olvidar que deben priorizarse otras medidas que puedan resultar menos invasivas evitando efectos discriminatorios, partiendo del hecho de que la vacunación no es obligatoria y que hay colectivos que no puedan recibir la vacuna por razones médicas.
¿Y qué dicen las autoridades europeas de protección de datos al respecto?
El Dictamen conjunto 4/2021 del CEPD-SEPD (Comité Europeo de Protección de Datos y Supervisor Europeo de Protección de Datos) sobre la propuesta de Reglamento del Parlamento Europeo y del Consejo relativo a un marco para la expedición, verificación y aceptación de certificados interoperables de vacunación, de test y de recuperación para facilitar la libre circulación durante la pandemia de COVID-19 (certificado verde digital) establece lo siguiente:
“No obstante, el CEPD y el SEPD consideran que, si los Estados miembros aún tratan de aplicar el certificado verde digital sobre la base de su legislación nacional para cualquier otro uso posible que no sea el objetivo previsto de facilitar la libre circulación entre ellos, esto podría tener consecuencias no deseadas y riesgos para los derechos fundamentales de los ciudadanos de la UE. De hecho, ya se ha sugerido la ampliación de la aplicación del certificado verde digital a otras situaciones para aliviar las restricciones actualmente vigentes y los Estados miembros podrían plantearse introducirlo como requisito de facto, por ejemplo, para entrar en tiendas, restaurantes, clubes, lugares de culto o gimnasios, o para utilizarlo en cualquier otro contexto, como el laboral. Cualquier uso de esta índole del certificado y su marco asociado conforme a una base jurídica nacional no debe traducirse de hecho o de derecho en una discriminación basada en haber sido vacunado o haberse recuperado (o no) de la COVID-19. Por esta razón, el CEPD y el SEPD destacan que cualquier otro posible uso del marco, del certificado verde digital y de los datos personales relacionados con él a nivel de los Estados miembros debe respetar los artículos 7 y 8 de la Carta y debe ser conforme al RGPD, incluido el artículo 6, apartado 4, del RGPD. Esto implica la necesidad de una base jurídica adecuada en el Derecho de los Estados miembros que cumpla los principios de eficacia, necesidad y proporcionalidad, y que incluya salvaguardias sólidas y específicas aplicadas tras una evaluación de impacto adecuada, en particular para evitar cualquier riesgo de discriminación y para prohibir cualquier retención de datos en el contexto del proceso de verificación. Además, el CEPD y el SEPD destacan que dicho sistema debe integrarse en una política sanitaria global. El CEPD y el SEPD consideran que dicha base jurídica en el Derecho de los Estados miembros debe incluir, como mínimo, disposiciones específicas que identifiquen claramente el ámbito y el alcance del tratamiento, la finalidad específica que se persigue, las categorías de entidades que pueden verificar el certificado, así como las garantías pertinentes para evitar abusos, teniendo en cuenta los riesgos para los derechos y las libertades de los interesados. Tal y como aclara el TJUE, la necesidad de disponer de esas garantías es aún más importante cuando los datos personales se someten a un tratamiento automatizado, en particular cuando está en juego la protección de esa categoría particular de datos personales que son los datos sensibles.”
En resumen, más de lo mismo, la necesidad de una normativa interna que regule este tratamiento de datos respetando los principios del RGPD, reflejando el ámbito de aplicación, el alcance del tratamiento, la finalidad, las categorías de entidades que puedan verificar el certificado, así como las medidas de seguridad pertinentes para evitar la discriminación y el abuso.
Como conclusión, y a mi entender, considero que es una medida que acabará en el olvido (como la del registro de clientes en locales de ocio y restauración para rastrear contactos en caso de contacto estrecho que, salvo contadas excepciones, no tuvo mayor aplicación práctica).
