Tiempo estimado de lectura: 6 minutos
El pasado 27 de marzo el Ministerio de Sanidad publicó una Orden en la que se encomienda a la Secretaría de Estado de Digitalización e Inteligencia Artificial el desarrollo de determinadas medidas ante la situación de crisis sanitaria ocasionada por la Covid-19.
Nos encontramos con dos medidas concretas propuestas:
1. Desarrollo de Apps y soluciones tecnológicas para mejorar la eficiencia de los servicios sanitarios
Con el fin de mejorar los servicios sanitarios la Secretaría deberá desarrollar una aplicación que permita la autoevaluación del usuario en base a los síntomas que presente para identificar las probabilidades de estar infectado por la Covid-19. Esta aplicación además ofrecerá información, consejos prácticos y recomendaciones a seguir según la evaluación realizada.
Esta aplicación permitirá la geolocalización del usuario, únicamente, a efectos de verificar que se encuentra en la Comunidad Autónoma en la que declara estar.
¿Esto de geolocalizarnos es posible? Lo analizaremos más adelante.
Además, la Secretaría deberá desarrollar una web informativa y de un chatbot o asistente conversacional para ser utilizado por Whatsapp y otras aplicaciones de mensajería instantánea y que proporcione información oficial a los ciudadanos que realicen preguntas.
En definitiva, se busca ofrecer canales alternativos de información fiable al ciudadano. Aplicaciones, asistentes de conversación o páginas web que permitan aliviar la carga de trabajo de las distintas Administraciones públicas.
2. Estudio de movilidad de ciudadanos durante la crisis sanitaria
También se encomienda a la Secretaría el análisis de movilidad de las personas en los días previos y durante el confinamiento.
¿Cómo debe ser este análisis de movilidad? Según la Orden, debe seguir el modelo emprendido por el Instituto Nacional de Estadística en su estudio de movilidad y realizarse a través del cruce de datos de los operadores móviles, de manera agregada y anonimizada.
El objetivo de esta medida es entender cómo se están produciendo los desplazamientos de la población para ver cómo de dimensionadas están las capacidades sanitarias de cada provincia.
Entonces ¿es posible que conozcan mi localización en tiempo real sin mi consentimiento a través de mi móvil? ¿Están ordenando la geolocalización de ciudadanos? ¿Lo permite la normativa sobre protección de datos de carácter personal?
Muchos ciudadanos se hacen estas y otras preguntas y es normal.
Para intentar dar luz a la cuestión, debemos partir de analizar si los datos que van a tratarse según esta Orden son datos personales.
En este sentido, el artículo 1 del Reglamento General de Protección de Datos (RGPD) establece que el Reglamento se aplica al tratamiento de “datos personales” y el artículo 4 RGPD define como “datos personales”: “toda información sobre una persona física identificada o identificable”
¿Qué podemos decir al respecto sobre las dos medidas mencionadas?
Sobre el Estudio de Movilidad
Según esta definición de la normativa, la realización de un “Estudio de Movilidad” (medida 2) mencionado anteriormente no implica el tratamiento de datos personales, ya que, según la Orden el análisis de movilidad debe realizarse: “a través del cruce de datos de los operadores móviles, de manera agregada y anonimizada”. Y estos datos anonimizados y agregados no constituyen información sobre una persona física identificada o identificable.
No obstante, para pronunciarse con rotundidad sobre esta cuestión se debería analizar bien el proceso técnico para llegar a este análisis de datos, ya que los operadores móviles, -como prestadores de servicios de intermediación-, sí que es posible que realicen algún tipo de tratamiento sobre estos datos adicional al que realizan con normalidad, aunque posteriormente sean anonimizados y constituyan datos agregados.
Sobre las Apps y soluciones para mejorar la eficiencia de los servicios sanitarios (medida 1)
Según la Orden: esta aplicación permitirá la geolocalización del usuario, únicamente, a efectos de verificar que se encuentra en la Comunidad Autónoma en la que declara estar.
¿Es legal que se geolocalice a usuarios a efectos de verificar que se encuentran en la Comunidad Autónoma en la que declaran estar? La respuesta es sí, pero con matices.
Para que esto sea correcto se deben analizar, entre otros, los siguientes factores:
Base legal del tratamiento: Depende de si la geolocalización se realiza sobre usuarios enfermos o sobre todos los usuarios. Si se realiza, por ejemplo, sobre pacientes enfermos de COVID-19, se podría entender que la geolocalización lleva implícito un dato de salud (categorías especiales de datos). En este caso sería necesario el consentimiento explícito del usuario o podría utilizarse como base legal la existencia de un interés público o la protección de intereses vitales de estas personas.
Cumplimiento de los principios sobre tratamientos de datos
- Principio de limitación de la finalidad
- Principio de Proporcionalidad
- Principio de minimización de datos
- Principio de limitación del tratamiento
- Principio de exactitud
- Privacy by design o Principio de privacidad desde el diseño
Implantación de medidas técnicas y organizativas apropiadas por las empresas o entidades que traten estos datos. En función de la naturaleza de los datos se exige el establecimiento de medidas técnicas y organizativas especiales, para evitar efectos adversos en los ciudadanos por violaciones de datos. Por ejemplo, la discriminación externa o su utilización con fines maliciosos.
Realización de Evaluaciones de impacto. Deberá realizarse una Evaluación de Impacto de privacidad si es necesaria según los criterios del RGPD y Guías Europeas; y además, designar un Delegado de Protección de Datos que vele por el cumplimiento de la normativa.
Como punto final destacar que es muy importante que la Agencia Española de Protección de Datos, como autoridad de control esté pendiente y verifique el cumplimiento de todos los procedimientos relacionados con el tratamiento de datos personales por todos los intervinientes en el proceso durante este Estado de Alarma.
Cabe recordar que, tanto Responsables del tratamiento, como los distintos Encargados del Tratamiento, deberán respetar la normativa de privacidad y es de suma importancia que al finalizar esta situación suprimir y destruir todos los datos captados de usuarios por la situación del COVID 19, o devolverlos al Responsable en caso que sean necesarios por cuestiones de investigación o salud.
Artículo escrito por Andrés Ruiz Pérez
Abogado. Especialista en Privacidad y Propiedad Intelectual.
Metricson es una firma de servicios legales especializada en negocios tecnológicos e innovadores y ayudas a empresas de todo el mundo a desarrollar y proteger su actividad con las máximas garantías legales.
Si quieres más información o quieres saber más acerca de nuestros servicios, no dudes en ponerte en contacto con nosotros aquí