María M. Pardo de Vera, Abogada privacidad. Socia y responsable del área de protección de datos de HELAS CONSULTORES.
María Martín Pardo de Vera, responsable del Área de Protección de Datos de Helas Consultores
Al hilo de la cantidad de noticias, algunas contradictorias, alarmistas, confusas, sobre las distintas Apps o desarrollos webs de CC.AA o del Gobierno, y a raíz de la Orden SND/297/2020, de 27 de marzo, creo que todos los que nos dedicamos a defender la privacidad deberíamos hacer un esfuerzo conjunto por tranquilizar a la ciudadanía en el tratamiento de sus datos en esta situación de emergencia.
Esta alarma, por supuesto, está justificada en el caso de webs o apps ilegales que sólo pretenden realizar tratamientos ilícitos, también a través de mensajería instantánea como WhatsApp o Telegram y también a través de emails. La AEPD ya ha alertado a la ciudadanía del riesgo de proporcionar datos en estas webs no oficiales.
Estamos hablando de otras cosas.
Los propios expertos en privacidad, quizás, no estemos ayudando a eliminar la confusión propia de la vorágine informativa ni el miedo de los ciudadanos que no siempre tienen por qué entender de privacidad y protección de datos. Por favor, no pongamos de excusa la protección de datos para combatir el virus. La protección de datos debe usarse con ética y responsabilidad. No entremos en el simple debate de derecho a la vida versus derecho a la privacidad. No limitemos nuestro trabajo a debatir sobre estas dos únicas opciones. No podemos estar cuestionando continuamente a empresas o AAPP presumiendo que van a hacerlo mal de entrada.
La citada Orden SND/297/2020 encarga la creación de una app, desarrollo web y chatbot para COVID-19, para poder “realizar al usuario la autoevaluación en base a los síntomas médicos que comunique, acerca de la probabilidad de que esté infectado por el COVID-19, ofrecer información al usuario sobre el COVID-19 y proporcionar al usuario consejos prácticos y recomendaciones de acciones a seguir según la evaluación”. La aplicación permitirá la geolocalización del usuario a los efectos de verificar que se encuentra en la comunidad autónoma en que declara estar. Se entiende que la ser una App o web voluntaria, la geolocalización se activa con el consentimiento del usuarios, por tanto, ajustada al RGPD. Asimismo, la Orden encarga al INE que realice un estudio de movilidad a través del cruce de datos de los operadores móviles, de manera agregada y anonimizada, en los días previos y durante el confinamiento. El estudio lo va a realizar el INE, no el Ministerio de Sanidad y lo que los operadores de telefonía entregan al INE, en calidad de Responsable del Tratamiento, son datos anonimizados, es decir, son los propios operadores los que deben realizar ese tratamiento de datos personales para anonimizarlos y que no puedan identificar a ninguna persona física y, en ese momento, se entregan al INE para su estudio. El INE va a tener información anónima para realizar el estudio de movilidad. El Gobierno no va a tener ni datos personales ni el número de teléfono de nadie. Y si, por lo que sea, los llegara a tener y/o usar para algo que no sea lo que dijeron, tenemos una Autoridad de Control que, como en otros muchos casos, tendrá que determinar si esto es así o no. No prejuzguemos todo lo que se hace desde una perspectiva maliciosa.
La propia AEPD se ha pronunciado recientemente, señalando que “esta situación de emergencia no puede suponer una suspensión del derecho fundamental a la protección de datos personales. Pero, al mismo tiempo, la normativa de protección de datos no puede utilizarse para obstaculizar o limitar la efectividad de las medidas que adopten las autoridades competentes, especialmente las sanitarias, en la lucha contra la epidemia”. El tratamiento de datos personales para proteger intereses vitales de los titulares o de terceros está previsto en el Considerando 46 del RGPD, reforzado con la aplicación del art. 9.2.i. para el control de epidemias, y por razones de salud pública.
Sobre el uso de apps y webs de autodiagnóstico manifestó que “las finalidades para las que pueden tratarse los datos son, únicamente, las relacionadas con el control de la epidemia, entre ellas, las de ofrecer información sobre el uso de las aplicaciones de autoevaluación realizadas por las administraciones públicas o la obtención de estadísticas con datos de geolocalización agregados para ofrecer mapas que informen sobre áreas de mayor o menor riesgo”.
Corresponde a la AEPD velar porque el uso posterior de todos esos datos sea acorde con las finalidades concretas para las que se han recabado y, por supuesto, que los procesos de anonimización se han hecho correctamente.
Y nos corresponde a todos los expertos en privacidad hacer el esfuerzo común de no sembrar más miedo del que ya hay. Hagamos un uso responsable de la información. Estemos, también nosotros, a la altura de las circunstancias.
