Hace unos días explicaba en el Curso de Postgrado de Compliance de la UC3M el marco legal del tratamiento de datos de los empleados por parte del empresario y decía entonces que la regla general es que el empresario está legitimado para tratar los datos de carácter personal de los empleados que sean necesarios en la gestión de sus obligaciones laborales (pago de nóminas, control laboral, etc.) sin necesidad de recabar el consentimiento de éstos. Dicho consentimiento queda implícito con la firma del contrato de trabajo. Sin embargo, en el caso de los datos de salud se aplicaba el régimen de las excepciones y se precisaba del consentimiento del trabajador.

Parece claro que la gravísima crisis sanitaria que padecemos y la declaración del Estado de Alarma han alterado sustancialmente las reglas del juego aplicadas hasta ahora. La situación de epidemia y su propagación es una circunstancia prevista en el Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos (en adelante RGPD). En concreto, en el considerando 46 del RGPD se dice que ciertos tipos de tratamiento pueden responder tanto a motivos importantes de interés público como a los intereses vitales del interesado, como por ejemplo, cuando el tratamiento es necesario para fines humanitarios, incluido el control de epidemias y su propagación. Y, a continuación, el artículo 6 del RGPD nos indica que constituye base jurídica para un tratamiento lícito de datos personales la misión realizada en interés público (art. 6.1.e) o intereses vitales del interesado u otras personas físicas (art. 6.1.d). A partir de ahí, la Agencia Española de Protección de Datos (en adelante, AEPD) ha dictado un informe y un  repertorio de preguntas frecuentes para clarificar la aplicación de este precepto al COVID-19 (Vid. Informe AEPD 0017/2020 y FAQ). La pregunta que nos hacemos todos es: ¿Qué consecuencias prácticas tiene para la empresa y los empleados?

La primera consecuencia es que, mientras persista la pandemia y el riesgo de contagio, el empresario tiene legimitación para tratar los datos de salud de los empleados sin necesidad de requerir su consentimiento. Esto significa que la empresa puede conocer si la persona trabajadora está infectada o no, para diseñar a través de su servicio de prevención los planes de contingencia que sean necesarios, o que hayan sido previstos por las autoridades sanitarias. Esa información también puede ser obtenida mediante preguntas al personal. En todos los casos referidos, la empresa tiene que cumplir el deber de transparencia o de información al empleado con toda la exhaustividad y rigor que fija el artículo 13 del RGPD. Por aplicación del principio de minimización de datos,  las preguntas deberían limitarse exclusivamente a indagar sobre la existencia de síntomas, o si el trabajador ha sido diagnosticado como contagiado, o sujeto a cuarentena. En esta línea, resultaría contrario al mencionado principio la circulación de cuestionarios de salud extensos y detallados, o que incluyan preguntas no relacionadas con la enfermedad.

Pero la AEPD añade en el Informe 0017/2020 «…lo que incluye igualmente al resto de empleados distintos del interesado, para asegurar su derecho a la protección de la salud y evitar contagios en el seno de la empresa y/o centros de trabajo».Desde nuestro punto de vista, esta referencia afecta a los autónomos, empleados de ETT y trabajadores de la contrata que presten su servicio en las instalaciones de la empresa principal/usuaria. Lo que viene a significar una ampliación de las facultades del empresario en el tratamiento de los datos de salud de los empleados/trabajadores autónomos que, si bien no son empleados directos, concurren en su centro de trabajo y pueden estar contagiados y contribuir a la propagación del virus.

En segundo lugar, los empleados deben informar de inmediato a su superior jerárquico directo, y a los trabajadores designados para realizar actividades de protección y de prevención o, en su caso, al servicio de prevención, acerca de cualquier situación que, a su juicio, entrañe, por motivos razonables, un riesgo para la seguridad y la salud de los trabajadores; contribuir al cumplimiento de las obligaciones establecidas por la autoridad competente con el fin de proteger la seguridad y la salud de los trabajadores en el trabajo y cooperar con el empresario para que éste pueda garantizar unas condiciones de trabajo que sean seguras y no entrañen riesgos para la seguridad y la salud de los trabajadores. En el ámbito de la situación actual derivada del COVID-19 ello supone que el trabajador deberá informar a su empleador en caso de sospecha de contacto con el virus, a fin de salvaguardar, además de su propia salud, la de los demás trabajadores del centro de trabajo, para que se puedan adoptar las medidas oportunas. 

En nuestra opinión, el deber del trabajador es más amplio pudiendo también incluir el dato de que el trabajador sea un grupo de riesgo porque tenga patologías previas (empleados con enfermedades respiratorias tipos neumonías, bronquitis, Epoc, asma….; personas inmunodeprimidas, por ejemplo personas que se les ha realizado un transplante recientemente y tienen que estar aislados por qué sus defensas están más bajas de lo normal. También personas con hipertensión y enfermedades cardíacas). Ello se debe a que las autoridades sanitarias y laborales han establecido que todas las empresas que tienen permiso para continuar desarrollando su actividad deben cumplir las siguientes medidas de prevención: 1ª) Evaluación de riesgos laborales del puesto de trabajo; 2ª) Medidas de protección colectiva: superficie mínima de 2 metros cuadrados de superficie por trabajador y limpieza; 3ª) EPIS necesarios por puesto de trabajo (Procedimiento de actuación para los servicios de prevención de riesgos laborales frente a la exposición al nuevo coronavirus). Es imprescindible conocer el estado de salud previo de los trabajadores (en el caso de colectivos de riesgo) para llevar a cabo la evaluación de riesgos y adoptar las medidas de seguridad pertinentes.

Conviene advertir que, tal y como indica la AEPD, verificar si el estado de salud de los empleados puede constituir un peligro para ellos mismos, para el resto del personal, o para otras personas relacionadas con la empresa constituye una medida relacionada con la vigilancia de la salud de los trabajadores (por ejemplo, tomar la temperatura al trabajador) que resulta obligatoria para el empleador y debería ser realizada por personal sanitario y no por personal de seguridad.

Para evitar la posible estigmatización social y discriminación de los empleados infectados, el empresario debe informar al resto de los empleados sin identificar a la persona afectada a fin de mantener su privacidad, si bien, podría transmitirse a requerimiento de las autoridades competentes, en particular las sanitarias.  Por ejemplo, divulgando la existencia de un contagio, pero sin especificar la identidad de la persona contagiada. Si, por el contrario, ese objetivo de protección de la salud de los empleados no puede conseguirse con información parcial, o la práctica es desaconsejada por las autoridades competentes, en particular las sanitarias, podría proporcionarse la información identificativa.

Para concluir, se valora positivamente la praxis de la AEPD que ha facilitado una respuesta ágil y clara a las empresas al igual que ha hecho el Comité Europeo de Protección de Datos (vid. informe) y la mayoría de las Agencias Europeas de Protección de Datos (vid. documento comparativo). En el momento que se logre la normalidad sanitaria, los datos de salud de los empleados recuperán la protección reforzada que merecen.