En el contexto de una crisis de salud relacionada con el coronavirus, particularmente en la perspectiva de una fase de «desconfinamiento», individuos y profesionales cuestionan las medidas a implementar para limitar la propagación del virus y garantizar la reanudación de la actividad con seguridad, así como las condiciones bajo las cuales se pueden utilizar los datos personales, en particular los referidos a la salud.
Son muchas las consultas que recibo de profesionales e individuos sobre las posibilidades de recopilar, además de cualquier atención médica, datos sobre empleados, agentes o visitantes para determinar si las personas tienen síntomas de COVID-19, o datos relacionados con viajes y eventos que pueden caer dentro del ámbito privado.
Por ello dedicaré este post a explicar si la medición de la temperatura corporal como medida de prevención frente al Covid-19 se considera un tratamiento de datos personales y si afecta a la privacidad.
La medición de temperatura corporal durante el Covid-19, ¿es un tratamiento de datos personales?
Si corresponde a todos implementar medidas adaptadas a la situación, como limitar los viajes y las reuniones o respetar las medidas de higiene y el «distanciamiento social», los empleadores no pueden tomar medidas que puedan invadir desproporcionadamente la privacidad de las personas afectadas, en particular mediante la recopilación de datos de salud que van más allá de controlar la sospecha de exposición al virus para proteger a los empleados y al público.
Este principio supone que nadie puede imponer restricciones a los derechos de las personas y las libertades individuales y colectivas que no estarían justificadas por la naturaleza de la tarea en cuestión. Es decir, debe existir una proporcionalidad con el objetivo buscado.
Debido a la naturaleza sensible que asumen, los datos relacionados con el estado de salud de una persona están de hecho sujetos a una protección legal muy específica: en principio se les prohíbe su procesamiento.
Para poder ser tratados esos datos, su uso debe estar necesariamente bajo una de las excepciones previstas por el RGPD, garantizando así el equilibrio entre el deseo de garantizar la seguridad de las personas y el respeto de sus derechos y libertades fundamentales.
Además, su sensibilidad justifica que sean tratados bajo condiciones muy fuertes de seguridad y confidencialidad y solo por aquellos que están autorizados para hacerlo.
Los datos de salud pueden ser recopilados por las autoridades sanitarias, calificadas para tomar las medidas adaptadas a la situación, dentro de los límites de sus respectivas competencias. La evaluación y recopilación de información relacionada con los síntomas del coronavirus y la información sobre los movimientos recientes de ciertas personas es responsabilidad de estas autoridades públicas.
Si la situación de salud requiere que todas las partes interesadas estén particularmente atentas, deben seguirse las recomendaciones de las autoridades sanitarias y recopilar solo datos sobre la salud de las personas que han sido solicitados por las autoridades competentes.
¿Qué dice la Agencia Española de Protección de Datos (AEPD)?
La AEPD ha emitido un informe en el que muestra su preocupación por los casos de toma masiva de temperatura corporal sin seguir las recomendaciones y criterios sanitarios.
Estas actuaciones pueden implicar una intromisión excesiva en el derecho a la privacidad de los afectados. Se trata de un dato a partir del cual puede determinarse el estado de salud de una persona, por lo que es una información especialmente protegida por la normativa de Protección de datos.
Estos controles de temperatura se realizarán en espacios públicos y permitirán a terceros conocer que una persona puede estar contagiada por coronavirus al no permitirle la entrada a un determinado centro. Esto puede conllevar importantes consecuencias para esa persona afectada.
Para poder tratar adecuadamente estos datos y realizar medición de temperatura corporal por el coronavirus es obligatorio, según la AEPD, que las autoridades sanitarias establezcan unos criterios claros que deben seguirse.
Por otro lado, esta medida únicamente puede justificarse en el interés general establecido por el Ministerio de Sanidad. En caso de que este no regule estos criterios de tratamiento, la medida podría considerarse ilegal.
Los datos de temperatura recogidos deben almacenarse durante un periodo de tiempo muy pequeño, solo mientras dure la enfermedad y la cuarentena.
Además, al existir un interés público, no sería necesario el consentimiento de la persona para medir su temperatura.
Son muy variados los sistemas usados para medir la temperatura corporal en los casos de controles de acceso para hacer frente al Covid-19.
Los sistemas teletermográficos se pueden comercializar al público en general para fines no médicos, como el uso en la construcción y otras aplicaciones industriales. Al no estar destinados para uso en el diagnóstico de enfermedades u otras afecciones o en la cura, mitigación, tratamiento o prevención de enfermedades, cuando se comercializa para estas aplicaciones no médicas no se requiere autorización.
Al evaluar si estos productos están destinados a un uso médico, entre otras consideraciones, se considerará si:
- Están destinados a ser utilizados por un profesional de la salud;
- Van a ser usados en un centro o entorno de atención médica; y
- Su uso se utilizará para fines de diagnóstico, incluido su uso en centros no médicos (p. ej., aeropuertos)
Aunque, como indicaba, existen numerosos sistemas de medición de temperatura corporal, me centraré en los más importantes.
Cámaras termográficas
Este sistema de medición de temperatura corporal utiliza tecnología de Inteligencia Artificial y cámaras térmicas.
Esta tecnología, líder en China, ofrece las siguientes ventajas:
- El seguimiento preciso de la cara presenta los resultados actuales en tiempo real.
- Bi-Spectrum, doble canal y monitorización en tiempo real.
- Medición rápida de temperatura sin contacto para varias personas.
- Precisión de temperatura ≤0.3º.
Las cámaras que miden la temperatura son cámaras termográficas capaces de medir sin contacto la temperatura corporal de un grupo de 16 personas en menos de 30 ms y con un margen de error menor o igual a 0.3ºC.
A través de este sistema no se puede ver la cara de la persona por lo que no puede identificarse. Solo se controlan las radiaciones de calor que emanan del cuerpo.
En este caso no se recogen datos personales por lo que no existe un tratamiento de datos. Lo único que se recoge es un dato numérico referido a la temperatura corporal pero no va asociado a un nombre o imagen de una persona.
Termómetros infrarrojos
Los termómetros infrarrojos o termómetros sin contacto están ganando popularidad en estos días debido a sus ventajas. Pueden medir la temperatura corporal sin estar en contacto con la piel, lo que reduce las posibilidades de infección.
Un termómetro infrarrojo tiene una lente que le ayuda a enfocarse en el objetivo deseado y los rayos infrarrojos se usan para medir la cantidad de calor generado por el cuerpo. Estos dispositivos detectan la temperatura corporal a distancia.
En este caso, tampoco se obtienen imágenes de la persona en concreto ni otros datos personales por lo que no existe tratamiento de datos.
Otra situación se daría en el caso de que esos dispositivos se utilicen junto a sistemas de reconocimiento facial. Aquí sí que se recogen datos personales y, por tanto, el tratamiento de esos datos debe sujetarse a la normativa de Protección de datos.
App para dispositivos móviles
Con una aplicación de termómetro en nuestro teléfono, podemos medir la temperatura corporal con el móvil en cualquier lugar sin enfrentar ningún problema. La aplicación se utiliza para detectar la temperatura corporal, tanto en interiores como en exteriores.
La aplicación tiene diferentes características que ofrecen temperatura en tiempo real, facilidad de acceso a la ubicación, diferentes opciones de clima y temperatura, y varios gráficos de temperatura.
En caso de usar este tipo de aplicaciones, al igual que en los casos anteriores, depende de los datos que se almacenen. Si, además de la temperatura corporal, se recopilan datos como la imagen de la persona, estamos ante un tratamiento de datos personales.
¿Qué dice el RPGD sobre los datos relacionados con la salud?
La medición de la temperatura corporal de una persona es, en principio, un tratamiento de datos personales. El «procesamiento» puede referirse a muchas acciones diferentes con respecto a los datos personales: por ejemplo, ver, almacenar, transmitir, mirar o eliminar datos personales.
Simplemente ver una temperatura en un termómetro o con una cámara térmica, sin que la temperatura se almacene o registre, a menudo ya es un procesamiento de datos personales. Observamos que esto depende del contexto.
Esto puede ser diferente en los casos en que la temperatura se mide durante unos segundos, sin que exista ningún vínculo directo o indirecto con datos personales. En ese caso, la medición podría quedar fuera de la definición de «procesamiento» como se entiende en el RGPD.
Un ejemplo podría ser escanear temperaturas con cámaras térmicas en espacios públicos, sin registrar más datos de los involucrados. Este será probablemente el caso, por ejemplo, en un hospital o en el aeropuerto.
Sin embargo, en una empresa a menudo será necesario registrar datos adicionales y adjuntar consecuencias a los resultados de la medición. Piensa en un empleado que es rechazado en la puerta porque su temperatura es demasiado alta. No solo se le negará el acceso al lugar de trabajo en función de la temperatura de su cuerpo, sino que también es probable que se registren datos adicionales. El empleador puede registrarlo como ausente o enfermo.
En este escenario, ya no se trata solo de leer la temperatura de una persona (anónima), sino que se registran más datos sobre un individuo en particular, precisamente porque el empleador ha medido su temperatura.
En principio, el RGPD y las reglas de privacidad relacionadas se aplican en el lugar de trabajo, porque los datos casi siempre serán rastreables para un empleado o visitante específico.
Si se aplica el RGPD, también es importante que la medición de temperatura se refiera a datos sobre la salud de una persona. Esto implica una categoría especial de datos personales y, en principio, se aplica una prohibición de procesamiento. El principio básico es que no se permite medir temperaturas, a menos que se pueda invocar una excepción legal.
En definitiva, ¿pueden las empresas medir la temperatura de sus trabajadores para prevenir contagios por Covid-19?
La pregunta es si existe una excepción legal que permita a los empresarios medir la temperatura de sus empleados.
Un empleador solo puede procesar datos personales sobre la salud de sus empleados, si esto es necesario para el pago continuo de salarios y rehabilitación. Por lo tanto, un empleador puede saber que el empleado Pedro está enfermo, pero no exactamente qué le pasa a Pedro(por ejemplo, una hernia).
Un empleador no puede jugar al doctor de la compañía y hacer un diagnóstico basado en su propia investigación, como una prueba de alcohol y drogas o una medición de temperatura. Incluso si los empleados mismos dicen qué les pasa, un empleador puede, en principio, no registrarlo.
Otra excepción a la prohibición de procesamiento mencionada anteriormente en el RGPD es el procesamiento de datos de salud que es necesario «por razones de interés público en el campo de la salud pública, como la protección contra riesgos de salud transfronterizos graves».
Sin embargo, esta excepción requiere que la legislación nacional regule este tipo específico de procesamiento, respetando la confidencialidad médica y el derecho a la privacidad del interesado.
Una excepción legal que también vemos ocasionalmente en este contexto, es el procesamiento para «la protección de los intereses vitales del interesado». Para que se aplique esta excepción, debe haber una situación en la que un interesado no pueda dar su permiso, por ejemplo, porque está inconsciente. Además, uno puede preguntarse si en este caso, los intereses involucrados son los propios intereses del interesado.
Finalmente, una excepción bien conocida: el consentimiento explícito del interesado. Este consentimiento para el procesamiento debe ser gratuito, específico, informado e inequívoco. En la relación empleador-empleado, se supone que un empleado casi nunca puede dar permiso libre; después de todo, depende de su empleador. En ese caso, no hay permiso legal, por lo que esta excepción tampoco se aplica.
El problema a menudo radica en el contexto en el que se aplica la medición de temperatura. No parece haber una buena excepción legal, que sería necesaria bajo el RGPD para medir la temperatura corporal de los empleados por parte de un empresario. E incluso si estuviera disponible, el procesamiento de datos de salud está, en principio, solo reservado para los médicos.
Además, el procesamiento debe ser necesario para el propósito previsto. Si este es el caso, depende de las circunstancias específicas, pero esto también puede plantear preguntas en muchos casos. Por ejemplo, la pregunta es si no es suficiente confiar en los propios empleados: se les permite pedirles que midan su propia temperatura diariamente.
¿Y la temperatura es un medio apropiado para alcanzar el propósito, detener la propagación del coronavirus? Después de todo, ahora se ha hecho evidente que las personas sin síntomas también pueden transmitir el virus, mientras que los empleados podrían tener una falsa sensación de seguridad, porque ellos y sus compañeros han pasado la prueba.
Ejemplos de dispositivos con control térmico
Existen gran variedad de dispositivos para el control de temperatura corporal. Veamos algunos de ellos.
Dermalog
La empresa alemana Dermalog establece un nuevo sistema de cribado biométrico de fiebre para contribuir a la contención de pandemias.
La cámara de medición de temperatura coporal de Dermalog ofrece resultados de medición rápidos y precisos y reduce significativamente el riesgo de propagación de infecciones.
La medición de temperatura se realiza escaneando las caras de las personas usando tecnología de sensores de última generación. La cámara puede verificar simultáneamente hasta cinco personas en busca de fiebre. Si se detecta un aumento de temperatura, el sistema activa una alarma o incluso niega el acceso, como parte de un sistema de control de acceso automatizado.
Cartronic Group
Cartronic Group establece dispositivos para medir la temperatura corporal de forma rápida y precisa usando algoritmos de inteligencia artificial y tecnología térmica. La medición se realiza en tiempo real, desde distancias seguras y a varios individuos simultáneamente, aumentando la velocidad de respuesta y el trabajo de prevención.
Cuando detectan una temperatura superior al rango límite preestablecido, automáticamente se activa una alarma y otros dispositivos bloquean el acceso, de manera que pueda aislarse a la persona y realizar los protocolos de seguridad pertinentes.
Workswell Medicas
Estas cámaras termográficas para la medición de la temperatura corporal, a diferencia de las cámaras termográficas convencionales del mercado, tienen una alta sensibilidad y una calibración precisa con una corrección a tiempo real mediante un cuerpo negro.
Debido al alto riesgo global de propagación de enfermedades infecciosas (el riesgo actual del Coronavirus), se ha desarrollado una solución de termografía «plug & play» para el escaneo de temperatura facial.
Esta solución se basa en una calibración continua en tiempo real utilizando una fuente de radiación de cuerpo negro para lograr una gran precisión y estabilidad.
FLIR
Muchas organizaciones corren el riesgo de una interrupción continua de las operaciones debido al coronavirus y posibles pandemias futuras. Las soluciones de imágenes térmicas de FLIR pueden ayudar a evaluar la temperatura corporal de los empleados, una posible señal de lucha contra la infección, antes de que entren en espacios de trabajo abarrotados.
Las organizaciones que implementan estos sistemas de detección pueden ayudar a proporcionar un lugar de trabajo más seguro para una fuerza laboral productiva.