Opinion

A la sessió 23ª del Comitè Europeu de Protecció de Dades (European Data Protection Board), realitzada en data 21 de d’abril de forma remota, s’han adoptat dues guies de protecció de dades per fer front a la lluita contra la pandèmia de la COVID-19. La primera Guia és la 3/2020 sobre el tractament de dades de salut per a la finalitat de recerca científica en el context de la pandèmia de la COVID-19. La segona Guia és la 4/2020 sobre l’ús de dades d’ubicació i d’eines de traçabilitat de contactes en el context de la pandèmia de la COVID-19. Atenent la urgència de la situació actual i la necessitat de tenir les directrius fàcilment disponibles, excepcionalment, les guies no seran sotmeses a consulta pública.

• Guia 3/2020 sobre el tractament de dades de salut per a la finalitat de recerca científica en el context de la pandèmia de la COVID-19

La Guia diferencia entre el denominat “ús primari” i “ús secundari” de les dades personals per a la finalitat d’estudis científics. El denominat “ús primari” consisteix en l’ús de les dades directament recollides per a la finalitat d’estudis científics, mentre el denominat “ús secundari” per a la finalitat d’estudis científics consisteix en el tractament posterior de dades recollides inicialment amb un altre propòsit. La distinció resulta particularment important per a la base jurídica del tractament de dades, les obligacions d’informació i el principi de limitació de la finalitat establert a l’article 5.1 lletra b) del Reglament General de Protecció de Dades (RGPD).

El consentiment de la persona pot ser una base jurídica del tractament de dades entès com tota manifestació de voluntat lliure, específica, informada i inequívoca per la qual una persona accepta mitjançant una declaració o una clara acció afirmativa el tractament de dades. Caldrà atendre que no es pot considerar lliure el consentiment si hi ha un desequilibri clar entre la persona i el responsable del tractament. Tanmateix, cal tenir present que el consentiment comporta el dret de revocar el consentiment, pel que una persona que ha atorgat el seu consentiment per un estudi el pot revocar en qualsevol moment.

Una altra base jurídica pel tractament de dades per a un estudi pot ser el Dret nacional d’un Estat membre amb combinació amb les lletres e) i f) de l’article 6.1 del RGPD i les circumstàncies de les lletres i) i j) de l’article 9.2 del RGPD. En aquest sentit, les condicions i abast del tractament de dades dependrà de la legislació de cada Estat membre de la UE. Cal tenir present que aquestes lleis s’hauran d’interpretar d’acord als principis establerts al RGPD i en consideració de la jurisprudència del Tribunal de Justícia de la Unió Europea.

El tractament de dades requereix de la transparència i informació de les persones interessades conforme els articles 13 i 14 del RGPD. La Guia explica expressament les excepcions previstes a les lletres b)  i c) de l’article 14.5 del RGPD quan les dades personals no s’hagin obtingut directament de la persona interessada.

La Guia preveu l’aplicació del principi de limitació de la finalitat del tractament conforme la lletra b) de l’article 5.1 del RGPD consistent en que les dades recollides ho seran amb fins determinats, explícits i legítims i no seran tractades ulteriorment de manera incompatible amb aquest fins. És possible, de conformitat amb l’apartat 1 de l’article 89 del RGPD, el tractament ulterior de les dades personals amb fins d’investigació científica si no es consideren incompatibles amb els fins inicials. Per a aquest tractament ulterior de dades personals caldrà establir les garanties adequades pels drets i les llibertats de les persones interessades, de conformitat amb el RGPD, consistents en mesures tècniques i organitzatives. Aquestes mesures poden incloure la seudonimització sempre que d’aquesta forma s’aconsegueixin els fins. Els requisits de l’apartat de l’article 89 del RGPD posen èmfasi en la importància del principi de minimització de dades, el principi d’integritat i confidencialitat, així com el principi de protecció de dades per disseny i per defecte. Quan correspongui per aplicació de l’article 35 del RGPD caldrà realitzar l’avaluació de l’impacte de la protecció de dades.

Els drets previstos als articles 12 a 22 del RGPD no queden suspesos, ni restringits, llevat de la provisió de l’apartat 2 de l’article 89 del RGPD que permet al legislador nacional restringir alguns dels drets de les persones interessades i les mateixes provisions del RGPD. El RGPD ja preveu la restricció del dret d’accés a l’apartat 4 del seu article 15 i la restricció del dret a la supressió a lletra d) de l’article 17.3.

La recerca per fer front a la pandèmia de la COVID-19 pot requerir la necessitat de cooperació internacional, el que implica transferències internacionals de dades. Les mateixes es troben regulades al Capítol V del RGPD com les transferències Internacionales basades en una decisió d’adequació de la Comissió Europea a l’article 45 del RGPD, les transferències internacionals mitjançant garanties adequades a l’article 46 del RGPD i el consentiment explícit de la persona interessada, després d’haver sigut informat dels possibles riscos per ell sobre les transferències deguts a l’absència d’una decisió d’adequació i de garanties adequades, a la lletra a) de l’article 49.1 del RGPD. El mateix apartat 1 de l’article 49 estableix a la seva lletra d) que la transferència internacional sigui necessària per raons importants d’interès públic. Atenent que la pandèmia de COVID-19 provoca una excepcional crisi sanitària de caràcter i escala sense precedents, el Comitè Europeu de Protecció de dades considera que la UE i la majoria dels Estats membres han reconegut que la lluita contra la COVID-19 és un interès públic important que pot requerir una actuació urgent en el camp de la investigació científica, per exemple, per tal d’identificar tractaments i/o desenvolupar vacunes. Aquest interès públic important no inclou únicament els poders públics, sinó també les entitats privades, per exemple, un institut de recerca d’una universitat que col·labora en el desenvolupament d’una vacuna en el context d’una associació internacional. Per a les transferències internacionals de dades caldrà tenir en compte el rol de cada actor si actua de responsable, co-responsable o encarregat del tractament.

• Guia 4/2020 sobre l’ús de dades d’ubicació i d’eines de traçabilitat de contacte en el context de la pandèmia de la COVID-19

La Guia assenyala les dues principals fonts de dades de localització disponibles per modelar la propagació del virus i l’efectivitat global de les mesures de confinament. Una font de dades són les recollides pels proveïdors de serveis de comunicació electrònica en el transcurs de la prestació del seu servei com, per exemple, els operadors de telecomunicacions mòbils. Una segona font de dades són les recollides per les aplicacions dels proveïdors de serveis de la societat de la informació segons la funcionalitat que requereix l’ús d’aquestes dades, per exemple, serveis de navegació, transport, entre d’altres.

El Comitè Europeu destaca que el RGPD i la Directiva 2002/58/CE (Directiva sobre privadesa) contenen regles específiques que permeten l’ús de dades personals anònimes o personals per part de les autoritats públiques i altres actors dels nivells nacionals i de la UE en el monitoratge i el contingut d’evitar la propagació del virus SARS-CoV-2.

El Comitè Europeu ha considerat que l’ús d’aplicacions de la traçabilitat de contactes hauria de ser voluntari i no hauria de dependre del seguiment de moviments individuals, sinó de la informació de proximitat relativa als usuaris.

La Guia clarifica les condicions i els principis per a l’ús proporcional de dades de localització i eines de seguiment de contactes amb dos propòsits específics:

• utilitzant dades de localització per donar suport a la resposta a la pandèmia modelant la propagació del virus per avaluar l’efectivitat global de les mesures de confinament;
• la traçabilitat de contactes que té com a objectiu notificar als individus el fet que hagin estat a prop d’algú que finalment es confirma que és portador del virus, per tal de trencar les cadenes de contaminació el més aviat possible.

El Comitè Europeu de Protecció de Dades destaca que, quan s’utilitza dades de localització, prefereix més un procés d’anonimització que les dades personals.

La Guia assenyala que el concepte d’anominització és propens a ser mal entès i freqüentment confós amb la seudonimització. Mentre l’anonimització permet usar les dades sense cap restricció, les dades seudonimitzades es troben dins de l’àmbit d’aplicació del RGPD.

El control sistemàtic i a gran escala de la ubicació i / o dels contactes entre persones físiques és un intrusió greu en la seva privadesa. En aquest sentit, només es pot legitimar basant-se en una adopció voluntària per part dels usuaris per a cadascun dels propòsits respectius. Això implicaria, en particular, que les persones que decideixen no utilitzar aquestes aplicacions no haurien de patir cap inconvenient.

Cal definir el responsable de qualsevol aplicació de traçabilitat de contactes, el mateix Comitè Europeu de Protecció de Dades considera que les autoritats sanitàries nacionals podrien ser les responsables, assenyala que també es poden preveure altres responsables. En el cas que hi hagi diferents actors en el desplegaments d’aplicacions de traçabilitat de contactes caldrà definir els seus rols i responsabilitats des del principi i explicar-los als usuaris.

Amb relació al principi de limitació de finalitat, les finalitats han de ser prou específiques per excloure el tractament addicional amb finalitats alienes a la gestió de la crisi de salut de la COVID-19, per exemple, les finalitats comercials o d’efectes d’aplicació de la llei. Un cop l’objectiu ha sigut definit de forma clara, és necessari assegurar que l’ús de les dades personals és adequat, necessari i proporcional.

En el context d’aplicacions de traçabilitat de contactes s’ha de considerar minuciosament el principi de minimització de dades i els principis de protecció de dades des del disseny i per defecte.

La Guia assenyala que el fet que l’ús d’aplicacions de traçabilitat de contacte es doni voluntàriament per part de les persones interessades no significa que la base jurídica sigui el consentiment. Quan les autoritats públiques proveeixen un servei basat en un mandat assignat i ajustat als requisits establerts per la llei, sembla que la base jurídica més rellevant per a la tramitació és la necessitat de realitzar una tasca d’interès públic com seria la lletra e) de l’article 6.1 del RGPD. No obstant, el tractament de dades es pot fonamentar en una altra base jurídica com el consentiment.

Atenent que l’ús d’aplicacions per lluitar contra la pandèmia de COVID-19 podria recollir dades de salut, per exemple, l’estat d’infecció d’una persona, es requereix d’una de les circumstàncies previstes a l’apartat 2 de l’article 9 del RGPD com podrien ser les lletres a), h), i) i j).

La Guia preveu recomanacions i requisits funcionals. Tanmateix preveu que cal tenir en compte la limitació d’emmagatzematge de dades i que les dades personals haurien de conservar-se únicament per la duració de la crisis de la COVID-19. Després, com a regla general, totes les dades personals han de ser esborrades o anonimitzades. El codi font de l’aplicació hauria de posar-se a la disposició del públic per al més ampli examen possible.

La Guia conté un Annex específic per a les aplicacions de seguiment i traçabilitat de contactes.