Varias comunidades autónomas han aprobado en fechas recientes diferentes normas, desde Decretos-ley hasta órdenes, con medidas específicas para asegurar el control del cumplimiento de las obligaciones de aislamiento o cuarentena para la contención de la transmisión del COVID-19 (así se ha hecho, por ejemplo, en Aragón, la Comunidad de Madrid o Castilla-La Mancha). Entre esas medidas destaca la que prevé que los datos de localización de las personas con medidas de aislamiento o cuarentena puedan ser facilitados a los cuerpos policiales, a los servicios de inspección, incluidos los servicios de inspección educativa, o a los servicios públicos de emergencia cuando realicen tareas incluidas dentro de las operaciones de lucha contra la pandemia. En el caso de las órdenes se ha dado traslado a la jurisdicción contencioso-administrativa a efectos de solicitar la ratificación judicial prevista en el artículo 10.8 de la Ley 29/1998, de 13 de julio.
Hay que recordar, en primer lugar, que las personas contagiadas de SARS-CoV-2 o sospechosas de estarlo pueden verse obligadas a un aislamiento, las primeras, o a una cuarentena, las segundas, y ello con fundamento, entre otras normas legales, en el artículo 3 de la Ley Orgánica 3/1986, de 14 de abril, de medidas especiales en materia de salud pública, que prevé la adopción de las “medidas oportunas para el control de los enfermos, de las personas que estén o hayan estado en contacto con los mismos y del medio ambiente inmediato, así como las que se consideren necesarias en caso de riesgo de carácter transmisible”.
Como es obvio, lo primero que debe suceder es la comunicación a dichas personas, por parte de las autoridades sanitarias, de que se hayan en las circunstancias antedichas y de que, en aras a la protección de su salud pero, sobre todo, a la protección de la salud y la vida de las demás personas, deben permanecer un tiempo determinado (en la Comunidad de Madrid se fijó en 10 días, en las de Aragón y Castilla-La Mancha durante el plazo establecido en cada caso) sin salir del lugar donde residan o de donde se lleve a cabo el aislamiento o la cuarentena que, en realidad, consisten en lo mismo: permanecer en el lugar de que se trate durante el plazo establecido y sin posibilidad de desplazarse ni de relacionarse con otras personas.
Si estas personas rechazasen tales medidas, el cumplimiento de las mismas quedará condicionado a la autorización por parte del Juzgado de lo Contencioso-administrativo competente (artículo 8.6 de la Ley de la Jurisdicción Contencioso-administrativa).
En todo caso, y a efectos de garantizar los mencionados aislamientos o cuarentenas, se ha previsto el ya citado traslado de los datos necesarios a, entre otros, los cuerpos policiales. Esta medida limitativa de derechos de las personas afectadas cabe en el marco constitucional vigente y, a su vez, está sometida a límites: así, en primer lugar, el Tribunal Constitucional concluyó hace tiempo que no podrá ser calificada de ilegítima aquella injerencia o intromisión en el derecho a la intimidad que encuentra su fundamento en la necesidad de preservar otros derechos fundamentales u otros bienes jurídicos constitucionalmente protegidos, siempre y cuando se respete el contenido esencial del derecho (STC 292/2000, de 30 de diciembre, FJ 9, y ATC 212/2003, de 30 de junio). Y aunque el artículo 18.1 de la Constitución no prevé expresamente la posibilidad de un sacrificio legítimo del derecho a la intimidad, su ámbito de protección puede ceder en aquellos casos en los que se constata la existencia de un interés constitucionalmente prevalente al de la persona en mantener la privacidad de determinada información, por ejemplo, para evitar un riesgo o un daño a la salud de otras personas, máxime en una situación de pandemia como la que padecemos ahora.
En segundo término, el Reglamento Europeo de protección de datos prevé (artículo 5) que los “datos personales serán: a) tratados de manera lícita, leal y transparente en relación con el interesado («licitud, lealtad y transparencia»); b) recogidos con fines determinados, explícitos y legítimos, y no serán tratados ulteriormente de manera incompatible con dichos fines; c) adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados («minimización de datos»);… e) mantenidos de forma que se permita la identificación de los interesados durante no más tiempo del necesario para los fines del tratamiento de los datos personales. Además, dicho Reglamento contempla que el tratamiento deberá cumplir, alguna de una serie de condiciones, entre ellas: c) el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento; d) el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física; e) el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento. Finalmente, la prohibición del tratamiento de datos personales relativos a la salud no impedirá el uso de dichos datos si concurre alguna de, entre otras, las circunstancias siguientes: el tratamiento es necesario por razones de un interés público esencial, el tratamiento es necesario para fines de medicina preventiva, prestación de asistencia o tratamiento de tipo sanitario o social, el tratamiento es necesario por razones de interés público en el ámbito de la salud pública… y siempre que se establezcan medidas adecuadas y específicas para proteger los derechos y libertades del interesado.
En esta línea, la Ley Orgánica 3/2018, de 5 de diciembre, de protección de datos personales y garantía de los derechos digitales dispone que el tratamiento de datos por obligación legal, interés público o ejercicio de poderes públicos solo podrá considerarse fundado en el cumplimiento de una obligación legal exigible al responsable cuando así lo prevea una norma de Derecho de la Unión Europea o una norma con rango de ley (artículo 8).
Y sobre el tratamientos de datos en el contexto de la actual situación derivada de la extensión del virus COVID-19, la Agencia Española de Protección de Datos concluyó, el 12 de marzo de este año, que la aplicación de la normativa de protección de datos personales permitiría adoptar al responsable del tratamiento aquellas decisiones que sean necesarias para salvaguardar los intereses vitales de las personas físicas, el cumplimiento de obligaciones legales o la salvaguardia de intereses esenciales en el ámbito de la salud pública, dentro de lo establecido por la normativa material aplicable. Añade la Agencia que “la salvaguardia de intereses esenciales en el ámbito de la salud pública corresponde a las distintas autoridades sanitarias de las diferentes administraciones públicas” y que “serán estas autoridades sanitarias quienes deberán adoptar las decisiones necesarias, y los distintos responsables de los tratamientos de datos personales deberán seguir dichas instrucciones, incluso cuando ello suponga un tratamiento de datos personales de salud de personas físicas. Lo anterior hace referencia expresamente a la posibilidad de tratar los datos personales de salud de determinadas personas cuando, por indicación de las autoridades sanitarias competentes, es necesario comunicar a otras personas con las que dicha persona física ha estado en contacto la circunstancia del contagio, para salvaguardar tanto a dichas personas físicas de la posibilidad de contagio cuanto para evitar que dichas personas físicas puedan expandir la enfermedad a otros”. Concluye la Agencia, y es muy importante, que este de tratamiento de los datos debe hacerse arreglo a varios principios, en particular, el de transparencia, el de limitación de la finalidad (en este caso, salvaguardar los intereses vitales/esenciales de las personas físicas), el de exactitud, y por supuesto, y hay que hacer especial hincapié en ello, el principio de minimización de datos: los datos tratados habrán de ser exclusivamente los necesarios para la finalidad pretendida, sin que se pueda extender dicho tratamiento a cualesquiera otros datos personales no necesarios para dicha finalidad y sin que pueda confundirse conveniencia con necesidad.
Pues bien, analizadas varias de las disposiciones autonómicas que nos ocupan se puede concluir que cuentan con amparo normativo adecuado y cumplen varias de las exigencias vigentes aunque se advierte la carencia de algunas previsiones más garantistas en aras a la minimización de datos y su cancelación cuando ya no sean necesarios; en otras palabras, se podría haber especificado qué datos exactos se facilitarán y la obligación de proceder a su cancelación inmediata una vez finalice la cuarentena o el aislamiento, con mención expresa al derecho de la persona afectada a recabar información sobre si se ha llevado a cabo, o no, dicha cancelación.
Imagen tomada de la página web de la Agencia Española de Protección de Datos.