En este post vamos a tratar de dar algunas orientaciones (en nuestra opinión) acerca de en qué casos se nos puede solicitar el CCD (Certificado Covid Digital) y qué hacer si entendemos que nos lo piden sin tener derecho a ello, o si nos niegan un acceso por no disponer de él o no desear mostrarlo.
El análisis será exclusivamente desde la óptica de protección de datos y privacidad. No entraremos en aspectos administrativos o de consumo.
¿Que es un dato personal?
En primer lugar, unos matices sobre el concepto de dato personal: la normativa (RGPD y LOPDn) entiende por dato personal toda información asociada o asociable a una persona física (un DNI, un número de teléfono … y por supuesto también un dato de salud).
En segundo, la ley define algunos tipos de datos (entre ellos los de salud) como datos de categoría especial y les dota de una protección reforzada.
¿Cuándo pueden “tratar” mis datos personales?
La normativa establece seis causas, denominadas “de legitimación” que permiten tratar nuestros datos personales. Si no estamos ante una de esas causas, no es posible solicitar ni tratar nuestros datos.
Esas seis causas son: consentimiento, ejecución de un contrato, interés público, interés legítimo, obligación legal e intereses vitales. Como vemos, no es necesario el consentimiento para solicitarnos un dato personal, si estamos ante uno de los otros cinco supuestos.
Pero en el caso de datos especiales (como la salud) estas causas se reducen más todavía, y además del consentimiento, entre otras (no aplicables) solo pueden ser las siguientes:
- Interés público esencial
- Obligaciones y ejercicios de derechos en el ámbito del Derecho Laboral y de la seguridad y protección social
- Interés público en el ámbito de la salud pública
La situación sanitaria encaja perfectamente con todas ellas.
En estos tres casos se exige además que haya una norma con rango de ley que lo autorice. Este punto es importante, volveremos sobre él más adelante.
¿Pero entonces me pueden pedir mis datos sanitarios?
La respuesta corta es SÍ, en cualquiera de los tres casos anteriores, siempre y cuando haya una ley que lo autorice.
La respuesta larga es algo más compleja, ya que además la normativa exige (principios de minimización, proporcionalidad, etc.) que el mismo objetivo no se pueda conseguir de una forma menos intrusiva para con nuestros datos personales.
Pero eso no es lo que he leído en Twitter …
Lamentablemente, las opiniones en redes sociales son libres y muchas veces erróneas. Como veremos, ni tiene (generalmente y en nuestra opinión) recorrido una denuncia, ni existe el “delito de datos personales”, ni el derecho a la privacidad es absoluto.
Bien, me piden mi CCD para acceder, o me niegan el paso si no lo facilito. ¿Tienen derecho?
Recordemos que estamos hablando del caso en el que nos denieguen un acceso, no que nos denieguen un tratamiento o servicio al que tengamos derecho. Para responder a esta pregunta, un matiz importante. No es lo mismo exhibir un dato médico que tratarlo.
La cuestión ya ha sido revisada por el Tribunal Supremo en su sentencia 1112/2021. Sentencia polémica y muy discutible, pero que hoy marca el camino a seguir.
Afirma el TS:
“Por lo que se refiere al derecho a la protección de datos (artículo 18.4 de la CE) que efectivamente protege no sólo los datos íntimos, sino cualquier información relativa a la persona, también podría verse concernido, si entendiéramos que la circunstancia de haberse vacunado, o no, fuera un dato personal, que aunque no pertenezca a la esfera íntima de la persona, sí es un dato relativo a su privacidad, que está especialmente protegido cuando es objeto de tratamiento”
Sin embargo a continuación indica tajantemente que “exhibir” un certificado a la entrada de un establecimiento de ocio (y por extensión de cualquier otro lugar) NO es un tratamiento de datos personales y no vulnera el derecho fundamental a la intimidad.
“respecto de este derecho fundamental a la protección de datos no se aprecia limitación alguna, cuando lo que se establece, para entrar en el interior de un determinado establecimiento, es la mera exhibición, es decir, enseñar o mostrar la documentación en cualquiera de las tres modalidades exigidas”
Además indica que el impacto de la medida es muy leve sobre la libertad individual:
“Es lo que sucede en este caso, al confrontar la tenue limitación que podría tener la medida examinada sobre los derechos fundamentales a la igualdad (artículo 14), y a la intimidad (artículo 18.1), con el derecho fundamental a la vida (artículo 15), la protección de la salud (artículo 43) en situaciones de la pandemia como la Covid-19, y con el interés general de todos a sobrevivir en estas gravísimas circunstancias, que avalan la procedencia de la medida que se pretende.”
Por otro lado, el Tribunal Supremo ha establecido en la misma sentencia que la medida no es discriminatoria (ya que el CCD no se limita al certificado de vacunación, sino que admite también un certificado de enfermedad pasada o una PCR negativa) y que el derecho a la protección de la salud prevalece sobre el derecho a la privacidad.
“La exhibición de la documentación señalada no vulnera el derecho a la igualdad pues no se produce discriminación entre aquellos que están vacunados y los que no lo están. Recordemos que la documentación reviste una triple modalidad, que resulta asequible a todos, de modo que quien no quiere mostrar si ha sido o no vacunado, teniendo en cuenta el carácter voluntario de la misma, puede presentar el resultado de la prueba PDIA o el test de antígenos, y desde luego el certificado de recuperación de la Covid-19 si ha pasado la infección”
Nos puede gustar mucho o poco (ver aquí) pero este es el criterio a tener en cuenta: si existe una norma con rango de ley que lo autoriza y lo que se pide es la mera exhibición (no se registra) es perfectamente legal.
Luego los dos elementos esenciales quedan definidos así:
- Que se trate de una mera exhibición del CCD
- Que haya una norma con rango de ley que lo autorice
Si se cumplen ambas condiciones, hoy en España es legal la solicitud del CCD, en el único caso que hasta la fecha ha llegado a la sala de lo Contencioso del Tribunal Supremo (los TSJ están fallando en este mismo sentido).
¿Y si no se cumplen?
En ese caso la cosa cambia, sin que eso signifique que estemos ante un delito.
Existen delitos relacionados con la revelación de secretos y violación de la intimidad (197 y siguientes Código Penal) pero no es el caso. Para que estemos ante un presunto delito, debe cumplirse íntegramente el tipo penal, y no existe ningún articulo del CP que castigue sin más la solicitud de un dato personal sin derecho a hacerlo.
Art. 197 CP:
El que, para descubrir los secretos o vulnerar la intimidad de otro, sin su consentimiento, se apodere de sus papeles, cartas, mensajes de correo electrónico o cualesquiera otros documentos o efectos personales, intercepte sus telecomunicaciones o utilice artificios técnicos de escucha, transmisión, grabación o reproducción del sonido o de la imagen, o de cualquier otra señal de comunicación, será castigado con las penas de prisión de uno a cuatro años y multa de doce a veinticuatro meses.
Dicho de otro modo, no tiene sentido (en nuestra opinión) las apelaciones a denunciar ante el Juzgado, ya que esa denuncia no tendrá recorrido. Puede (es cierto) que en algunos casos, si el denunciado es consciente de su ilegalidad, la denuncia pueda servir para que por simple presión cambie su actitud, pero poco más.
Se cita en ocasiones el 511 del Código Penal:
“Incurrirá en la pena de prisión de seis meses a dos años, multa de doce a veinticuatro meses e inhabilitación especial para empleo o cargo público por tiempo de uno a tres años el particular encargado de un servicio público que deniegue a una persona una prestación a la que tenga derecho por razón de su ideología, religión o creencias, su situación familiar, pertenencia a una etnia, raza o nación, su origen nacional, su sexo, edad, orientación o identidad sexual o de género, razones de género, de aporofobia o de exclusión social, la enfermedad que padezca o su discapacidad”
Sin embargo de su mera lectura se ve (en nuestra opinión) que no es aplicable a este caso.
¿Y que nos queda?
Por ello, si consideramos que se nos está negando un derecho por no exhibir el CCD (pongamos por caso el acceso a un hospital) el paso siguiente será pedir la hoja de reclamaciones o documento equivalente y hacerlo constar, llamando a la Policía Municipal si lo deseamos.
La Policía (no parece necesario aclararlo, pero por si acaso) no obligará en ningún caso al hospital o centro privado a dejarnos acceder. Se limitará a levantar un informe de lo sucedido. Y con ese informe podremos acudir a la vía administrativa o a la de consumo (que no son objeto de este texto) o reclamar por violación del RGPD y LOPD.
Para esto último, cuando un interesado considere que sus derechos no han sido respetados por el responsable del tratamiento de sus datos personales debe en primer lugar dirigirse al responsable del tratamiento, que tiene un plazo de un mes para contestar a la solicitud (ampliable a tres meses). Si el responsable no responde en el plazo establecido o si el interesado considera que la respuesta no le ha satisfecho es cuando puede interponer una reclamación en la AEPD.
La reclamación ante la Agencia, que puede hacerse en su sede electrónica, si sigue su trámite normal, hará que se abran diligencias informativas para verificar si se ha cometido una violación de la normativa. Posteriormente podría llegar a abrirse expediente sancionador, o enviar requerimientos para que cese la actitud denunciada. El plazo en cualquier caso sería largo.
¿Y que puede decidir la Agencia?
Pues no me atrevo a juzgarlo porque depende de infinidad de matices, pero voy a recoger (y terminamos) algunos de sus criterios:
«Las autoridades europeas de protección de datos hemos expresado nuestra preocupación por la utilización de certificados dentro de los Estados para finalidades tales como el acceso a tiendas, restaurantes o gimnasios, así como su uso en otros contextos.
La utilización para estos fines de certificados acreditativos de la situación sanitaria en relación con la COVID-19 implica la necesidad de contar con una base legal apropiada que se ajuste a los principios de eficacia, necesidad y proporcionalidad, atendiendo a la existencia de otras medidas de protección que puedan resultar menos invasivas, evitando efectos discriminatorios y estableciendo las garantías adecuadas. En ese sentido, debe tenerse en cuenta que la vacunación no es obligatoria, que hay colectivos que no pueden recibir la vacuna por razones médicas o de otro tipo y que, en último extremo, el proceso de vacunación se basa en unos criterios de priorización que suponen que parte de la población aún no haya podido acceder a la vacuna».