Comunicación social
RECOMENDACIONES PARA RESPONSABLES DE TRATAMIENTOS DE DATOS PERSONALES, DERIVADOS DE LA LUCHA CONTRA EL COVID-19
Lunes, 06 de abril de 2020
Consideraciones previas
En fecha treinta de marzo de dos mil veinte, se publicó en Diario Oficial de la Federación el acuerdo por el que se declara como emergencia sanitaria por causa de fuerza mayor, a la epidemia de enfermedad generada por el virus SARS-CoV2 (COVID-19).
En aras de poner freno al contagio y luchar por la salud pública, autoridades públicas, así como instituciones de salud, públicas y privadas, están adoptando y ejecutando acciones, y realizando considerables esfuerzos para mitigar los efectos nocivos de la propagación de la epidemia generada por el Covid-19 entre la población.
Las acciones que se están ejecutando, conllevan el tratamiento de datos personales concernientes a posibles contagiados y a pacientes. La batalla que se está librando contra el Covid-19 necesita, sin lugar a dudas, del manejo de información personal de carácter muy sensible, como lo es el estado de salud, así como otros datos que, de manera agregada, suponen una herramienta tremendamente útil para conseguir el control de la pandemia y reducir los efectos de ésta entre la salud de la población.
Ahora bien, la situación que actualmente acontece no puede obviar la existencia de la protección de los datos personales como un derecho fundamental, consagrado en el artículo 16, párrafo segundo de la Constitución Política de los Estados Unidos Mexicanos. En ese sentido, la excepcionalidad de la situación que se vive en nuestro país, no puede llegar a implicar, ipso facto, la suspensión total del derecho fundamental de protección de datos personales. Sin embargo, el régimen jurídico de protección de datos personales, que prevé una serie de principios y obligaciones que informan de cómo ha de efectuarse el manejo de los datos personales, tampoco puede llegar a suponer una limitación de la efectividad de las medidas que se adopten por las autoridades competentes. Al respecto, cabe destacar que el propio artículo 16, párrafo segundo, de nuestra Carta Magna establece ciertos supuestos de excepción a los principios y obligaciones que rigen el tratamiento de datos personales, entre los que se encuentra, la salud pública, la protección de derechos de terceros o, incluso, el orden público.
En ese orden de ideas, se considera imprescindible establecer un juicio de ponderación entre el interés general, consistente en la salvaguarda de la salud pública, y el interés particular, que corresponde a los posibles contagiados y a los pacientes de Covid-19. La ponderación en ningún caso supone establecer un orden jerárquico entre ambos, sino de lo que se trata es de establecer un orden de preferencia en relación a un caso concreto a través de un juicio o razonamiento de proporcionalidad. En la práctica, esto se traduce en esbozar una argumentación que justifique la postergación circunstancial de un principio o derecho igualmente válido. Esto debe ser conjugado con el párrafo primero del artículo 1 de la Constitución Mexicana, del cual se desprende que los derechos humanos sólo se restringen en los casos y condiciones que la propia norma suprema establece, es decir, únicamente ante derechos del mismo peso.
En consecuencia, este organismo garante invita a las autoridades y a las instituciones de salud a que consideren un mecanismo de combate contra la epidemia, que sea respetuoso con el núcleo esencial del derecho humano a la protección de los datos personales, sin que ello suponga menoscabo a la efectividad de las medidas de protección a la salud pública.
Partiendo de dichas consideraciones, el Instituto de Transparencia, Acceso a la Información Pública y Protección de Datos Personales del Estado de Puebla (ITAIPUE) emite las siguientes
RECOMENDACIONES
- Recabar los datos personales que sean estrictamente necesarios para el diagnóstico médico, la prestación de asistencia sanitaria, el suministro de tratamiento médico, o la realización de los trámites y gestiones sanitarios. Asimismo, recabar los datos personales y demás información agregada que sea proporcional para la salvaguarda de la salud pública y la protección de derechos pertenecientes a terceros. En ese sentido, deberá estarse a las instrucciones que las autoridades competentes, entre ellas, la autoridad sanitaria, determine. Los particulares y las instituciones públicas o privadas de salud, no podrán determinar qué concretos datos son necesarios para el cumplimiento de las finalidades definidas.
- Salvaguardar la confidencialidad de los datos personales de los posibles contagiados, pacientes y fallecidos por Covid-19, y evitar difundir, divulgar, comunicar, transmitir, transferir, remitir o dar a conocer a personas no autorizadas, datos personales de los mismos, en base a los cuales se pueda determinar, directa o indirectamente, la identidad de los titulares.
- Evitar la captura o difusión de imágenes, vídeos, o grabaciones de voz, respecto de posibles contagiados, pacientes y fallecidos por Covid-19. Lo anterior, en aras a evitar lesionar su honor, reputación, imagen, nombre, dignidad, y demás intereses y derechos de los mismos, así como afectar a personas de su círculo social, familiar, académico y laboral.
- Fomentar la transparencia e información al titular de los datos personales, proporcionándole, en la medida en que la situación lo permita, el respectivo aviso de privacidad, así como comunicándole la finalidad del tratamiento al cual serán sometidos sus datos personales, las transferencias o comunicaciones de datos personales que pudiera haber lugar, los plazos de conservación de sus datos personales, los derechos y prerrogativas que tiene a su disposición, etc. En caso de que las autoridades competentes llegaren a determinar la necesidad de recabar datos de geolocalización o trazabilidad de los movimientos de los ciudadanos, los responsables deberán informar tal extremo a los titulares.
- Indicar a los titulares los datos personales que serán objeto de transferencias y comunicaciones, reduciendo al mínimo indispensable la información que se transmite. Asimismo, indicar a los titulares los responsables receptores de los datos personales que se transfieran o comuniquen.
- Aplicar la disociación de los datos personales, a efectos divulgativos, científicos, estadísticos, y de minería y procesamiento de datos. En la medida de lo posible, contemplar la seudonimización de los datos personales denominativos, a fin de garantizar la confidencialidad de la identidad de los titulares.
- Implementar medidas de seguridad eficaces, que garanticen la confidencialidad, integridad y disponibilidad de los datos personales de los titulares.
- Abstenerse de emplear los datos personales obtenidos con motivo del diagnóstico médico, la prestación de asistencia sanitaria, el suministro de tratamiento médico, o la realización de los trámites y gestiones sanitarios, para fines distintos. Las finalidades del tratamiento deben limitarse, expresa y específicamente, al control de la epidemia y la protección de los intereses y derechos de los posibles contagiados, pacientes y ciudadanos.
- Toda comunicación que se realice a una empresa o institución sobre la posible presencia de Covid-19 en el lugar de trabajo, no debe identificar a ningún colaborador de forma individual.
Finalmente, se recuerda que el artículo 20 de la Ley de Protección de Datos Personales en Posesión de Sujetos Obligados del Estado de Puebla establece una serie de excepciones al deber de obtener el consentimiento del titular para el tratamiento de sus datos personales, tales como:
- Cuando una norma con rango de ley señale expresamente que no será necesario el consentimiento del titular para el tratamiento de sus datos personales, por razones de seguridad pública, salud pública, disposiciones de orden público o protección de derechos de terceros;
- Cuando exista una situación de emergencia que potencialmente pueda dañar a un individuo en su persona o en sus bienes, o
- Cuando los Datos Personales sean necesarios para la prevención, el diagnóstico médico, la prestación de servicios de asistencia sanitaria, el Tratamiento médico, o la gestión de servicios sanitarios.
Sin embargo, la actualización de alguna de las citadas causales no exime al responsable del cumplimiento de las obligaciones previstas en la Ley de Protección de Datos Personales en Posesión de Sujetos Obligados del Estado de Puebla y demás disposiciones que resulten aplicables.