Tras el final de las vacaciones, ya iniciado un nuevo curso escolar, nos enfrentamos ante una vuelta al “cole” sin precedentes después de más de 6 meses sin clases, y todo debido a la situación provocada a partir del COVID-19. Las dudas y la incertidumbre serán las protagonistas una vez más desde que el coronavirus irrumpiera en nuestras vidas. La vuelta a la rutina será esta vez de todo menos rutinaria.
Si bien es cierto que cada una de las CCAA ha ido desarrollando sus propios planes, protocolos y decálogos de contingencia contra el coronavirus para una vuelta a la actividad educativa presencial segura, más allá de las diferencias propias de cada territorio, todos ellos giran en torno a la aplicación/implementación de una serie de medidas comunes de cara a la prevención y control ante la aparición de nuevos rebrotes de la pandemia en los centros educativos.
La vuelta a los centros escolares se está viendo marcada por estos nuevos protocolos de actuación en los que además de las ya conocidas medidas de distanciamiento social, creación de horarios de lavado de manos o clases híbridas que combinen formación telemática y presencial, una de las medidas más destacadas y que está irrumpiendo con más fuerza es el control de temperatura corporal de manera sistemática a la entrada de los centros escolares y que en breve pasará a convertirse en una realidad más de nuestro día a día.
En la propia Declaración de actuaciones coordinadas en Salud Pública frente al COVID-19 para los centros educativos aprobado el pasado 27 de agosto por el Gobierno, se prevé como medida la toma de temperatura corporal del alumnado y el personal de forma previa al inicio de la jornada, derivando eso sí la responsabilidad en los propios centros la forma de llevar a cabo esta actuación, más el añadido de evitar en todo caso aglomeraciones y asegurando el mantenimiento de la distancia interpersonal de al menos 1,5 metros.
¿Entonces, cómo deben actuar los centros educativos para llevar a cabo la implementación de estos controles de temperatura sin olvidar las implicaciones que la misma puede tener para la protección de datos personales de los afectados?
Ya en su día la Agencia Española de Protección de Datos (en adelante AEPD), puesto que el tratamiento de la toma de temperatura podría implicar una injerencia particularmente intensa en los derechos de los afectados, elaboró un donde expresaba su preocupación por este tratamiento cada vez más generalizado en comercios, centros de restauración y demás zonas de acceso público. En su comunicado la Agencia revisaba varios puntos a tener en cuenta sobre los cuales ya tratamos en un
Pero hoy, ante el inusual inicio de este nuevo curso escolar nos vamos a centrar en este nuevo escenario como son los centros escolares e intentar que los mismos puedan dar respuesta a ciertas cuestiones de cara a llevar a cabo una correcta implementación de estos controles de temperatura en su instalaciones, teniendo en cuenta que la única finalidad de esta medida debería ser la protección de terceros y detección de posibles personas contagiadas impidiendo su acceso al centro, sin olvidar los límites y garantías específicos para el tratamiento de los datos personales de los afectados.
La primera pregunta que debemos hacernos es ¿Podemos considerar el control de temperatura como un tratamiento de datos personales en sí mismo?
Recientemente el Supervisor Europeo de Protección de datos (en adelante SEPD), haciéndose eco de la implantación de forma generalizada de estos controles de temperatura como parte de las medidas de salud y seguridad para prevenir una propagación por COVID-19 por parte de instituciones, agencias y organismos europeos, ha publicado unas orientaciones y recomendaciones para la implementación de tales controles de temperatura la cuales podemos extrapolar a lo que nos trae hoy aquí y despejar dudas sobre en qué supuestos nos encontramos ante un tratamiento de datos personales.
En este contexto el SEPD distingue claramente dos supuestos:
1. CONTROLES DE TEMPERATURA CORPORAL BÁSICOS NO SUJETOS A RGPD:
Aquellos diseñados para medir únicamente la temperatura corporal, llevados a cabo de forma manual y que no van seguidos de un registro, documentación u otro procesamiento que permita vincular dichos controles de temperatura a un interesado. Por tanto, en ausencia de cualquier registro de temperatura, tales mediciones no pueden ser consideradas como un tratamiento de datos personales, de tal forma que los mismos estarían excluidos del ámbito de aplicación del RGPD, de forma que el uso a la entrada del colegio de un termómetro analógico o digital solo de como resultado la visualización de la temperatura. Sin embargo, no debemos olvidar que el uso sistemático de estos controles puede suponer una injerencia en la privacidad del art. 7 de la Carta De Derechos Fundamentales de la UE que establece que: “Toda persona tiene derecho al respeto de su vida privada y familiar” y por tanto sujeto a los principios de legalidad, necesidad y proporcionalidad que el artículo 52 de dicha carta establece:
«Cualquier limitación del ejercicio de los derechos y libertades reconocidos por la presente Carta deberá ser establecida por la ley y respetar el contenido esencial de dichos derechos y libertades. Sólo se podrán introducir limitaciones, respetando el principio de proporcionalidad, cuando sean necesarias y respondan efectivamente a objetivos de interés general reconocidos por la Unión o a la necesidad de protección de los derechos y libertades de los demás»
2. CONTROLES DE TEMPERATURA SUJETOS A RGPD:
Cuando los controles de temperatura corporal operados manualmente van seguidos por un registro y procesamiento ulterior de los datos personales como en el uso de dispositivos digitales avanzados de medición de la temperatura, dicha medición de temperatura constituye un “procesamiento” de “datos personales” total o parcialmente automatizado en el sentido del artículo 2.5 RGPD, al recopilar información relativa la temperatura corporal de una persona identificada o identificable. (3.1 y 3.3 del RGPD), y por tanto si encajables dentro del ámbito de aplicación del actual RGPD. Los datos tratados en cuestión además son datos de salud, puesto que los mismos puede revelar información sobre el estado de salud de una persona con respecto a una posible infección por COVID-19 y por tanto especialmente protegidos.
En este contexto el SEPD aborda a continuación una lista no exhaustiva de recomendaciones que deben tenerse debidamente en cuenta para garantizar que existen las salvaguardias adecuadas cuando el sistema de control de temperatura entra dentro del ámbito de aplicación del Reglamento:
• Los sistemas para realizar controles de la temperatura corporal deben operar de forma independiente y no vinculado a ningún otro sistema de TI y, en particular, no debe estar conectado al sistema de seguridad como la red CCTV. Ser independiente también significa que el sistema para realizar controles de temperatura corporal no esté vinculado a ninguna forma de verificación de identidad. Dando cumplimiento en este sentido al principio de protección de datos desde el diseño, deberían diseñarse como un sistema en tiempo real sin realizar ningún registro de la lectura.
• Se debe verificar que no haya grabación de las imágenes térmicas y que los resultados solo se muestren en la pantalla “en vivo”. Si el sistema puede transmitir imágenes de forma remota a través de un protocolo cableado o inalámbrico (por ejemplo: ZigBee, Bluetooth, Wi-Fi, Ethernet), debe aislarse de otras redes.
• Es necesario analizar el ciclo de vida de los datos, para garantizar que no se produzca ninguna grabación o almacenamiento.
• Principio de limitación de finalidad. El propósito del sistema para realizar controles de la temperatura corporal debe seguir siendo únicamente el de detectar posibles personas contagiadas y evitar su acceso a un determinado lugar y su contacto dentro de él con otras personas, pero esos datos no deben ser utilizados para ninguna otra finalidad.
• De igual modo, el principio de exactitud, aplicado en este contexto, implica que los equipos de medición que se empleen deben ser los adecuados para poder registrar con fiabilidad los intervalos de temperatura que se consideren relevantes. Se debe explicar y documentar la selección de un umbral de temperatura específico. Conviene insistir, a este respecto, en el impacto que sobre los interesados tendría que la identificación de un posible indicador de la existencia de contagio resultara errónea como consecuencia de un equipo inapropiado o de un mal desarrollo de la medición.
CUESTIONES A TENER EN CUENTA PARA AMBOS TIPOS DE CONTROLES
El SEPD insiste en todo caso que, ya optemos por uno u otro sistema, siempre debemos cumplir con el principio de transparencia, de forma que cualquier persona que acceda al centro escolar sea informada claramente de que existe un sistema de control de temperatura con indicación clara de los siguientes extremos:
1. Indicación del motivo del control de temperatura a través de un cartel informativo a la entrada del centro.
2. Los carteles con dicha información deber colocarse en lugares claramente visibles y que sean legibles.
3. Si algún interesado tiene alguna duda sobre el dispositivo de medición de temperatura y qué datos se recopilan, los mismos tendrán derecho a recibir información más detallada y adicional por parte del centro como responsable de los mismos.
Nuestra recomendación es que todos aquéllos centros que vayan a decantarse o se encuentren obligados por los protocolos o planes de sus respectivas CCAA a la implementación de un control de temperatura a la entrada del centro escolar, opten por un sistema de toma de temperatura manual sin registro de este dato como fórmula más garantista con los derechos a la personas a su vida privada y a la protección de su datos personales, reduciendo a la mínima expresión el impacto en la privacidad de las personas para alcanzar el resultado deseado como es la protección de la salud de todos.
¿Qué ocurre con los datos personales de alumnos positivos en COVID -19?
En el caso de verificación de un positivo deberá seguirse el procedimiento establecido al efecto por las autoridades sanitarias y aquellos que se determinen en los propios protocolos de actuación de los centros intentando establecer la medición de temperatura lo más homogénea posible, no permitiendo el acceso al centro de aquellos alumnos en los que se detecte una temperatura superior a los límites establecidos por las autoridades sanitarias. Para ello, la entidad tomará las medidas oportunas para salvaguardar su privacidad, estableciendo una distancia mínima entre las personas que se encuentren en la entrada de las instalaciones, y comunicando la imposibilidad de acceder a las mismas con la mayor discrecionalidad posible.
En este sentido el personal docente y el equipo Covid -19 deberá, en cumplimiento de su deber de secreto y confidencialidad, mantener el anonimato de la identidad y los datos de los casos que sean sospechosos o confirmados evitando estigmatizaciones.
Antes de acabar este post, como recordatorio hemos de tener especial cautela con la difusión sobre los posibles positivos por Covid-19 en los grupos de Whatsapp en los colegios. La AEPD ya se pronunció en su día en lo relativo a la “exención doméstica” de las actividades de un usuario en las Redes Sociales limitada por la necesidad de garantizar los derechos de los terceros, especialmente por lo que se refiere a los datos sensibles como son los datos de salud, los cuales sólo pueden publicarse con el consentimiento explícito de la persona interesada o si esta misma persona ha hecho públicos estos datos.
No es la primera vez que la AEPD ha sancionado a los particulares que difundan ilegalmente a través de estas plataformas o Redes Sociales, contenidos especialmente sensibles de terceros y que pueden ser constitutivos de un delito.
