Comunicat de l’AEPD sobre la informació sobre tenir anticossos de la COVID-19 per a l’oferta i recerca d’ocupació

La crisi sanitària provocada per la COVID-19 ha posat de manifest unes certes pràctiques en l’àmbit de la contractació laboral que consisteixen a sol·licitar als candidats a un lloc de feina informació de si han passat la COVID-19 i desenvolupat anticossos com a requisit per accedir al lloc de feina ofert. L’Agència Espanyola de Protecció de Dades considera necessari advertir que aquestes pràctiques constitueixen una vulneració de la normativa de protecció de dades aplicable.

L’informem que l’Agència Espanyola de Protecció de Dades (AEPD), ha publicat un comunicat sobre la informació de tenir anticossos de la COVID-19 per a l’oferta i recerca d’ocupació.

La crisi sanitària provocada per la COVID-19 ha posat de manifest unes certes pràctiques en l’àmbit de la contractació laboral que consisteixen a sol·licitar als candidats a un lloc de treball informació de si han passat la COVID-19 i desenvolupat anticossos com a requisit per accedir al lloc de feina ofert.

L’AEPD considera necessari advertir que aquestes pràctiques constitueixen una vulneració de la normativa de protecció de dadesaplicable.

La informació d’haver patit el coronavirus i desenvolupat anticossos d’aquesta malaltia és una dada personal relativa a la salut, que el Reglament General de Protecció de Dades (RGPD) qualifica de categoria especial en el seu article 9, per la qual cosa la seva recollida i utilització per la possible empresa ocupadora està subjecta a la normativa de protecció de dades, fonamentalment el citat RGPD i la Llei orgànica de protecció de dades personals i garantia dels drets digitals (LOPDPGDD), que resulten plenament aplicables.

El RGPD requereix per al tractament de dades personals l’existència en tot cas d’una base jurídica de les previstes en el seu article 6.1, i quan es tractin categories especials de dades personals, com són les dades relatives a la salut, és necessària també la concurrència d’una de les excepcions previstes en l’article 9.2 del RGPD que permeten aixecar la prohibició del seu tractament.

Entre les bases jurídiques que en principi podrien fonamentar aquest tractament per l’empresa ocupadora trobaríem el consentiment de l’interessat, conforme a l’article 6.1.a) del RGPD, o la prevista en el seu article 6.1.b), relativa al tractament necessari per a l’execució d’un contracte en el qual el candidat és part o per a l’aplicació a petició seva de mesures precontractuals. No obstant això, ni una base ni l’altra serien aplicables en aquest cas.

Consentiment lliure

Perquè el consentiment sigui vàlid ha de consistir en una manifestació de voluntat lliure, específica, informada i inequívoca. El RGPD ha deixat ben clar que el consentiment no s’ha de considerar lliurement prestat quan no es gaudeix de veritable o lliure elecció o no pot denegar o retirar el seu consentiment sense sofrir cap perjudici(considerant 42), o quan existeixi un desequilibro clarentre les parts (considerant 43), com succeiria en aquest cas, en el qual el consentiment estaria condicionat per la necessitat o la voluntat d’accedir a un lloc de treball, la qual cosa anul·laria la llibertat de la persona.

En aquest sentit, el Comitè Europeu de Protecció de Dades ha ratificat les “Directrius sobre el consentiment en el sentit del Reglament (UE) 2016/679”, adoptades el 28 de novembre de 2017 pel Grup de Treball de l’article 29 i revisades per última vegada el 10 d’abril de 2018 (WP259), que consideren que en el context de l’ocupació es produeix un desequilibri de poder donada la dependència que resulta de la relació entre les parts, i no és probable que el candidat pugui negar a l’empresa el consentiment per al tractament de dades sense experimentar temor o risc real que la seva negativa produeixi efectes perjudicials; i, per tant, considera problemàtic que l’empresa realitzi el tractament de dades personals d’empleats actuals o futurs sobre la base del consentiment, ja que no és probable que s’atorgui lliurement.

En conseqüència, no seria lícit un tractament de dades de salut com l’exposat per part de l’empresa basant-se en el consentiment del candidat, ja que no és un consentiment lliure.

De la mateixa manera, tampoc es podria considerar aplicable la base jurídica de l’article 6.1.b) del RGPD (execució d’un contracte), puix que la sol·licitud d’aquesta dada de salut no seria necessàriaper a l’execució o formalització del contracte de treball i, per tant, aquest tractament seria excessiu i contravindria el principi de minimització de dadesfixat en l’article 5.1.c) del RGPD, en relació amb el que es disposa en l’article 7.4.

Des del punt de vista de les excepcions que aixecarien la prohibició de tractar aquestes dades sensibles, el consentiment, que per funcionar com a excepció hagués de ser, a més, explícit, no seria vàlid, per les mateixes raons que s’han indicat en analitzar-ho com a base jurídica.

Caldria analitzar si alguna altra de les excepcions previstes en l’article 9.2 del RGPD, podria ser aplicable. En concret quan el tractament és necessari per atendre les obligacions i l’exercici de drets específics del responsable o de l’interessat en l’àmbit del dret laboral, d’acord amb el que es preveu pel dret de la Unió o dels Estats membres.

En aquest context, sol·licitar informació sobre l’estat d’immunitat enfront de la COVID-19 aniria més enllà de les obligacions i drets específicsque imposa a l’empresa la legislació de dret laboral i de la seguretat i protecció social, en particular del deure de protegir els treballadors enfront dels riscos laborals previst en la Llei 31/1995, de 8 de novembre, de prevenció de riscos laborals.

En primer lloc, perquè l’interessat encara no és ocupada i l’empresa no té per tant obligacions o drets específics enfront d’ell. En segon lloc, perquè la informació sobre una possible immunitat enfront de la malaltia no contribueix significativament a la protecció de la resta del personal o d’aquesta persona, en la mesura en què els protocols de prevenció de riscos adoptats per les autoritats sanitàries i laborals s’apliquen per igual a tot el personal, orientant-se pel que fa a la presència d’infecció als casos sospitosos. Aquests protocols no estableixen cap excepció per a persones que ja hagin patit la malaltia. Finalment, perquè la mateixa consideració s’hauria d’atribuir a la COVID-19 que a qualsevol altra mena de malaltia que pogués comportar un risc d’infecció, sense que es plantegi aquesta qüestió en l’actualitat sobre altres malalties que poguessin resultar de declaració obligatòria a les autoritats sanitàries conforme al Reial decret 2210/1995, de 28 de desembre, pel qual es crea la xarxa nacional de vigilància epidemiològica.

Finalitat del tractament

A més de no existir base jurídica lícita per al seu tractament, la finalitat del tractament tampoc seria legítima.

Tot tractament de dades ha de complir amb els principis establerts en l’article 5 del RGPD, en particular ser tractats de manera lícita i que la seva recollida obeeixi a finalitats legítimes. La sol·licitud d’informació sobre la immunitat a la COVID-19, com a requisit per accedir a un lloc de feina, donaria lloc a una diferència de tracte que no obeeix a una justificació objectiva i raonable.

Situació que el RGPD té en compte, ja que parteix de la premissa que cal protegir els drets fonamentals i la dignitat de les persones en els tractaments que es produeixin en l’àmbit laboral, en particular, a l’efecte de contractació de personal, i els Estats membres poden establir disposicions més específiques que les previstes per als tractaments de dades personals amb caràcter general “per preservar la dignitat humana dels interessats així com els seus interessos legítims i els seus drets fonamentals, prestant especial atenció a la transparència del tractament…” (article 88 i considerant 155 del RGPD).

En definitiva, aquesta dada de salut no pot ser objecte de tractament per l’empresa ni, en conseqüència, sol·licitada als candidats a una ocupació.

Inclusió de la dada en el currículum

En relació amb l’accés a l’ocupació, també s’ha observat la pràctica de reflectir en els currículums dels qui busquen una ocupació, que envien a empreses, informació de ser immune a la COVID-19 per haver generat anticossos enfront d’aquesta malaltia.

Per les raons exposades, no s’ha d’incloure la informació de ser immune a la COVID-19 en un currículum. El potencial destinatari no pot utilitzar aquesta informació que d’altra banda necessitaria una verificació que, com s’ha assenyalat, seria il·lícita, per la qual cosa l’empresa haurà de procedir a suprimir-laper a no infringir la normativa de protecció de dades, la qual cosa podria arribar a implicar la destrucció del currículumquan no fos possible assegurar que la dada de la immunitat no influirà en la decisió que finalment s’adopti, i l’eliminació del candidat del procés selectiu.

La difusió de dades de salut, en ser considerades com una categoria especial de dades personals, amb un tractament que implica l’exigència de garanties reforçades, suposa un risc per a la privacitat i els drets i llibertats dels interessats. El RGPD, en el seu considerant 75, recull que els riscos per als drets i llibertats de les persones físiques, de gravetat i probabilitat variables, es poden deure entre altres al tractament de dades relatives a la salut, com seria un tractament de les dades sobre la immunitat enfront de la COVID-19.

Font: AEPD

Es poden posar en contacte amb aquest despatx professional per qualsevol dubte o aclariment que puguin tenir sobre aquest tema.