Interés vital y protección de datos

Foto de Camilo Jimenez en Unsplash.

En el considerando 4 del Reglamento General de Protección de Datos (RGPD) el legislador determina que el derecho a la protección de datos está concebido para servir a la humanidad y no es un derecho absoluto, sino que debe considerarse en relación con su función en la sociedad y mantener el equilibrio con otros derechos fundamentales planteando, caso a caso, el concepto de proporcionalidad y ponderación de derechos con el objetivo de garantizar el adecuado equilibrio de los bienes jurídicos en juego.
En esta línea de proporcionalidad y ponderación, el considerando 46 pone de manifiesto que la licitud del tratamiento o el levantamiento de la prohibición de tratar categorías especiales de datos cuando sea necesario para proteger un interés esencial para la vida del interesado o de otra persona física únicamente debe entenderse sobre la base del interés vital de otra persona física cuando el tratamiento no pueda basarse manifiestamente en una base jurídica diferente. 

El concepto de “Necesario para la protección de un interés esencial para la vida de una persona” debería definirse en base a los requisitos siguientes:

• El tratamiento de datos personales es para proteger la vida de una persona: Se requiere procesar datos personales con el objetivo de salvaguardar la vida de una persona.
• No sería posible la salvaguarda de la vida de una persona si el tratamiento no se realiza: esto es, se trata de un interés “esencial para la vida”. El tratamiento de datos personales debe ser necesario e idóneo para proteger razonadamente un interés vital esencial para la vida de una persona, el propio interesado o un tercero. Si fuera posible proteger a una persona de manera menos intrusiva no se aplicaría este fundamento jurídico.
• Datos de salud: En la mayoría de los casos, el interés vital será invocado en un contexto médico y no es posible el tratamiento de datos de salud basándose en la protección de un interés esencial para la vida del interesado cuando el tratamiento tenga en sus fines alguno de los objetivos señalados en los artículos 6 y 9 del RGPD que no sea la protección de un interés esencial para la vida de una persona física, por ejemplo, cuando el tratamiento pudiera basarse en el consentimiento o cuando el tratamiento se encuentre en el ámbito de la salud pública o la asistencia sanitaria sobre la base del derecho de los Estados miembros o de la Unión o cuando el tratamiento sea necesario en virtud de un contrato con un profesional sanitario. Por otra parte, el RGPD en su artículo 9.2, letra c) requiere que el interesado no esté capacitado, física o jurídicamente, para dar su consentimiento, sin embargo, la incapacidad física o jurídica no sustituye de manera automática al resto de los fines y objetivos que se señalan en los artículos 6 y 9 del RGPD.
• Aplicación de la responsabilidad proactiva y la gestión del riesgo: El tratamiento para proteger un interés vital esencial para la vida de una persona física debe ejecutarse con la mayor celeridad y nunca debe demorarse por trabas administrativas. Para proteger los derechos de los interesados ya han de estar previstos los mecanismos de registro de acceso a sistemas de información y la documentación a posteriori sobre la asistencia realizada.

Estas condiciones se establecen en los artículos 6(1)d) y 9(2)c) del RGPD. En general, estos artículos serán aplicables en los tratamientos de datos de salud o categorías especiales de datos relativas a la salud del interesado o de un tercero en aquellos casos en los que no llevar a cabo el tratamiento pueda poner en riesgo razonable la vida de una persona y no exista otra base jurídica que identifique un propósito para el que dicho tratamiento es necesario. 

Por ejemplo, cuando el interesado se encuentre inconsciente en un caso de emergencia médica y no pueda prestar su consentimiento y dicho tratamiento es necesario tal como lo establece el artículo 9(2)c) y el artículo 6(1)d) del RGPD. O, como ha tenido ocasión de pronunciarse esta AEPD en su informe 17/2020, en casos de epidemia y conforme al Considerando (46), esta base jurídica puede fundamentar tratamientos de “otras personas físicas” cuando “[respondan] tanto a motivos importantes de interés público como a los intereses vitales del interesado, como por ejemplo cuando el tratamiento es necesario para fines humanitarios, incluido el control de epidemias y su propagación, o en situaciones de emergencia humanitaria, sobre todo en caso de catástrofes naturales o de origen humano.

Cuando los datos de salud son necesarios para proporcionar a los interesados servicios relacionados con su salud por cumplimiento de una misión de interés público (art. 6.1.e) RGPD, o el cumplimiento de una obligación legal (art. 6.1.c) RGPD), no estaríamos en los casos señalados en los artículos 6(1)d) y 9(2)c) del RGPD, por no darse el criterio de la esencialidad para el interés vital, que con un carácter de urgencia o emergencia se requiere por el RGPD para la aplicación del interés vital como base jurídica o para levantar la prohibición del artículo 9.1 del RGPD. Tampoco es posible el tratamiento de categorías especiales de datos basándose en el interés legítimo o en la ejecución de un contrato, pues ninguna de estas finalidades se encuentra entre las excepciones señaladas en el artículo 9.2 del RGPD, exceptuando aquellos contratos que tuvieran por objeto la asistencia de profesionales sanitarios.

En conclusión los artículos 9(2)c) y 6(1)d) del RGPD establecen un sistema de ponderación que protege el interés esencial para la vida de una persona (o de “otras personas físicas”, por ejemplo en caso de pandemias) en los casos en que pueda existir conflicto con el derecho a la protección de datos personales en situaciones en las que sea necesario tratar datos del interesado o de un tercero, y no llevar a cabo el tratamiento de dichos datos implique una amenaza para la vida de una persona (interesado o terceros) en situaciones en las que no es posible obtener el consentimiento del interesado, circunstancias que legitiman el tratamiento de datos de salud y hacen prevalecer el interés vital esencial para la vida de las personas sobre otras consideraciones, en caso de que se den las circunstancias que permitan utilizar dicha base jurídica.

Por supuesto, dichas condiciones han de ser reales y surgen fruto de situaciones excepcionales y concretas que no han podido ser previstas con antelación y excluye  cualquier tratamiento de datos que pudiera llevarse a cabo para la prestación habitual de un servicio al interesado o a un tercero cuyos fines pudieran encontrarse dentro del resto de consideraciones previstas en los artículos 6 y 9 del RGPD distintas a las establecidas en sus apartados  9(2)c) y 6(1)d) del RGPD.

Este post está relacionado con materiales publicados por el Comité Europeo de Protección de Datos (EDPB) y otras autoridades de control:

• Directrices sobre decisiones individuales automatizadas y elaboración de perfiles a los efectos del Reglamento 2016/679 [feb 2018)
• Dictamen 06/2014 sobre el concepto de interés legítimo del responsable del tratamiento [abril 2014]
• https://www.autoriteprotectiondonnees.be/professionnel/rgpd-/bases-juridiques/sauvegarde-des-interets-vitaux
• https://ico.org.uk/for-organisations/uk-gdpr-guidance-and-resources/lawful-basis/a-guide-to-lawful-basis/lawful-basis-for-processing/vital-interests/#viin3