¿Qué pasaría si tu empleador pudiera conocer que te has infectado de VIH y, a partir de eso, decidiera apartarte del resto de tus compañeros para “protegerlos” de un posible contagio? Terrible, ¿no? Pues casos como esos hay muchos, en el que entregar datos especialmente sensibles puede hacernos víctimas de discriminación.
Es que a veces no somos conscientes del nivel de riesgo al que nos exponemos al entregar determinada información personal a otra empresa o persona. Por eso, normativas como el RGPD o la Ley Orgánica de Protección de Datos (LOPD) han establecido que hay una categoría de datos que ni aún con el consentimiento del usuario se pueden tratar: los datos especialmente sensibles.
Veamos, a continuación, cuáles son, cuándo y cómo tratarlos:
Qué tipos de datos son especialmente sensibles
Los datos que se consideran especialmente sensibles son aquellos que pueden aportar información de una persona que podría afectar sus libertades y derechos fundamentales. Por lo tanto, requieren una mayor protección, siendo que, en principio, no pueden ser tratados, salvo algunos casos especiales que veremos más adelante.
Pero, en concreto, ¿cuáles son los datos especialmente sensibles? Los siguientes:
El origen étnico o racial
Aunque la normativa europea no reconoce que existan razas distintas de humanos, sí entiende que existen diversas etnias que no son tratadas de forma igualitaria en todos los contextos. Por eso, señala que los datos que permitan identificar el origen étnico de una persona pueden llevar a discriminarla y a limitar el ejercicio de sus derechos y libertades y es necesario protegerlos.
Las opiniones políticas
Hoy más que nunca y, sobre todo en entornos como el de internet, la información sobre las opiniones políticas puede poner en peligro a las personas. Como consecuencia, son también considerados datos especialmente sensibles.
Las convicciones religiosas o filosóficas
Del mismo modo que con las opiniones políticas, las convicciones religiosas y filosóficas pueden determinar el acceso de los usuarios al ejercicio de sus libertades y derechos. También pueden ser un peligro para la vida y la salud en algunos espacios.
La afiliación sindical
En algunos contextos, conocer si una persona está afiliada a un sindicato, puede condicionar su capacidad para acceder a oportunidades educativas y laborales. E inclusive puede poner en riesgo su vida. Por ello, también se considera un dato especialmente sensible.
La información genética y de salud
Se consideran como datos de salud al historial clínico, los ciclos menstruales u otros datos que muestren el estado fisiológico o mental de la persona. En el caso de los datos genéticos, son aquellos que informan de sus características únicas heredadas o adquiridas, que se suelen obtener de muestras biológicas.
Como vimos en el ejemplo inicial, el compartir información genética y de salud no solo puede afectar nuestro bienestar individual, sino que puede afectar también a cómo nos percibe la sociedad. Peor aún, puede hacernos objetos de discriminación e impedir que accedamos a nuestros derechos básicos.
Los datos biométricos:
Son datos sobre las características físicas, fisiológicas o conductuales de una persona. Entre estos se incluyen la huella dactilar, el tono de la voz, la forma y color del iris, de la cara, de la retina, la mano, entre otros que suelen ser utilizados para identificar de forma única a las personas. Obtenerlos puede poner en peligro a nosotros mismos y a las personas de nuestro entorno.
La vida u orientación sexual
Conocer información acerca de las parejas sexuales de una persona, su identidad y orientación sexual puede ser peligroso para ella y someterla a discriminación. Para protegerla, este tipo de datos son considerados especialmente sensibles.
Información de condenas e infracciones penales
Es sabido que muchas veces las personas que han pasado por prisión no pueden acceder a libertades y derechos como el trabajo o la educación. Por este motivo, este tipo de información se considera especialmente sensible.
Cuándo se pueden tratar datos especialmente sensibles
Tal como ya señalamos, la normativa de privacidad europea prohíbe el tratamiento de datos especialmente sensibles. Sin embargo, en algunos casos específicos sí es posible:
- Si el usuario dio su consentimiento explícito, a excepción de situaciones en las que la ley lo prohíbe.
- Si el responsable necesita tratarlos para poder cumplir con sus obligaciones laborales y de la seguridad social.
- Cuando el usuario dueño de los datos no se encuentra capacitado física o jurídicamente para dar su consentimiento y la información es necesaria para proteger sus intereses vitales.
- Cuando quien realizará el tratamiento es una organización sin ánimo de lucro, una fundación o asociación, dentro de sus funciones legítimas y los usuarios son personas que pertenezcan o tengan relación frecuente con ella.
- Si se trata de datos que el usuario ha hecho públicos.
- Para poder ejercer el derecho de defensa del usuario ante los tribunales.
- Si existe un interés público esencial por cumplir al tratar los datos.
- Si el tratamiento de los datos para desarrollar actividades de prevención sanitaria o de medicina laboral y quien realiza el tratamiento es un profesional con obligación de guardar reserva sobre esta información.
- Para desarrollar estrategias o actividades de salud pública nacional o transfronteriza, como sucedió durante la pandemia de la covid-19.
- Si el objetivo es estadístico, de archivo o realizar una investigación histórica o científica.
Medidas recomendadas para proteger los datos especialmente sensibles
Cuando tratas datos especialmente sensibles es importante tener un mayor cuidado que cuando se tratan otro tipo de datos. No solo para evitar sanciones y multas, sino el peligro para la seguridad de las personas que te confiaron esa información. En Talos Abogados te recomendamos aplicar algunas medidas para minimizar el riesgo.
Elaborar un RAT
Un RAT es un registro de actividades del tratamiento, es decir, es un documento en el que se detallan todas y cada una de las actividades que se realizan con datos personales. Es un documento que no es obligatorio en el RGPD, pero que en la práctica termina siéndolo para todo aquel que trata datos personales, más si son datos especialmente sensibles.
El RAT debe ser elaborado tanto por el responsable como por los encargados del tratamiento. Para darte una idea de qué tipo de información debe contener te recomendamos leer este artículo.
Hacer un análisis de riesgos
Un siguiente paso es tomar la información obtenida del RAT para identificar posibles riesgos para las libertades y derechos de las personas que podrían tener todas las operaciones de tratamiento de datos que realizas.
Para lograrlo, deberá identificarse qué y cuántos datos especialmente sensibles tratas, cuántas personas podrían ser afectadas por una brecha o si se utiliza tecnología invasiva para obtenerlos. También puedes interrogarte si se perfila a los usuarios o se les hace seguimiento, entre otras cosas.
Todas estas interrogantes deberán ser contestadas y fundamentadas con documentación.
Evaluar el impacto del tratamiento
Luego de conocer los riesgos a los que te enfrentas, será necesario calcular la probabilidad de que estos sucedan y cuál podría ser el posible impacto para los usuarios. En concreto, debes incluir lo siguiente:
- Describir las operaciones del tratmiento y sus fines. Además en algunas ocasiones requerirás también justificar las bases para realizarlo.
- Evaluar qué tan necesario y proporcional es el tratamiento, para cumplir con el principio de minimización.
- Evaluar los riesgos para los usuarios.
- Establecer cómo se afrontarán los riesgos, detallando todas las medidas de seguridad que se tomarán.
Aplica medidas de seguridad de la información
Es innegable que un gran aliado para evitar este tipo de incidentes es la tecnología de seguridad de la información como el cifrado de extremo a extremo, las copias de seguridad, el cifrado de contraseñas, entre otras.
Pero también son necesarias medidas organizativas como controles de acceso y capacitación en seguridad al personal que accede a los datos. Todo esto evitará que tu empresa pueda ser víctima de una brecha de seguridad.
Designa un DPD
Dados los riesgos que conlleva el tratamiento de datos especialmente sensibles, es necesario que el cumplimiento que realices de la normativa sea minucioso. Por lo tanto, aunque la normativa solo requiere que contrates un delegado de protección de datos o DPD si tratas una gran cantidad de datos sensibles, te recomendamos que cuentes con una persona dedicada a supervisar que así sea.
Recomendación final
Una medida que será fundamental para asegurarte un tratamiento adecuado a la normativa de los datos especialmente sensibles es contar con la asesoría de un abogado experto en privacidad, como los de Talos. Nosotros podemos ayudarte a identificarlos, así como a sus riesgos asociados y las medidas que podrías tomar para evitarlos. También podemos hacernos cargo de supervisar el cumplimiento del RGPD y la LOPD. Pide una cita con nuestros abogados para asegurarte de cumplir la normativa de privacidad.
Foto de Jair Lázaro en Unsplash
