Comunicado AEPD registro de clientes en locales de ocio

• Los datos que se recogen, aunque estén relacionados con el control de la pandemia y su tratamiento y se recojan con el objeto de poder identificar posibles infectados, no son datos de “categorías especiales” según el RGPD.
  
• La recogida de datos, si las autoridades sanitarias acreditan su necesidad, debe ser obligatoria y no precisa del consentimiento del usuario, precisamente por dicha obligatoriedad (artículo 6.1.e) del RGPD “el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento”.
• La recogida y cesión de datos (a las autoridades sanitarias de las CCAA), debe organizarse de forma que el registro permita identificar los posibles contactos, aplicando el principio de minimización, por lo que podría ser suficiente con obtener un número de teléfono, junto con los datos del día y la hora de asistencia al local.
• No sería por tanto necesario, aplicando también el principio de anonimización de los titulares del dispositivo, solicitar el nombre y los apellidos o el DNI.
• Debe aplicarse estrictamente el principio de limitación de la finalidad, de forma que los datos sólo deben poder utilizarse para la finalidad de lucha contra el virus, excluyendo cualquier otra, así como el principio de limitación del plazo de conservación.

Por lo tanto, los establecimientos serían responsables de la recogida de datos en virtud de una obligación legal establecida por una norma con rango de ley y la administración autonómica sería la cesionaria de esos datos por razones de interés público previstos en la ley. La administración autonómica deberá establecer criterios sobre la forma en la que se recogen y comunican esos datos personales a la Administración sanitaria.

Por su parte, los ciudadanos deben recibir una información clara, sencilla y accesible sobre el tratamiento antes de la recogida de los datos personales. En todo caso, la información debe tratarse con las medidas de seguridad adecuadas.