La Agencia Española de Protección de Datos (AEPD) considera “desproporcionado” que, en la identificación de los comensales en el interior de los locales de restauración de fase 1 y 2, se solicite el número DNI. Teniendo en cuenta que debe cumplirse el principio de minimización –que es el mismo precepto que ha primado en la Comisión Europea durante toda la pandemia, por ejemplo cuando se creó la app Radar Covid–, no es tampoco necesario “solicitar el nombre y los apellidos”, dado que son “innecesarios para la finalidad de avisar a los posibles contactos”. Estas recomendaciones de la AEPD, que se realizaron en julio del año pasado dado el incremento de medidas de este calibre, chocan de frente con la resolución del Gobierno de Canarias publicada en el Boletín Oficial de Canarias (BOC) el pasado viernes, donde se establecía que todos los restaurantes en fase 1 y 2 tendrán que llevar un registro de los clientes que utilicen las zonas interiores.
La AEDP afirma que el hacer un seguimiento adecuado de la evolución de los contagios y de la obligación de tomar datos y cederlos a las autoridades sanitarias tiene su fundamento en la garantía de un interés público de controlar la pandemia. Por tanto, queda amparada en el artículo 6.1.e del RGPD, que señala que “el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento”. Amparado, además, en el estado de alarma vigente, no es necesario que la norma tenga rango de ley (la de Canarias es una resolución). Eso sí, una vez culmine –previsiblemente el 9 de mayo–, para que Canarias pudiera continuar con esta medida tendría que ampararse en una ley.
El sector denuncia la vaga redacción de la norma y la falta de información por parte del Gobierno
La normativa canaria cumple ahora la mayoría de preceptos a los que hace alusión la Agencia, como hacer obligatorio el hecho de tomar datos y cederlos por parte de los establecimientos o incluir un plazo para la conservación de los mismos (un mes). Sin embargo, cojea en otros. La administración autonómica no ha establecido “criterios sobre la forma en la que se recogen y comunican esos datos personales a la Administración sanitaria”, principal motivo de queja del sector. La hostelería ha denunciado la vaga redacción de la resolución y la falta de información por parte de la Administración, a pesar de que la medida se ha tenido que estar aplicando en las islas en niveles 1 y 2 (todas a excepción de las capitalinas) desde el mismo viernes en el que se publicó del BOC.
Además, Canarias se ha sobrepasado en la cantidad de datos solicitados dado que, desde la creación de la app Radar Covid, el Comité Europeo de Protección de Datos ha establecido el principio de minimización, en virtud del cual “podría ser suficiente con obtener un número de teléfono, junto con los datos del día y la hora de asistencia al lugar”. Y así lo han dejado reflejado en la Recomendación sobre el uso de datos de localización y aplicaciones de seguimiento de contactos en el contexto de la pandemia que, según la AEPD es extrapolable a esta situación. Por último, la Agencia entiendoe que lo que no se podrá hacer en ningún caso es obligar a la población a ceder esos datos. “Para poder apreciar un consentimiento libre, sería necesario que no se derivara ninguna consecuencia negativa, es decir, que no se impidiera la entrada al establecimiento” en caso de que la persona finalmente rehuse consentir la cesión de datos personales al local en cuestión.
