Consideraciones legales a la luz del COVID-19 en México: Procesamiento de Datos Personales Sensibles

• Author: Luis Gerardo Ramírez Villela

MARZO DE 2020

En virtud de la recientemente declarada pandemia por el coronavirus denominado “COVID-19” a nivel mundial y la situación que se está viviendo en nuestro país, es importante analizar las recomendaciones propuestas por el Instituto Nacional de Transparencia, Acceso a la Información y Protección de Datos Personales (“INAI”) en relación con el tratamiento de datos personales relacionados con personas contagiadas de COVID-19.

Las recomendaciones emitidas por el INAI no deben obviar el cumplimiento de las disposiciones previstas en la Ley Federal de Protección de Datos Personales en Posesión de los Particulares cuya finalidad es proteger los datos personales con el propósito de garantizar la privacidad y el derecho a la autodeterminación de la información.

Las recomendaciones emitidas por el INAI respecto a empresas son las siguientes:

- Protección de la confidencialidad sobre cualquier dato personal o personal sensible relacionado con cualquier caso de COVID-19, para evitar daño o discriminación de la persona afectada.

- Toda comunicación que se realice sobre la posible presencia de COVID-19 en el lugar de trabajo, no debe identificar a ningún colaborador de forma individual.

- El tratamiento de datos personales ante el COVID-19, debe ser informado y el titular debe conocer en todo momento las finalidades para las cuáles serán recabados y tratados sus datos personales. Previo al tratamiento, el responsable de la información deberá poner a disposición del titular el aviso de privacidad correspondiente.

- La identidad de las personas afectadas de COVID-19 no debe divulgarse. En caso de requerirse una transferencia de datos personales a las autoridades de salud, ésta deberá ser documentada claramente, fundamentada y realizarse considerando medidas de seguridad que garanticen la protección de los datos personales.

- Los responsables de la información deben definir los plazos de conservación de los datos personales relacionados con casos de COVID-19, así como los mecanismos que se emplearán para eliminarlos de forma segura, tomando en consideración la normatividad sectorial en la materia.

El procesamiento de datos debe ser adecuado y relevante en relación con los fines previstos en el aviso de privacidad que cada empresa entregue a sus empleados. En particular, para los datos personales sensibles, la parte responsable de la información debe hacer todos los esfuerzos razonables para limitar el período de tratamiento de dichos datos al mínimo indispensable.

Es importante mencionar que, en caso de incumplimiento a lo antes mencionado, que sean denunciadas por el titular de los datos personales ante el INAI, procederían sanciones y procedimientos administrativos, que generalmente se castigan con multas o hasta con acciones penales en función de la violación de datos personales sensibles.

En virtud de lo anterior, se sugiere que ante la contingencia que se está viviendo actualmente, se notifique a los empleados y a terceros de quienes se reciban datos personales, que cualquier dato sensible relacionado con el COVID-19 se mantendrá con carácter confidencial y no será divulgado en forma alguna salvo que sea solicitado por la autoridad sanitaria y, por consiguiente, será conveniente que el responsable de la información envié una nota que se agregue a los avisos de privacidad en este sentido que sea reconocida por los empleados y terceros expresamente, para así dar cumplimiento cabal a lo previsto en la Ley Federal de Protección de Datos Personales en Posesión de los Particulares.