¿Puede la Policía Local acceder a datos de pacientes con COVID-19?

Consulta:

La Policía Local quiere solicitar al Servicio Autonómico de Salud una lista con los datos de las personas que son portadoras del virus COVID-19, por considerar que esta información es esencial para evitar la propagación del virus.

Para ello, quieren legitimar la solicitud en el artículo 22.2 de la Ley Orgánica 15/1999 de Protección de datos de Carácter Personal (LOPD) y la orden publicada por el Gabinete Jurídico de la Agencia Española de Protección de datos con Nº/REF:0017/2020 en la que consideran, basándose en el considerando 46 del GDPR 2016/679 (Reglamento General de Protección de Datos de la UE), lo siguiente: "la recogida de datos y tratamiento para fines policiales de datos de carácter personal por las Fuerzas y Cuerpos de Seguridad sin consentimiento de las personas afectadas, están limitados a aquellos supuestos y categorías de datos que resulten necesarios para la prevención de un peligro real para la seguridad pública o para la represión de infracciones penales, considerándose lícitos cuando el tratamiento es necesario para fines humanitarios, incluido el control de epidemias y su propagación".

¿Sería lícito y legal pedir y que les proporcionen estos datos?

Respuesta:

Ante la consulta planteada y con carácter previo a su análisis desde la normativa de protección de datos de carácter personal, debemos comenzar señalando el régimen jurídico que afecta a la Policía Local durante la vigencia del Estado de Alarma y que se contiene en el Real Decreto 463/2020, de 14 de marzo, por el que se declara el estado de alarma para la gestión de la situación de crisis sanitaria ocasionada por el COVID-19 ; disponiendo al respecto el artículo 5, apartado primero, que «Los integrantes de las Fuerzas y Cuerpos de Seguridad del Estado, los Cuerpos de Policía de las comunidades autónomas y de las corporaciones locales quedarán bajo las órdenes directas del Ministro del Interior, a los efectos de este real decreto, en cuanto sea necesario para la protección de personas, bienes y lugares, pudiendo imponerles servicios extraordinarios por su duración o por su naturaleza.» Por tanto, el mando del Cuerpo de la Policía Local, durante la vigencia del Estado de Alarma y en lo relativo a la protección de personas, lo ostenta el Ministerio del Interior.

Las leyes autonómicas de Coordinación de Policías Locales definen los cuerpos de Policía Local como «institutos armados de naturaleza civil, con estructura y organización jerarquizada…». Por su parte, las citadas normas prevén como derecho individual el de «exponer, a través de la vía jerárquica, verbalmente o por escrito, todo tipo de sugerencias relacionadas con el funcionamiento del servicio, el horario o las tareas, así como cualquier otra petición que estimen pertinente.»
En lo relativo a la Jefatura del Cuerpo de la Policía Local esta «ejerce la máxima responsabilidad en la Policía Local y ostenta el mando inmediato sobre todas las unidades, secciones y servicios en que se organiza el cuerpo, bajo la superior autoridad del Alcalde o de aquel en quien haya delegado el ejercicio de sus atribuciones, cuando así lo prevea la normativa aplicable.» y a la misma corresponde «Elevar propuestas a los órganos municipales competentes sobre: (...) mejoras de la organización y del funcionamiento, presupuestos y medios materiales y personales.»

Expuesto lo anterior y descendiendo al ámbito competencial del derecho fundamental a la Protección de Datos de Carácter Personal (art. 18.4 CE), del tenor literal de la consulta parece desprenderse que por parte de la Policía Local se pretende formular una petición directa al Servicio Autonómico de Salud (Responsable del Tratamiento del dato personal de salud: positivo COVID-19) al objeto de que por este se le comuniquen dichos datos mediante lista de “personas que son portadoras del virus COVID-19”, lo anterior por considerarlo esencial dicho Cuerpo policial al objeto de evitar la propagación del virus en la localidad.
Asimismo, dicha Policía Local considera que son presupuestos habilitantes para obtener del Servicio Autonómico de Salud la lista solicitada el art.22.2 de la Ley Orgánica 15/1999 de Protección de datos de Carácter Personal (LOPD), el contenido del Informe 0017/2020 del Gabinete Jurídico de la Agencia Española de Protección de datos y el “artículo 46” del Reglamento 2016/679 General de Protección de Datos –GDPR-, consultando si “sería licito y legal pedir y que les proporcionen estos datos”.

Adelantamos que la respuesta del Servicio Autonómico de Salud será negativa, basándonos en lo siguiente:

1. De la no aplicabilidad del art. 22.2 Ley Orgánica 15/1999 al supuesto planteado

El artículo 22.2 de la Ley Orgánica 15/1999 dispone que «La recogida y tratamiento para fines policiales de datos de carácter personal por las Fuerzas y Cuerpos de Seguridad sin consentimiento de las personas afectadas están limitados a aquellos supuestos y categorías de datos que resulten necesarios para la prevención de un peligro real para la seguridad pública o para la represión de infracciones penales, debiendo ser almacenados en ficheros específicos establecidos al efecto, que deberán clasificarse por categorías en función de su grado de fiabilidad.»

El meritado art. 22.2 LOPD 15/99 resulta actualmente de aplicación al así preverlo la vigente Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales; cuya Disposición transitoria cuarta dice «Los tratamientos sometidos a la Directiva (UE) 2016/680 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales por parte de las autoridades competentes para fines de prevención, investigación, detección o enjuiciamiento de infracciones penales o de ejecución de sanciones penales, y a la libre circulación de dichos datos y por la que se deroga la Decisión Marco 2008/977/JAI del Consejo, continuarán rigiéndose por la Ley Orgánica 15/1999, de 13 de diciembre, y en particular el artículo 22, y sus disposiciones de desarrollo, en tanto no entre en vigor la norma que trasponga al Derecho español lo dispuesto en la citada directiva.»

El citado artículo 22 de la Ley Orgánica 15/1999 fue interpretado por el Gabinete Jurídico de la Agencia Española de Protección de Datos -AEPD- [por todos, el informe 10/2.014 que reitera su doctrina de informes de 23 de marzo de 1.999, de 17 de septiembre de 2.013 y de 4 de octubre de 2.013] que considera que habilita “a los miembros de la Policía Judicial para la obtención y tratamiento de los datos requeridos, lo que llevará aparejada la procedencia de la cesión instada, siempre y cuando, como se indica en el informe de la Comisaría General de la Policía Judicial adjunto a la consulta y esta Agencia Española de Protección de Datos ha venido indicando reiteradamente, se cumplan las siguientes condiciones:

a) Que quede debidamente acreditado que la obtención de los datos resulta necesaria para la prevención de un peligro real y grave para la seguridad pública o para la represión de infracciones penales y que, tratándose de datos especialmente protegidos, sean absolutamente necesarios para los fines de una investigación concreta.
b) Que se trate de una petición concreta y específica, al no ser compatible con lo señalado anteriormente el ejercicio de solicitudes masivas de datos.
c) Que la petición se efectúe con la debida motivación, que acredite su relación con los supuestos que se han expuesto.
d) Que, en cumplimiento del artículo 22.4 de la Ley Orgánica 15/1999, los datos sean cancelados “cuando no sean necesarios para las averiguaciones que motivaron su almacenamiento”.

Queda claro que las solicitudes efectuadas con fundamento en el art. 22.2 LOPD 15/99 únicamente pueden efectuarse en funciones de Policía Judicial y con la finalidad de prevención de un peligro real para la seguridad pública o para la represión de infracciones penales. Por tanto, seguridad pública (que no, salud pública) y reprensión de infracciones penales, resultando que las Policías Locales únicamente ejercen funciones de Policía Judicial en materia de tráfico y seguridad vial en las vías competencia del Municipio, consideramos que debe rechazarse la petición de acceso a las listas de enfermos COVID-19 (dato de salud pública).

2. Del Considerando 46 GDPR

El considerando 46 GDPR dice textualmente: “El tratamiento de datos personales también debe considerarse lícito cuando sea necesario para proteger un interés esencial para la vida del interesado o la de otra persona física. En principio, los datos personales únicamente deben tratarse sobre la base del interés vital de otra persona física cuando el tratamiento no pueda basarse manifiestamente en una base jurídica diferente. Ciertos tipos de tratamiento pueden responder tanto a motivos importantes de interés público como a los intereses vitales del interesado, como por ejemplo cuando el tratamiento es necesario para fines humanitarios, incluido el control de epidemias y su propagación, o en situaciones de emergencia humanitaria, sobre todo en caso de catástrofes naturales o de origen humano.”

Los “considerandos” carecen de fuerza normativa y únicamente tienen la función de razonar el contenido de la parte dispositiva (el articulado) del Reglamento.
Así las cosas, debe ahora traerse a colación lo dispuesto en el artículo 9 GDPR que, bajo la rúbrica “tratamiento de categorías especiales de datos personales” nos dice:

«1. Quedan prohibidos el tratamiento de datos personales que revelen … datos relativos a la salud … de una persona física.» En este sentido el Considerando 53 GDPR nos aclara que «El tratamiento de categorías especiales de datos personales, sin el consentimiento del interesado, puede ser necesario por razones de interés público en el ámbito de la salud pública. Ese tratamiento debe estar sujeto a medidas adecuadas y específicas a fin de proteger los derechos y libertades de las personas físicas. En ese contexto, «salud pública» debe interpretarse en la definición del Reglamento (CE) n.o 1338/2008 del Parlamento Europeo y del Consejo, es decir, todos los elementos relacionados con la salud, concretamente el estado de salud, con inclusión de la morbilidad y la discapacidad, los determinantes que influyen en dicho estado de salud, las necesidades de asistencia sanitaria, los recursos asignados a la asistencia sanitaria, la puesta a disposición de asistencia sanitaria y el acceso universal a ella, así como los gastos y la financiación de la asistencia sanitaria, y las causas de mortalidad.»
Las funciones de la Policía Local están determinadas en las leyes autonómicas de Coordinación de Policías Locales y en estas no atribuyen a los Cuerpos de Policía Local la participación directa y concreta en cuestiones de salud pública, funciones que son atribuidas al Sistema Público de Salud de cada comunidad autónoma.

CONCLUSIONES

1. La Policía Local es un cuerpo de estructura y organización jerarquizada, siendo que las peticiones individuales deben realizarse a través de la vía jerárquica dirigida a la Jefatura.
2. Al Jefe de la Policía Local compete la formulación de las solicitudes a la superioridad y, durante la vigencia del Estado de Alarma, deberá dirigirlas a los órganos competentes del Ministerio del Interior para que sean estos quien, previa ponderación y si lo consideran de interés, lo solicitaren a la autoridad sanitaria.
3. El tratamiento de datos de salud pública constituye un tratamiento de datos de carácter personal especialmente protegidos que, en atención al contexto de la pregunta formulada, corresponde al Servicio de Salud de la Comunidad Autónoma, no siendo causa habilitante para el acceso y/o comunicación de los mismos a la Policía Local lo dispuesto en el artículo 22.2 Ley Orgánica 15/99 LOPD y/o Considerando 46 GDPR.
4. En el supuesto de considerar la Policía Local que ostenta un interés legítimo en el acceso a los meritados datos de salud, deberá elevar la Jefatura del Cuerpo una consulta al DPO del Ayuntamiento y/o solicitar que el Ayuntamiento inicie procedimiento administrativo ante la AEPD ante la negativa recibida por parte del Servicio Autonómico de Salud.