Tiempo de lectura: 8 minutos
En nuestra sociedad, las personas vulnerables forman un colectivo diverso, abundante y, en cierta manera, cambiante. Configuran una frontera, la de la exclusión social, y están sujetos a potencial discriminación que agrava su vulnerabilidad. Los datos personales son una de las puertas de entrada a esa discriminación, y la protección de los mismos, una salvaguarda necesaria.
La atención a la vulnerabilidad y exclusión social se ejerce desde distintos ámbitos, desde la Administración Pública al voluntariado.
El artículo describe algunas características de la vulnerabilidad relacionada con protección de datos, no por obvias menos observables por el tercer sector, la administración pública y los ciudadanos en general.
Entidades intervinientes
Abarcar el sector de población en situación vulnerable (en adelante personas vulnerables, incluyendo riesgo de exclusión social) es complejo, dadas las múltiples entidades que intervienen:
- Servicios Sociales de la Administración Pública
- Empresas de más de 50 trabajadores que contratan obligatoriamente el 2% de su plantilla personas con discapacidad, (unas 25000 en España) o, alternativamente, servicios equivalentes de empresas externas
- Fundaciones
- Asociaciones
- Iglesias y asociaciones religiosas
- Sector socio-sanitario
- Centros Especiales de Empleo
- Empresas de inserción
- Entidades de Economía Social y Solidaria
Los voluntarios son un factor fundamental en la interacción con las personas vulnerables en muchas de las anteriores entidades. Posiblemente esos voluntarios no reciben una formación suficiente como para estar adecuadamente sensibilizados con la privacidad, los datos personales y los riesgos que, en conexión con lo anterior, se derivan para las personas interesadas.
Hay otros lugares donde la información de las personas vulnerables se trata y puede difundirse (por ejemplo, verbalmente):
- Oficinas de Farmacia
- Centros médicos y de salud
- Servicios a las personas
- Vehículos de transporte colectivo municipal o privado
La difusión de datos personales no sólo implica riesgo cuando se hace por medios tecnológicos. Las conversaciones entre personas, quizá se las pueda llevar el viento, pero son motivo de tutela por parte de las autoridades de protección de datos (ver artículo en este mismo blog)
La situación de vulnerabilidad puede ser de larga duración, y atravesar etapas de distinta intensidad. A la vez, el motivo puede ser únicamente económico, de forma que mayores ingresos (o menores gastos) son mitigadores e incluso eliminadores de la vulnerabilidad.
Datos personales y tratamientos
Los datos personales y los tratamientos asociados presentan ciertas características:
- los datos que revelan su situación vulnerable pueden ser inferidos a partir de otros datos (variables proxy)
- esos datos se difunden de forma aparentemente inocua
- una misma persona puede recibir atención desde diversas fuentes
- las personas que tratan datos pueden ser profesionales obligados a secreto profesional (farmacias, médicos, ..) o acostumbrados a ello (personal de centros sanitarios o de grandes organizaciones humanitarias) o no tanto (personal voluntario, asociaciones religiosas que ejercen acciones solidarias complementarias, …)
- La infraestructura física e informática de muchas de esas entidades es parca, no siendo la ideal para almacenar y mantener datos tan sensibles y de tráfico abundante
- El historial, aún en formas poco estructuradas, puede ser valioso por motivos de investigación de distintas disciplinas, añadiendo la dificultad de su plazo de conservación y la preceptiva anonimización con fines de interés público (médico, sociológico)
Consentimiento
La vulnerabilidad puede invalidar el consentimiento dado, no por falta de capacidad legal del interesado, sino por el desequilibrio causado por su situación que no le permite valorar si debe o no debe consentir, y las consecuencias derivadas de su decisión (sea positiva o negativa). Ello implica que las bases jurídicas en las que basar los tratamientos de datos personales deben recaer preferentemente en otras bases, lo cual exige adecuada formación a las personas que deciden las finalidades y medios de esos tratamientos (es decir, los responsables de tratamiento, la entidad que ejerce la actividad social y de apoyo).
Así, puede darse el caso de que el desempleado de larga duración consienta en entregar un CV con foto para una posible oferta de trabajo, mientras una persona sólidamente posicionada en el mercado laboral se niegue a entregar su imagen por considerarla innecesaria para el proceso de selección (criterio discutible pero perfectamente comprensible para quien es sensible a su privacidad). De similar manera, la moda de hace unos años de exponer en un CV profesional características de la esfera personal (participación en causas humanitarias, aficiones personales, …) era prácticamente una obligación autoimpuesta a quien no conseguía un trabajo en un tiempo razonable. Publicar todo ello en una red social es una decisión aparentemente voluntaria, pero matizada con el mensaje subliminal imperante de que quién no está en tal red no es nadie. No hace mucho, una instrucción de una Comunidad Autónoma obligaba a tener perfil en una determinada red social como requisito para ser elegible para participar en un grupo de asesores independientes recomendados por esa Administración Pública, criterio claramente innecesario para la finalidad perseguida. Si la Administración va a leer de todas maneras el CV, es irrelevante donde esté (una hoja de papel o una red social accesible por millones de personas).
Hace unas décadas, una cierta empresa (300 empleados) solicitaba el consentimiento para que, junto con el análisis de sangre del reconocimiento médico inicial, el empleado se sometiera a la prueba de sustancias estupefacientes y SIDA; el puesto de trabajo era de oficina.
Una persona sin techo da consentimiento a lo que sea con tal de mejorar su expectativa de vivienda social.
Factores de discriminación
El RGPD no contempla la situación económica o de vulnerabilidad como dato de categoría especial (artículo 9), como tampoco la edad, el género o la situación económica desfavorable. Pero a nadie escapa que esos datos suelen ser puerta para la discriminación, y textos no normativos pero que son Biblia en la materia (el Comité Europeo de Protección de Datos, que engloba al conocido grupo de trabajo del artículo 29, GT29 o WP29), los asimilan como tales en los ejemplos que exponen.
Adecuación organizativa y técnica
Pública o privada, una entidad dedicada a personas vulnerables debe cuidar el aspecto regulatorio. Idealmente puede confiar en una asociación que agrupe entidades similares, con una implementación colectiva. Pero en la realidad eso aún no es frecuente. En ese caso, la adecuación individual debe contar con al menos los siguientes recursos:
- Una persona de la entidad que conozca bien los tratamientos de datos personales que se efectúan en la misma, la cual debe recibir formación de sensibilización sobre la materia y generalista sobre la normativa.
- Un inventario de los recursos informáticos y físicos con los que cuenta la entidad
- Una relación de las empresas o entidades externas que proveen servicios y pueden impactar sobre los datos personales tratados
La implementación se basa en las tareas de consultoría para analizar y adecuar los procesos a la normativa, siendo la persona mencionada el punto focal de información y, a la vez, de aprendizaje.
Datium consultores dispone de packs de implementación a precios reducidos para entidades del Tercer Sector con escasez de recursos o de reducida dimensión. Los packs incluyen una auditoría de seguridad de los recursos TIC.
Antonio March | amc@datium.eu
Setiembre 2019
Variables proxy
Se puede argumentar que los datos de una persona vulnerable no difieren de los de una no vulnerable. Pero hay datos que son indicios: el código postal de ciertos barrios en, pongamos, Nueva York, puede revelar altas posibilidades de pertenencia a una etnia o creencia religiosa. Dos apellidos, también, e incluso uno.
Una empresa de transportes que emita tarjetas de autobús a precio ventajoso para desempleados de larga duración puede equivocarse si esas tarjetas son de un color llamativo, claramente visibles a decenas de metros. Actúan a modo de sambenito.
La pertenencia a una asociación religiosa es un dato de categoría especial, pero los datos de los asociados no revelan nada y lo revelan todo, porque están insertos en una base de datos de esa asociación. Lo mismo que los datos de contacto de personas en servicios sociales, o que han recibido una subvención para comedor social, etc…
