¿En qué condiciones mi empresa u organización puede tratar datos sensibles?

Respuesta

Solamente puede tratar datos sensibles si cumple algunas de las condiciones que se enumeran a continuación:

• Haber obtenido el consentimiento explícito de la persona (una ley puede regir esta opción en determinados casos).
• Se le exige, en virtud de una ley de la Unión Europea (UE) o nacional o un convenio colectivo, que trate los datos para cumplir sus obligaciones y derechos, y los de las personas, en el ámbito laboral, de la seguridad social y la legislación sobre protección social.
• Los intereses vitales de la persona, o de una persona sin la capacidad física o jurídica de dar su consentimiento, están en peligro.
• Es una fundación, asociación o cualquier otro organismo sin ánimo de lucro, cuya finalidad es política, filosófica, religiosa o sindical, que realiza el tratamiento de los datos sobre sus miembros o personas que mantienen contactos regulares con su organización.
• La persona ha hecho manifiestamente públicos los datos personales.
• Necesita los datos para la formulación, el ejercicio o la defensa de reclamaciones.
• Trata los datos por razones de un interés público esencial sobre la base del Derecho de la Unión o nacional.
• Trata los datos para alguno de los fines siguientes: medicina preventiva u ocupacional; evaluación de la capacidad de trabajo del empleado; diagnóstico médico; prestación de servicios médicos, asistencia social o tratamientos, o la gestión de sistemas sanitarios o de asistencia social sobre la base del Derecho de la Unión o nacional, o sobre la base de un contrato como profesional sanitario.
• Trata los datos por razones de interés público en el ámbito de la salud pública sobre la base del Derecho de la UE o nacional.
• Trata los datos para fines de archivo, investigación científica o histórica o para fines estadísticos sobre la base del Derecho de la UE o nacional.

El Derecho nacional puede imponer más condiciones sobre el tratamiento de los datos genéticos, biométricos y los datos relativos a la salud. Consulte con su autoridad nacional de protección de datos.

Ejemplo

Se pueden tratar los datos sensibles

Un médico visita a varios pacientes en su clínica. Registra las visitas en una base de datos que contiene campos como el nombre y los apellidos del paciente, la descripción de los síntomas y la medicación que se le ha recetado. Estos se consideran datos sensibles. Se permite el tratamiento de datos sanitarios por parte de la clínica en virtud del Reglamento de protección de datos, puesto que este es necesario para atender a la persona y se realiza bajo la responsabilidad de un médico que está sujeto a la obligación de secreto profesional.

No se pueden tratar los datos sensibles

Usted dirige una empresa que vende vestidos por internet. Con el fin de personalizar los servicios a los intereses específicos de sus clientes, les pide que le proporcionen información sobre la talla, el color preferido, el método de pago, el nombre y la dirección para poder enviar el producto. Además, su empresa pregunta la opinión política de sus clientes. Necesita la mayor parte de la información para cumplir con su parte del contrato. Sin embargo, la opinión política de sus clientes no es necesaria para confeccionar y enviar sus vestidos. No puede pedirla en virtud de este contrato.

Referencias

• Artículo 9 y considerandos 51-56 del RGPD

Example

You can process sensitive data

A doctor sees a number of patients at his clinic. He logs the visit in a database that includes fields such as name/surname of patient, description of symptoms and medication prescribed. That is considered to be sensitive data. The processing of health data by the clinic is allowed under the data protection law because it is required to treat the person and is carried out under the responsibility of a doctor who is subject to an obligation of professional secrecy.

You can’t process sensitive data

Your  company sells dresses online. In order to tailor the services to the specific interests of your clients, you ask them to provide you with information about sizes, preferred colour, payment method, name and the address so that the product can be delivered. In addition your company asks for your clients’ political views. You need the majority of the information to fulfil your side of the contract. However, clients’ political views are not a requirement to make and deliver their dresses. Your company cannot ask for that information under that contract.