En España, el estado de salud es una de esas materias que configuran la intimidad personal y sobre las que las personas con VIH pueden ejercer un control activo, decidiendo a quién, cómo y con qué límites revelan la información sobre su estado serológico.
¿Qué se entiende por dato personal?
Conforme al artículo 4 del Reglamento General de Protección de Datos (RGPD), se entiende por “dato personal” toda información sobre una persona física identificada o identificable.
Debemos tener presente que la normativa de protección de datos distingue diferentes categorías e incluye a los datos de salud como una de las “categorías especiales de datos”, también conocidos como “datos especialmente protegidos” o “datos sensibles” (artículo 9 RGPD).
¿En qué consiste el derecho a la protección de datos?
Nuestro sistema jurídico garantiza el derecho a la protección de datos en el artículo 18.4 de la Constitución Española (CE), que deriva del derecho fundamental a la intimidad. Ambos derechos (intimidad y protección de datos) comparten el objetivo de ofrecer una eficaz protección constitucional de la vida privada personal y familiar (Sentencia del Tribunal Constitucional núm. 292/2000). El derecho a la protección de datos se caracteriza por conferir al titular el control y poder de disposición de la información relativa a su esfera, tanto pública como privada, pudiendo imponer a terceros la realización u omisión de determinados comportamientos respecto al tratamiento de sus datos personales. En definitiva, nos permite saber quién realiza un tratamiento de nuestros datos personales, cómo y para qué.
¿Se permite el tratamiento de mis datos de salud, en concreto, de mi estado serológico?
Como regla general, queda prohibido el tratamiento de los datos personales que revelen, entre otras categorías especiales, datos relativos a la salud de una persona física (artículo 9.1 RGPD). No obstante, esta prohibición tiene excepciones, entre las que se encuentra que el/la titular dé su consentimiento explícito para el tratamiento de estos datos. En este sentido, el consentimiento se define como toda manifestación de voluntad libre, inequívoca, específica e informada. Debe consistir en una declaración o clara acción afirmativa, esto es, se exige en la actualidad un consentimiento expreso, no siendo válido en ningún caso el consentimiento tácito.
Es importante recalcar que el tratamiento de datos personales debe garantizar el cumplimiento de los principios establecidos en el artículo 5 del RGPD. Entre estos principios, podemos destacar el principio de minimización de datos, que establece que los datos personales deben ser “adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados”, es decir, solo pueden tratarse aquellos datos que sean necesarios para la finalidad del tratamiento, de manera que si esa finalidad se puede alcanzar sin conocer el estado serológico u otro dato de salud del titular, ese dato no puede tratarse.
¿Cómo puedo ejercitar el control sobre mis datos?
Los/as interesados/as pueden ejercitar ante el Responsable del tratamiento correspondiente (es decir, la entidad que determina los fines y medios del tratamiento de sus datos) sus derechos de acceso, rectificación, oposición, supresión, limitación del tratamiento, portabilidad y de no ser objeto de decisiones individualizadas (artículos 15 y ss. RGPD). El ejercicio de estos derechos es gratuito, y el Responsable del tratamiento debe responderle en el plazo de un mes.
¿Qué hacer ante la vulneración del derecho a la protección de datos?
Dependiendo del caso concreto, ante la vulneración del derecho a la protección de datos se pueden emprender diversas acciones legales, tanto en vía administrativa como judicial.
En España, el derecho fundamental a la protección de datos personales goza de las garantías específicas de los derechos fundamentales pero además tiene una protección específica, ya que los/as titulares de este derecho pueden acudir a la AEPD cuando consideren que se ha producido un incumplimiento o infracción de la normativa de protección de datos que afecte al tratamiento de sus datos personales. Si una persona con VIH tiene pruebas o indicios de que se ha vulnerado su derecho a la protección de datos, puede presentar una reclamación ante la Agencia Española de Protección de Datos (AEPD) a través del procedimiento indicado en su página web . Este es un procedimiento gratuito y no necesita la asistencia de un/a abogado/a.
Por lo tanto, para garantizar la protección de datos podemos encontrarnos con todas las que tienen el resto de derechos, lo característico de la protección de datos es que se puede acudir a una autoridad de control concreta que es la AEPD.