La protección de los datos de salud sigue siendo una de las materias más sensibles dentro del Derecho europeo de protección de datos. La reciente sanción impuesta por la autoridad italiana de protección de datos (Garante per la Protezione dei Dati Personali) a la aerolínea Emirates constituye un nuevo recordatorio de que incluso cuando existe una finalidad legítima para tratar información médica, ello no exime del cumplimiento estricto de las obligaciones de transparencia, minimización y limitación del plazo de conservación.
¿Qué ha ocurrido?
La autoridad italiana ha impuesto a Emirates una multa de 180.000 euros por deficiencias en la gestión de datos de salud de pasajeros con movilidad reducida o que requerían asistencia especial durante el transporte aéreo. La investigación se inició tras la reclamación de una pasajera que cuestionó la información médica que la compañía le exigía facilitar para acceder a determinados servicios de asistencia.
La autoridad concluyó que el tratamiento de datos sanitarios podía estar justificado por razones de seguridad operacional y para garantizar una adecuada asistencia a los pasajeros durante el vuelo. Sin embargo, detectó diversas infracciones relacionadas con la forma en que dicha información era recabada y gestionada.
El problema no era la finalidad, sino la ejecución
Uno de los aspectos más interesantes del caso es que el regulador no cuestionó la necesidad de que una compañía aérea recabe determinados datos médicos cuando ello resulta imprescindible para valorar la aptitud de un pasajero para volar o para organizar medidas de asistencia adecuadas.
La infracción se produjo en otros ámbitos igualmente esenciales del RGPD:
1. Falta de transparencia
La autoridad italiana consideró que Emirates no proporcionaba información suficientemente clara y completa sobre el tratamiento de los datos sanitarios solicitados a los pasajeros.
En particular, se cuestionó que los interesados no pudieran comprender con precisión:
- Qué datos concretos se estaban recopilando.
- Con qué finalidad específica se utilizaban.
- Qué categorías de pasajeros estaban obligadas a facilitar dicha información.
- Cuál sería el ciclo de vida posterior de esos datos.
Este aspecto enlaza directamente con los artículos 12, 13 y 14 del RGPD, que exigen que la información proporcionada al interesado sea transparente, inteligible y fácilmente accesible.
2. Conservación excesiva de datos
La segunda cuestión que motivó la sanción fue el periodo de conservación aplicado por la aerolínea.
Según la investigación, Emirates mantenía determinados formularios médicos durante un plazo de hasta siete años. El regulador consideró que dicho periodo resultaba excesivo y desproporcionado para la finalidad perseguida. La autoridad entendió que la compañía no había acreditado adecuadamente la necesidad de conservar información sanitaria durante un plazo tan prolongado.
La decisión resulta especialmente relevante porque recuerda que el principio de limitación del plazo de conservación (artículo 5.1.e RGPD) no permite almacenar datos indefinidamente bajo argumentos genéricos relacionados con eventuales reclamaciones futuras.
Una lección para todas las organizaciones
Aunque el caso se refiere al sector aeronáutico, las conclusiones son extrapolables a prácticamente cualquier organización que trate categorías especiales de datos.
En numerosas auditorías de cumplimiento se observa un fenómeno recurrente: las empresas suelen preocuparse por identificar una base jurídica adecuada para el tratamiento, pero prestan mucha menos atención a cuestiones igualmente importantes como:
- La calidad de la información facilitada a los interesados.
- La proporcionalidad de los datos solicitados.
- La definición de plazos de conservación concretos y documentados.
- La revisión periódica de los criterios de retención.
Precisamente estas cuestiones son las que con mayor frecuencia terminan originando procedimientos sancionadores.
La tendencia regulatoria europea es clara
La resolución contra Emirates no constituye un caso aislado. En los últimos años, la autoridad italiana se ha consolidado como uno de los reguladores europeos más activos en materia de privacidad, imponiendo sanciones relevantes tanto a grandes compañías tecnológicas como a operadores de otros sectores económicos.
La tendencia es especialmente significativa respecto del tratamiento de categorías especiales de datos, entre las que se incluyen los datos relativos a la salud, cuyo régimen jurídico exige un nivel reforzado de diligencia y responsabilidad proactiva.
El caso Emirates demuestra una vez más que el cumplimiento del RGPD no consiste únicamente en disponer de una base legal para tratar datos personales. La verdadera prueba de conformidad se encuentra en cómo se diseñan y ejecutan los procesos internos.
Cuando una organización maneja información sanitaria, la pregunta relevante ya no es únicamente si puede tratar esos datos, sino si está haciéndolo con el grado de transparencia, proporcionalidad y responsabilidad que exige la normativa europea.
Y precisamente ahí es donde muchas organizaciones siguen encontrando sus mayores riesgos de cumplimiento.
