Amb la finalitat de facilitar la lliure circulació dins la Unió Europea, es va aprovar el Reglament (UE) 2021/953 del Parlament Europeu i del Consell de 14 de juny de 2021, relatiu a un marc per a l’expedició, verificació i acceptació de certificats COVID-19 interoperables de vacunació, de prova diagnòstica i de recuperació (certificat COVID digital de la UE), a fi de facilitar la lliure circulació durant la pandèmia de COVID-19, on es regulen les condicions per a l’expedició, verificació i acceptació dels certificats COVID-19, també coneguts com a passaport COVID. Tot i que em centraré en aquest Reglament, convé tenir present que l’expedició, verificació i acceptació de certificats COVID respecte als nacionals de tercers països és objecte del Reglament (UE) 2021/954.

El certificat COVID digital de la UE comprèn a la vegada tres tipus de certificats. El primer, permet acreditar que el seu titular ha rebut una vacuna contra la COVID-19 en l’Estat membre que expedeix el certificat (certificat de vacunació). El segon acredita que el seu titular s’ha realitzat una prova diagnòstica recent amb resultat negatiu (certificat de prova diagnòstica). I el tercer, deixa constància que la persona titular s’ha recuperat de la infecció per COVID-19 (certificat de recuperació).

Tal com he avançat, l’objectiu d’aquests certificats és facilitar la mobilitat dins la Unió Europea, tot i que cal remarcar que aquests no són obligatoris.

En el cas de Catalunya, aquests certificats es poden obtenir electrònicament a través de l’espai La Meva Salut o, presencialment, en els centres d’atenció primària.

Dit això, s’ha de tenir present que el certificat COVID implica un tractament de dades que es vinculen a una persona física determinada (la titular del certificat) i, per tant, li és d’aplicació la normativa sobre protecció de dades. A més, en la mesura que conté dades relatives a la salut, no es pot obviar que s’estan tractant categories especials de dades (art. 9 RGPD), les quals gaudeixen d’una protecció superior.

El primer aspecte que escau abordar des de la perspectiva del dret fonamental a la protecció de dades personals és la licitud d’aquest tractament (principi de licitud).

Aquesta qüestió la resol el considerant 48 del Reglament (UE) 2021/953, en el qual s’estableix que la base jurídica per al tractament de les dades personals és la prevista a l’article 6.1.c de l’RGPD. És a dir, que el tractament és necessari per complir una obligació legal aplicable al responsable del tractament.

Però com que hi ha un tractament de categories especials de dades, també esdevé necessari dirimir quina de les condicions que estableix l’article 9.2 de l’RGPD, que permeten el tractament d’aquesta tipologia de dades personals, concorre en el present cas. A aquest respecte, el mateix considerant 48 del Reglament (UE) 2021/953 disposa que és aplicable la condició regulada a l’article 9.2.g de l’RGPD, amb el benentès que el tractament és necessari per raons d’un interès públic essencial, d’acord amb el dret de la Unió o dels Estats membres, que ha de ser proporcional a l’objectiu perseguit, respectar el dret a la protecció de dades en l’essencial i establir mesures adequades i específiques per protegir els interessos i els drets fonamentals de l’interessat.

Un altre dels principis que ha d’observar qualsevol tractament de dades personals és el de la limitació de la finalitat (art. 5.1.b RGPD). D’acord amb aquest principi, les dades personals han de ser recollides amb finalitats determinades, explícites i legítimes i posteriorment no s’han de tractar de manera incompatible amb aquestes finalitats. Per tant, les dades recollides per a una determinada finalitat, no es poden utilitzar amb una finalitat diferent o incompatible.

Al respecte, l’article 10 del Reglament (UE) 2021/953 determina que les dades personals incloses en els certificats seran tractades únicament amb la finalitat d’accedir a la informació inclosa en el certificat i verificar-la, per tal de facilitar l’exercici del dret a la lliure circulació dins de la Unió durant la pandèmia de COVID-19. És a dir, que les dades seran tractades per les autoritats competents de l’Estat membre de destinació o trànsit, o pels operadors de serveis de transport transfronterer de viatgers obligats per la legislació nacional a aplicar determinades mesures de salut pública durant la pandèmia de COVID-19, únicament a fi de verificar i confirmar la vacunació, el resultat de la prova o la recuperació de la persona titular del certificat.

El considerant 48 del dit Reglament també obre la porta al fet que els Estats membres utilitzin les dades dels certificats per a d’altres finalitats, però això ho condiciona al fet que la base jurídica per a aquestes altres finalitats estigui establerta en el dret nacional (al respecte, l’article 8.1 de l’LOPDGDD exigeix una norma amb rang de llei), que ha de complir amb el dret de la Unió en matèria de protecció de dades i els principis d’eficàcia, necessitat i proporcionalitat, i ha d’incloure disposicions específiques que determinin clarament l’àmbit d’aplicació i l’abast del tractament, la finalitat específica de què es tracti, les categories d’entitats que puguin verificar el certificat, així com les salvaguardes pertinents per evitar la discriminació i l’abús, tenint en compte els riscos per als drets i les llibertats dels interessats. Al seu torn, si el certificat s’utilitza amb finalitats no mèdiques -com podria ser l’accés als locals d’oci nocturn-, es prohibeix la conservació de les dades personals a les quals s’accedeixi durant el procés de verificació.

Des del punt de vista del principi de limitació del termini de conservació (art. 5.1.e RGPD), el Reglament (UE) 2021/953 impedeix a l’Estat membre de destinació o trànsit, o als operadors de serveis de transport transfronterer de viatgers obligats, conservar les dades personals. De fet, el considerant 52 remarca que aquest Reglament no constitueix una base jurídica per a la creació o el manteniment d’una base de dades centralitzada a escala de la Unió que contingui dades personals.

Pel que fa a l’Estat membre emissor del certificat, el Reglament recorda que no es podran conservar les dades personals tractades a l’efecte de l’expedició dels certificats COVID, més temps de l’estrictament necessari per a la seva finalitat i, en cap cas, més enllà del període durant el qual els certificats podran utilitzar-se per exercir el dret a la lliure circulació.

L’article 10 del Reglament (UE) 2021/953 també té en compte breument el principi de minimització de les dades (art. 5.1.c RGPD), quan disposa que les dades personals s’han de limitar a l’estrictament necessari. En connexió amb aquesta previsió de l’article 10, el considerant 50 desenvolupa més extensament aquest principi, tot incidint en el fet que els certificats COVID-19 han de contenir únicament les dades personals estrictament necessàries per facilitar l’exercici del dret a la lliure circulació dins de la Unió durant la pandèmia de COVID-19. Aquestes categories específiques de dades personals i camps de dades que s’han d’incloure en els certificats COVID-19, s’estableixen precisament en el mateix Reglament.

Altres aspectes vinculats amb la protecció de dades que menciona el Reglament (UE) 2021/953 són l’atribució de la condició de responsable del tractament (les autoritats o organismes responsables de l’expedició dels certificats), les transferències internacionals de dades (les quals es prohibeixen als encarregats del tractament), la seguretat de les dades tenint en compte la naturalesa d’aquestes o el principi de protecció de dades per defecte.

Dins la Unió Europea, alguns Estats membres com França, Itàlia o Portugal han previst la necessitat de mostrar el certificat COVID per accedir a determinats espais. Per exemple, en el cas francès es preveu aquesta mesura per entrar a espais com ara cinemes, teatres, bars o restaurants.

En l’àmbit de l’Estat espanyol, algunes comunitats autònomes -com és el cas de Galícia, Andalusia, les Canàries, el País Basc, Cantàbria o la ciutat autònoma de Melilla- han valorat exigir el certificat o passaport COVID per accedir a determinats espais.

En el cas de Catalunya, el PROCICAT va vincular la reobertura de l’activitat de l’oci nocturn a l’obligatorietat que les persones que accedeixin als dits locals mostrin als responsables d’accés el codi QR del seu certificat o passaport COVID, a fi que el validin a través d’una webapp (verificacovid.gencat.cat). Aquesta mesura fou avalada pel TSJC el 7 d’octubre de 2021.

Més recentment, en data 23 de novembre de 2021, es va decidir ampliar l’ús del certificat COVID per accedir als interiors dels locals de restauració, gimnasos i centres esportius, així com per a les visites a les residències de gent gran. El TSJC va autoritzar aquesta mesura mitjançant la interlocutòria número 869/2021, dictada el 25 de novembre de 2021, la qual comentaré més endavant.

Tal com he comentat, d’acord amb el Reglament (UE) 2021/953 i des de la perspectiva de la protecció de dades personals, l’ús del certificat COVID per a altres finalitats hauria d’estar prevista en una norma amb rang de llei. En aquest sentit, sembla que les comunitats autònomes s’han basat en la legislació sanitària per establir aquesta mesura restrictiva de drets fonamentals.

D’acord amb l’article 10.8 de la Llei 29/1998, reguladora de la jurisdicció contenciosa administrativa (LJCA), les comunitats autònomes han de sol·licitar a les sales contencioses administratives dels Tribunals Superiors de Justícia (TSJ) respectius, l’autorització o ratificació judicial de les mesures adoptades, d’acord amb la legislació sanitària, que les autoritats sanitàries d’àmbit diferent a l’estatal considerin urgents i necessàries per a la salut pública i impliquin la limitació o restricció de drets fonamentals, quan els seus destinataris no estiguin identificats individualment.

Doncs bé, en el cas d’Andalusia, el TSJA va descartar, mitjançant la Interlocutòria 405/2021, de 6 d’agost (rec. 1543/2021), la mesura consistent en limitar l’accés a l’interior dels establiments d’oci i d’hostaleria amb música, en el sentit de permetre’l només a aquelles persones que poguessin acreditar estar en possessió del certificat COVID o que acreditessin una prova diagnòstica negativa (test d’antígens o PCR) practicada en les darreres 72 hores.

Al tractar-se d’una mesura restrictiva de drets fonamentals (en concret, els drets a la llibertat de circulació, a la intimitat familiar i a la reunió), el TSJA va abordar si superava el triple judici de proporcionalitat. A tal efecte, el TSJA va dirimir si complia els tres requisits o condicions següents: si aquesta mesura era susceptible d’aconseguir l’objectiu proposat (judici d’idoneïtat); si, a més, era necessària, en el sentit que no hi havia una altra mesura més moderada per a la consecució d’aquest propòsit amb igual eficàcia (judici de necessitat); i, finalment, si aquesta era ponderada o equilibrada, per derivar-se’n més beneficis o avantatges per a l’interès general que perjudicis sobre altres béns o valors en conflicte (judici de proporcionalitat en sentit estricte).

En aquest sentit, el TSJA va concloure que la mesura no era idònia perquè les persones que estan en possessió del certificat COVID poden transmetre i contagiar el virus, tot i que en menor mesura; així com que tampoc no era necessària, ja que no s’acreditava que l’increment de contagis tingués el seu origen en els locals d’oci nocturn.

Per la seva banda, el Tribunal Suprem (TS) també va desestimar, per mitjà de Sentència de 18 d’agost de 2021 (Rec. 5899/2021), el recurs de cassació interposat per la Junta d’Andalusia contra la interlocutòria del TSJA. En el seu pronunciament, el TS estima que els articles 3 de la Llei orgànica 3/1986, de mesures especials en matèria de salut pública; 26 de la Llei 14/1986, general de sanitat; i 54 de la Llei 33/2011, general de salut pública, ofereixen suficients precisions, objectives, subjectives, espacials, temporals i qualitatives, com per satisfer l’exigència de certesa que han de tenir els preceptes que fonamenten restriccions o limitacions puntuals de drets fonamentals i, en concret, de la llibertat de circulació. I conclou que la legislació sanitària, sí que autoritza la limitació de la llibertat de circulació sempre que es donin les condicions que hi són previstes.

I, pel que fa al triple judici de proporcionalitat, el TS convé que no se superava aquest, posant l’èmfasi en el fet que la Junta d’Andalusia no va donar una explicació suficient sobre la necessitat d’adoptar aquesta mesura restrictiva.

En canvi, en la seva Sentència de 14 de setembre de 2021 (Rec. 5909/2021), el TS sí que va estimar el recurs de cassació interposat per la Xunta de Galicia contra la Interlocutòria del TSJG, de 20 d’agost de 2021, (procediment 7559/2021) en què inicialment s’havia denegat l’autorització de les mesures consistents en l’exhibició de documentació per a l’accés a determinats establiments (oci nocturn i restauració).

En aquesta altra Sentència, el TS aborda l’afectació de la mesura prevista per la Xunta als drets fonamentals a la igualtat, a la intimitat, a la protecció de dades personals i a la lliure circulació de persones. En allò relatiu al dret fonamental a la protecció de dades personals, el TS no aprecia cap limitació, quan el que s’estableix, per entrar a l’interior d’un determinat establiment, és la mera exhibició del certificat COVID.

Això sí, adverteix que no es poden recollir les dades dels assistents a aquests locals, ni elaborar-ne un fitxer, ni fer un tractament informàtic al respecte.

Dit això, el TS estima que la mesura prevista per la Xunta supera el triple judici de proporcionalitat. En primer lloc, la considera proporcionada, ja que l’afectació a drets fonamentals no seria de gran entitat o, fins i tot, seria discutible (judici de proporcionalitat en sentit estricte). En segon lloc, estima que és idònia, ateses les característiques dels establiments en els quals s’exigeix, que no permeten un ús constant i permanent de la mascareta. I en tercer lloc, la qualifica de necessària, ja que proporciona un benefici al reduir de manera significativa els contagis. En aquest punt, el TS admet que el tancament d’aquests establiments seria la mesura més segura, però exposa que això podria fer que l’oci nocturn derivés en concentracions a la via pública, la qual cosa suposaria un greu risc per a la salut pública. Així mateix, el TS remarca que aquesta mesura no s’aplica de forma indiscriminada a tot el territori gallec, sinó que depèn de la incidència de la COVID-19 en cada lloc i que té un caràcter temporal.

El fonament de dret 10è d’aquesta sentència té per objecte el precedent del TS abans comentat (Sentència de 18/08/2021), en què s’havia desestimat el recurs que interposà la Junta d’Andalusia contra la denegació de la ratificació o autorització judicial de les mesures previstes per les autoritats sanitàries andaluses. El TS justifica que en aquell cas precedent es va arribar a una conclusió diferent perquè l’Administració no havia justificat la necessitat de la mesura sobre la implantació del certificat COVID. Afegeix el TS que les circumstàncies d’aquell supòsit són “molt” diferents i per això la conclusió a la qual es va arribar també és diferent.

En el cas específic de Catalunya, com avançava, considero que és interessant comentar la interlocutòria del TSJC de 25 de novembre de 2021, abans esmentada, per la qual s’autoritzava a la Generalitat de Catalunya l’ús de certificat COVID per accedir a locals de restauració, gimnasos i centres esportius, així com per a les visites a les residències de gent gran. Per a la seva autorització, el TSJC té en compte que es fonamenta en la Llei orgànica 3/1986, la Llei 14/1986, la Llei 33/2011 i la normativa catalana, en particular, la Llei 18/2009, de 22 d’octubre, de Salut Pública.

Seguidament, el TSJC incideix en què, tal com exposà el Tribunal Suprem en la seva Sentència de 14 de setembre de 2021 (Rec. 5909/2021), la mesura proposada provoca l’afectació de diversos drets fonamentals. Per aquest motiu, seguint la doctrina del Tribunal Constitucional, valora si les mesures objecte d’autorització que restringeixen drets fonamentals són conformes a dret i, en concret, si superen el triple judici de proporcionalitat.

A tal efecte, en primer lloc el TSJC considera que les mesures resulten idònies per a la lluita contra la transmissió del virus, que s’ha vist agreujada per la variant Delta, en uns entorns en què concorren determinades circumstàncies, com ara l’aglomeració de persones o la dificultat de mantenir la distància social amb mascareta, que poden generar un risc superior de contagi per la relaxació en les precaucions a adoptar.

En segon lloc, el TSJC valora que és una mesura necessària atesa la incidència de la transmissió del virus a Catalunya i que pot donar-se especialment en les situacions a les qual s’adreça la mesura restrictiva.

I, en tercer lloc, també es considera que és proporcional tenint en compte que possibiliten activitats que havien quedat paralitzades o suspeses, així com la ponderació entre la mínima restricció de drets que suposa mostrar el certificat COVID i la protecció dels béns jurídics relatius a la salut individual i col·lectiva i la vida.

De conformitat amb l’anterior, el TSJC resol autoritzar l’ús del certificat COVID per a accedir als espais abans esmentats.

Tot i aquesta autorització, no es pot passar per alt els dos advertiments que el TSJC adreça a la Generalitat de Catalunya. El primer es refereix al fet que la resolució del Departament de Salut, en què es preveu aquesta mesura, fa un ús excessiu de la tècnica de la remissió, aspecte que dificulta la seva comprensió per als subjectes als qual s’adreça i que s’ha de tenir present per a futures ocasions.

I en el segon advertiment, més contundent, el TSJC exposa que la implantació d’aquesta mesura a diverses activitats està arribant a uns nivells que ha de requerir una major motivació i justificació reforçada.

En definitiva, perquè els òrgans judicials ratifiquin o autoritzin la mesura consistent en establir l’obligatorietat de mostrar el certificat COVID per accedir a determinats establiments, aquesta ha d’estar degudament motivada respecte a la seva idoneïtat, necessitat i proporcionalitat.

Carles San José
Consultor del sector públic i professor col·laborador de dret administratiu a la UOC