Los responsables del Sector Público y Privado que traten datos personales relacionados con casos de COVID-19, deben:
- Contar con estrictas medidas de seguridad administrativas, físicas y técnicas para evitar cualquier pérdida, destrucción, robo, extravío, uso o acceso, daño, modificación o alteración no autorizada.
- Cumplir con los principios, deberes y obligaciones establecidos en las leyes en materia de protección de datos personales vigentes, salvo los casos de excepción previstos en las mismas.
- Proteger la confidencialidad sobre cualquier dato personal o personal sensible relacionado con cualquier caso de COVID-19, para evitar daño o discriminación de la persona afectada.
- Adoptar las medidas que considere convenientes para procurar que los datos personales de casos de COVID-19, sean exactos, completos, pertinentes, actualizados y correctos.
- Toda comunicación que se realice en la organización sobre la posible presencia de COVID-19 en el lugar de trabajo, no debe identificar a ningún colaborador de forma individual.
- El tratamiento de datos personales ante el COVID-19, debe ser informado y el titular debe conocer en todo momento las finalidades para las cuáles serán recabados y tratados sus datos personales. Previo al tratamiento, el responsable deberá poner a disposición del titular el aviso de privacidad correspondiente.
- Los responsables podrán tratar, de acuerdo con la normativa aplicable, los datos personales de sus colaboradores que sean necesarios para garantizar la salud de todo su personal y evitar la propagación de COVID-19 en las instituciones y organizaciones.
- Limitar el periodo de tratamiento al tratarse de datos inherentes a la salud de un titular y por ser considerados datos personales sensibles de acuerdo al marco legal en materia de protección de datos personales.
- Definir los plazos de conservación de los datos personales relacionados con casos de COVID-19, así como los mecanismos que se emplearán para eliminarlos de forma segura, tomando en consideración la normatividad sectorial en la materia.
- Notificar cualquier vulneración de seguridad de datos personales, a los titulares y de forma adicional para el Sector Público, al INAI o al Órgano Garante que corresponda.
- Evitar la difusión pública no autorizada de información y datos personales de casos -posibles o confirmados- de COVID-19.
- Proteger y evitar la difusión de datos personales de niñas, niños y adolescentes en casos -posibles o confirmados- de COVID-19.
- Implementar medidas de seguridad físicas, técnicas y administrativas en aquellos dispositivos móviles, de almacenamiento, equipos de cómputo y sistemas informáticos que realicen tratamiento de datos personales de casos de COVID-19.