En la Comunidad de Madrid, como ejemplo, se ha establecido que los locales comerciales (como por ejemplo restaurantes), podrán pedir a sus clientes datos personales, como el nombre, apellidos, DNI y teléfono/email, para tratar de formentar una reacción rápida ante los nuevos brotes del COVID-19.

La Agencia Española de Protección de Datos (AEPD) ha tomado una postura al respecto:

-Los datos personales que se pretenden recopilar no son considerados datos de categoría especial, como establece el art. 9 RGPD (entre otros, datos de salud).

-Es necesario que sea un requisito obligatorio que impongan las autoridades sanitarias y que si el cliente no quiere proporcionarlo, no sufra consecuencias negativas.

-Para hacer un seguimiento adecuado de la evolución de los contagios, estos datos deben ser cedidos a la autoridades sanitarias, hecho fundamentado en el interés público.

-La recogida y cesión de datos debe realizarse de forma que su registro identifique los posibles contactos (identificar las personas que coincidieran con los infectados el mismo día, hora, lugar, etc). No vale con contactar con todas las personas que pudieron estar en el establecimiento, porque entonces, se estaría realizando un tratamiento excesivo, con el riesgo de producir colapso sanitario.

-Es necesario cumplir con el principio de minimización y anonimización, bastando solo con solicitar el número de teléfono y el día y hora de asistencia al lugar del titular del teléfono (el titular no se debe identificar), no teniendo que pedir otros datos como nombre y apellidos.

-Sólo deben utilizar los datos para controlar los contagios del virus, no pudiendo ser utilizados con otros fines, como pueden ser comerciales.

-Por supuesto antes de recoger esos datos, debe informarse a los clientes de forma clara, sencilla y accesible sobre el tratamiento de estos datos, como los van a proteger, etc.