הבסיס המשפטי ב-GDPR המאפשר לאסוף מידע אישי ככל שהדבר נדרש להגנה על אינטרס חיוני של אדם חל כאשר מעסיק נדרש למסור מידע אישי על אחד מעובדיו מחשש להדבקה בנגיף הקורונה בקרב עמיתיו - כך עולה מדו"ח שפרסמה הרשות להגנת המידע בספרד. עוד מכריז הדו"ח כי "בעת איסוף המידע למען המאבק במגיפה, שיקולי GDPR ודיני הפרטיות בספרד לא יגבילו את איסוף המידע".

לפי הדו"ח, שיתוף מידע כזה על תחלואת עובדים בקורונה עשוי להידרש לפי דיני העבודה במדינה המחייבים מעסיקים להגן על ביטחון ובריאות העובדים. ככל שיש חשד שעובד בא במגע עם הנגיף, גם מוטלת על העובד עצמו חובה לדווח למעסיק ולגורמים האמונים על בטיחות וגיהות בעבודה.

עם זאת, הדוח מדגיש שגם בעתות חירום כאלה יש לעבד מידע אישי לאור עקרונות הגנת הפרטיות על פי ה-GDPR והדין המקומי. בין היתר, אין לאסוף יותר מידע אישי מהנדרש, יש להשתמש במידע אישי רק לצורך המטרה לשמה הוא נאסף ויש למסור לנושא המידע הודעה על איסוף המידע. הדוח גם מבחין בין מקרים בהם איסוף המידע נחוץ ומקרים בהם האיסוף מסייע אך לא נחוץ. הדו"ח מורה כי יש לאסוף מידע רק במקרה הראשון.