Si gestionas datos de salud de empleados y te preocupan las obligaciones

¿Tienes razón?

Tratar datos de salud de empleados está permitido cuando hay una base legal clara y una finalidad legítima: gestión de salud ocupacional, cumplimiento de obligaciones legales o prestaciones de salud derivados de la relación laboral. Tres factores que determinan si tu tratamiento es aceptable:

1) Finalidad y proporción. La recogida debe responder a una finalidad explícita y ser limitada a lo necesario. Documenta por qué cada dato es imprescindible.

2) Consentimiento y otras bases. En muchos casos el consentimiento no es la base adecuada por la relación de subordinación; por eso debes apoyarte en obligaciones legales, cumplimiento de contrato o la protección de un interés vital. Si usas consentimiento, asegúrate de que sea libre y no condicionado.

3) Medidas de protección. Datos de salud requieren controles más estrictos: acceso limitado, registros de acceso, cifrado y conservación mínima. También debes evitar compartirlos innecesariamente con terceros.

Si cumples estas condiciones y documentas las decisiones, tu tratamiento estará mejor protegido; si no, te expones a reclamaciones y sanciones.

Cómo se soluciona

1) Clasifica los datos. Haz un inventario: certificados médicos, incapacidades, antecedentes, resultados de exámenes ocupacionales. Para cada tipo de dato especifica la finalidad y el periodo de retención.

2) Minimiza recogida. Pregúntate si necesitas el dato completo o sólo un indicador (p. ej., apto/no apto). Evita recopilar diagnósticos detallados cuando no sean necesarios.

3) Restringe accesos. Limita la lectura y modificación a funciones concretas (recursos humanos, médico del trabajo) y registra accesos. Establece políticas y controles para asegurar que sólo quienes requieren la información la vean.

4) Protege técnicamente. Usa cifrado en reposo y tránsito, controla backups y segmenta las bases de datos. Implementa control de versiones y políticas de eliminación segura.

5) Contratos y encargados. Si compartes datos con clínicas, aseguradoras o proveedores, firma contratos que obliguen a medidas de seguridad, notificación de incidentes y auditorías.

6) Información y derechos. Informa a los trabajadores sobre qué datos se procesan, con qué finalidad y cómo ejercer derechos. Ten procedimientos para solicitudes de acceso, rectificación y supresión cuando proceda.

7) Conservación y eliminación. Define plazos y procedimientos seguros de eliminación. No acumules historiales innecesarios.

Puedes iniciar hoy con el inventario y la limitación de accesos. Busca abogado cuando existan reclamaciones, cuando los tratamientos sean masivos o si vas a compartir con aseguradoras o sistemas de salud.

Qué puede pasar

1) Se arregla con correcciones internas. Muchas situaciones se resuelven ordenando archivos, limitando accesos y entregando explicaciones a trabajadores; una carta formal de corrección suele cerrar la mayoría de reclamos.

2) Acuerdo o conciliación. Podrías llegar a acuerdos con trabajadores afectados que incluyan medidas disciplinarias internas, compensaciones simbólicas o compromisos de control de acceso.

3) Procedimiento administrativo o judicial. Si la gestión es negligente o divulgas datos sensibles, la autoridad puede investigar y aplicar sanciones; además, podrías enfrentar demandas por indemnización si hay daño demostrado. Si ganas, cobrar depende de la solvencia de la parte demandada.

En todos los casos, documentar acciones correctivas y mantener registros es clave para mitigar impactos.

Errores que arruinan el caso

• Guardar historiales de salud en carpetas abiertas o sin control de acceso.
• Compartir diagnósticos en canales de mensajería no seguros.
• Pedir consentimiento donde la relación laboral impide que sea libre.
• No terminar la relación con proveedores que no cumplen las medidas de seguridad.
• No informar a los trabajadores sobre qué datos se tratan y por qué.