Si gestionas datos de salud de empleados y te preocupan las obligaciones

¿Tienes razón?

No todo dato relacionado con la salud es igual. Tres elementos determinan su posición: la categoría de los datos (si son sensibles o no), la finalidad del tratamiento (gestión de seguridad y salud laboral, selección de personal, licencias médicas) y las medidas de protección aplicadas. Datos clínicos, diagnósticos o historial médico se consideran especialmente sensibles y exigen mayores cautelas. Si usted procesa estos datos por obligación legal (por ejemplo, para seguridad laboral) o para garantizar condiciones de trabajo, puede estar autorizado, pero debe documentar la base y minimizar el acceso.

También importa la proporcionalidad: recolectar historiales médicos extensos sin una justificación clara es un error. La norma exige que solo se traten los datos necesarios para la finalidad perseguida. Además, los empleados deben recibir información clara sobre qué datos se obtienen, por qué, quién tiene acceso y cuánto tiempo se conservarán. En general, los datos de salud exigen medidas técnicas (cifrado, control de accesos) y organizativas (capacitación, políticas internas) más estrictas que otros datos personales.

Por último, considere terceros: si comparte datos de salud con una ARL, IPS o proveedor de servicios de salud ocupacional, firme contratos que aclaren responsabilidades y medidas de seguridad. La falta de control sobre terceros que manejan datos sensibles es una fuente habitual de reclamaciones.

Cómo se soluciona

1. Haga un inventario preciso: identifique qué datos de salud tiene, su origen (parte médica, exámenes de ingreso, incapacidades), quién accede y dónde se almacenan. Exporte registros y organice la información por categorías.
2. Justifique la finalidad: para cada categoría de dato explique la necesidad concreta (cumplimiento de normas de seguridad, gestión de incapacidades). Documente la base jurídica y asegure que la recolección está limitada a lo estrictamente necesario.
3. Minimización y retención: elimine datos innecesarios y defina políticas de conservación claras. Mantenga registros de borrados y justificaciones para auditoría.
4. Accesos y controles: limite accesos a personal autorizado mediante autenticación, registros de acceso y separación de funciones. Asegure que los dispositivos y sistemas que alojan datos estén cifrados y actualizados.
5. Contratos con terceros: firme acuerdos con proveedores de salud ocupacional, ARL o laboratorios que establezcan obligaciones de confidencialidad, medidas de seguridad y cláusulas de responsabilidad.
6. Notificación y derechos: informe a los empleados sobre el tratamiento y habilite canales para ejercer derechos de acceso, rectificación o supresión cuando proceda. Tenga procedimientos para responder solicitudes internas de manera trazable.
7. Formación y cultura: capacite a quienes manejan datos de salud sobre secretos médicos, manejo de información sensible y protocolos en caso de incidente.

Acciones que puede hacer sin abogado: inventario, políticas básicas de retención, controles de acceso y comunicación con empleados. Necesitará asesoría legal para redactar cláusulas contractuales específicas, valorar tratamientos complejos (por ejemplo, vigilancia biométrica) y para gestionar incidentes con impacto laboral o reclamaciones colectivas.

Qué puede pasar

1) Resolución interna con medidas organizativas. A menudo, problemas por manejo inapropiado se solucionan con corrección de accesos, eliminación de datos innecesarios y formación del personal.

2) Acuerdo con el empleado afectado. Si hay un daño real, se puede pactar una reparación, confidencialidad y medidas para evitar repetición. Para la empresa, un acuerdo puede evitar procesos más costosos y proteger la relación laboral.

3) Reclamación administrativa o judicial. La autoridad de protección de datos o instancias laborales pueden investigar y exigir medidas correctoras o sanciones. Además, el empleado podría iniciar acciones civiles por vulneración grave de su intimidad. Si pierde usted, la efectividad de la reparación dependerá de las garantías y de la capacidad económica.

Si obtiene una resolución favorable, no siempre implica devolución económica: suele servir para acreditar cumplimiento y evitar sanciones adicionales.

Errores que arruinan el caso

• Reunir más información médica de la necesaria: solicitar historiales completos cuando solo hace falta un certificado de aptitud es desproporcionado.
• Compartir datos de salud en canales no seguros (correo personal, chat sin cifrar): exponerse a filtraciones que se pueden evitar.
• No documentar consentimientos o la base jurídica para tratamientos sensibles.
• Permitir acceso indiscriminado: secretarias o mandos sin necesidad legítima no deben ver historiales médicos.
• No capacitar a responsables de gestión humana sobre confidencialidad y protocolos en incidentes.