Si gestionas datos de salud de empleados y te preocupan las obligaciones

¿Tienes razón?

Que usted gestione datos de salud de empleados no es en sí ilegal, pero hay tres factores que determinan si lo está haciendo bien:

1. La naturaleza del dato: los datos de salud —resultados médicos, incapacidades, historial de salud, diagnósticos— son datos sensibles. Requieren un tratamiento más respaldado y protegido que un nombre o un correo.

1. La finalidad y la base legal: por qué recoge y para qué usa esos datos. No basta con «por si acaso». Debe existir una finalidad concreta (por ejemplo, gestionar una incapacidad laboral o adaptar el puesto). Esa finalidad debe estar documentada y comunicada a la persona.

1. Las medidas de seguridad y los accesos: dónde se almacenan esos datos, quién puede verlos, cómo se transmiten y durante cuánto tiempo se conservan. Un sistema desprotegido o accesible a todo el personal es un riesgo claro.

Si falla uno de estos puntos, su posición es débil. Pero hay matices: a veces es suficiente reordenar procesos y documentarlos para normalizar la situación; otras, hay que informar a las personas y, si hubo divulgación indebida, prepararse para responder.

Cómo se soluciona

1) Haga un inventario inmediato de los datos. Identifique qué datos de salud existen: certificados médicos, incapacidades, vacunas, exámenes médicos ocupacionales. Anote dónde están (físico, sistema de recursos humanos, correo), quién tiene acceso y por qué se recabaron.

2) Clasifique la finalidad. Para cada conjunto de datos escriba la finalidad precisa: gestión de licencias médicas, evaluación de aptitud para el puesto, obligación legal ante autoridades sanitarias, entre otros. Si la finalidad no está justificada, deje de recoger ese dato.

3) Revise la base legal. Determine si el tratamiento se sustenta en el consentimiento explícito o en otra base admitida por la normativa aplicable (por ejemplo, cumplimiento de obligaciones laborales o seguridad y salud en el trabajo). Documente esa base y mantenga registros de decisiones.

4) Limite accesos y cifre. Restrinja el acceso a los datos de salud solo al personal imprescindible (recursos humanos, prevención de riesgos). Aplique controles de acceso, registro de eventos y cifrado cuando los datos estén en sistemas o respaldos.

5) Actualice contratos y encargos. Si un tercero (laboratorio, servicio médico, consultora) trata esos datos, firme un contrato de tratamiento que precise obligaciones de seguridad, subencargados y procedimientos para incidentes.

6) Habilite avisos a los trabajadores. Informe a los empleados sobre qué datos se recaban, la finalidad, la base legal, los destinatarios y sus derechos. Use canales que dejen constancia (correo corporativo, intranet con prueba de lectura, reglamento interno).

7) Proceda con retenciones mínimas. Defina y documente plazos de conservación en función de la finalidad. Elimine o anonimice datos que ya no sean necesarios.

8) Si hubo una fuga de información, active el protocolo de incidentes: identifique alcance, recupere registros de acceso, comunique a las personas afectadas si existe riesgo y, si procede, notifique a la autoridad competente.

Acciones que puede hacer usted hoy: abrir el inventario, exportar las carpetas con documentos médicos, comprobar permisos en el sistema de RR. HH. Acciones que necesita de un abogado: redactar el contrato de tratamiento con proveedores, evaluar el riesgo legal de una fuga y preparar comunicaciones oficiales.

Qué puede pasar

1) Se arregla con una carta o corrección interna. Muchas situaciones se normalizan con un procedimiento escrito, limitando accesos y emitiendo la información faltante a los trabajadores. Esto resuelve el problema con bajo coste y rápido.

2) Acuerdo o conciliación. Si un trabajador reclama por trato indebido, puede ofrecerse un acuerdo (por ejemplo, medidas de reparación, capacitación y garantías de mejora). Un acuerdo pierde menos tiempo y evita litigio, aunque quizá no repare todas las consecuencias reputacionales.

3) Procedimiento administrativo o demanda. Si la autoridad determina que hubo incumplimiento, puede haber sanciones y órdenes de corrección. En un juicio civil, la empresa puede enfrentar indemnizaciones y la obligación de reparar el daño. Si pierde, la ejecución depende de la solvencia y de los bienes de la empresa: una sentencia no garantiza la recuperación inmediata de daños.

Y si gana, ¿cobra? Ganar en sentencia demuestra el derecho, pero cobrar depende de la capacidad económica de la contraparte. Si la empresa es solvente, la sentencia puede satisfacerse; si no, usted tendrá un título que podrá ejecutar pero la recuperación puede demorarse o verse limitada.

Errores que arruinan el caso

• Mantener datos de salud en bandejas de correo o en carpetas compartidas sin control de acceso.
• No documentar la finalidad y la base legal del tratamiento.
• Mezclar documentación médica con expedientes disciplinarios sin separar accesos.
• Eliminar o modificar registros de acceso cuando hay una reclamación en curso.
• No firmar contratos de tratamiento con proveedores que acceden a datos de salud.