Si gestionas datos de salud de empleados y te preocupan las obligaciones

¿Tienes razón?

No es ilegal que una empresa gestione datos de salud de sus empleados, pero la naturaleza sensible de esos datos impone mayores obligaciones. Lo que determina tu posición son tres cuestiones principales: la finalidad del tratamiento (por ejemplo, control de incapacidades, prevención de riesgos laborales), la proporcionalidad de la información solicitada y las medidas de seguridad. Si recoges solo lo necesario, informas claramente y limitas el acceso, tu actuación es la apropiada. Si, en cambio, pides historiales médicos extensos sin justificación o compartes información con áreas que no la necesitan, te expones a reclamaciones.

Valora también la confidencialidad: la empresa debe evitar que colegas o mandos reciban información médica innecesaria y, cuando sea imprescindible, presentar solo la información estrictamente necesaria para la gestión laboral.

Cómo se soluciona

1) Define finalidades claras. Especifica por escrito cada finalidad: evaluaciones médicas obligatorias, ausencias por incapacidad, ajustes razonables por discapacidad, o prevención de riesgos. No uses la misma etiqueta para fines administrativos y para decisiones de personal.

2) Limita la recopilación. Pregunta solo lo que necesitas para la finalidad. Evita pedir historiales clínicos completos salvo que exista justificación legal o un requerimiento judicial.

3) Obtén la base legal adecuada. En muchos supuestos la empresa actúa en su calidad de responsable para gestionar relaciones laborales; para otras finalidades puede requerirse el consentimiento explícito. Documenta la base y la justificación.

4) Controla el acceso. Implementa reglas de “necesidad de saber”: RRHH y personal médico autorizados deben ser los únicos con acceso a expedientes de salud. Mantén registros de accesos.

5) Protege los datos. Aplica medidas técnicas como cifrado y controles de acceso en sistemas, y medidas físicas para expedientes en papel. Asegura la conservación segura y la eliminación segura de archivos cuando proceda.

6) Informa a las personas. Comunica de forma clara qué datos se recaban, por qué, durante cuánto tiempo se almacenan y con quién se comparten. Facilita canales para ejercer derechos de acceso y corrección.

7) Gestiona la subcontratación. Si usas clínicas externas o servicios de salud ocupacional, firma contratos que obliguen a proteger datos y permitir auditorías.

8) Forma al personal. Capacita a mandos y RRHH sobre confidencialidad y manejo de información sensible.

Qué puedes hacer tú: separar expedientes médicos de los administrativos, limitar el acceso y revisar contratos con clínicas. Busca abogado cuando haya reclamaciones formales, cuando se planteen divulgaciones masivas o cuando debas diseñar políticas complejas sobre salud y empleo.

Qué puede pasar

1) Se arregla con comunicación y corrección. Muchas disputas se resuelven corrigiendo datos erróneos, restringiendo accesos o explicando las finalidades. Un ajuste rápido reduce riesgo de escalada.

2) Acuerdo o conciliación. Si hay reclamación ante autoridad o sindicato, puede llegarse a un arreglo que incluya cambios en políticas, capacitación y compromisos de seguridad.

3) Procedimiento administrativo o sanción. Un incumplimiento grave en el manejo de datos sensibles puede atraer la intervención de autoridades, medidas correctivas y sanciones administrativas. Además del riesgo legal, existe daño reputacional y posibles costes de auditoría y reparación.

Y si ganas, ¿cobras? En materia laboral y de datos, la reparación suele ser correctiva y restaurativa más que estrictamente económica; obtener pagos depende de la vía elegida y de la solvencia de las partes.

Errores que arruinan el caso

• Guardar información médica en expedientes generales accesibles a personal no autorizado. Eso genera vulneraciones evitable.
• Pedir datos sensibles sin justificar la necesidad. Recolectar por costumbre o por comodidad aumenta el riesgo legal.
• No cifrar o no controlar accesos a sistemas donde se almacenan expedientes. La falta de controles técnicos facilita filtraciones.
• Compartir detalles médicos con mandos o compañeros cuando un resumen sería suficiente. La sobrecomunicación invade la privacidad.
• No documentar justificaciones para exámenes médicos. Si no hay registro de la necesidad, justificar la recolección posterior es difícil.