Si gestionas datos de salud de empleados y te preocupan las obligaciones

¿Tienes razón?

No existe una respuesta rotunda: la legitimidad del tratamiento depende de qué datos concretos manejas, por qué y cómo. Los datos de salud se consideran categorías especiales y su tratamiento requiere bases legales más estrictas y, en muchos casos, consentimiento explícito o una base reglada (por ejemplo, obligaciones en materia de seguridad y salud en el trabajo o prestaciones de la Seguridad Social). También importa si tratas historiales médicos, partes de baja o información recogida en reconocimientos médicos: cada tipo de dato tiene un contexto distinto.

Además cuenta quién accede y cómo se protege la información. Si sólo el servicio médico de empresa y recursos humanos tienen acceso con controles fuertes, tu riesgo es menor. Si múltiples departamentos acceden sin necesidad, aumentas la exposición.

El tratamiento fuera de los fines laborales —por ejemplo para fines comerciales o evaluaciones no justificadas— es claramente problemático. La proporcionalidad es clave: recoge lo mínimo necesario y conserva solo lo imprescindible.

Cómo se soluciona

1) Mapea los datos. Haz un inventario detallado: qué datos de salud se recogen, por qué, quién los consulta, quién es el responsable y qué servicios externos procesan esos datos.

2) Define la base jurídica para cada tratamiento. Para reconocimientos médicos y gestión de bajas suele haber bases relacionadas con obligaciones laborales y de seguridad social; para otros usos puede que necesites el consentimiento cuando no exista otra base. Registra la decisión y la motivación.

3) Minimiza y segmenta accesos. Aplica el principio de mínimo privilegio: sólo el personal imprescindible y con formación específica debe acceder a datos de salud. Usa seudonimización cuando sea posible para análisis estadísticos.

4) Refuerza medidas técnicas. Cifrado en reposo y en tránsito, control de accesos con doble autenticación, registros de auditoría y políticas de retención claras. Implementa procedimientos para eliminar datos cuando ya no sean necesarios.

5) Contratos con proveedores sanitarios. Si subcontratas servicios médicos o plataformas de salud laboral, exige cláusulas específicas que protejan los datos, derecho a auditoría y medidas de seguridad concretas.

6) Información y derechos. Informa a los empleados con claridad sobre qué datos se tratan y por qué, sin revelar información sensible a quienes no deban verla. Habilita vías para ejercicio de derechos y designa responsables de su gestión.

7) Gestión de brechas. Ten un plan de respuesta a incidentes que contemple valoración de riesgo y notificación a la autoridad y a los afectados cuando proceda.

Qué puedes hacer solo: inventariar datos, limitar accesos básicos y revisar contratos. Cuándo necesitas ayuda: si tratas grandes cantidades de datos de salud, si hay integración con sistemas externos, o si se produce una brecha de datos sensibles; entonces conviene asesoría especializada.

Qué puede pasar

1) Se ajusta con medidas internas: la mayoría de los problemas se corrigen limitando accesos, mejorando cifrado y revisando políticas de retención y consentimiento. Un ajuste técnico y organizativo puede neutralizar la mayoría de riesgos.

2) Acuerdo o subsanación aceptada: en muchos casos una inspección o requerimiento de la autoridad termina con medidas correctoras y sin sanción grave si se demuestra cooperación y diligencia.

3) Investigación y sanción: el tratamiento indebido de datos de salud puede provocar multas y medidas correctoras si la autoridad considera que hubo negligencia. En lo civil, los empleados pueden reclamar daños por vulneración de intimidad. Si pierdes, podrías afrontar costes y obligaciones de reparación; recuperar esos costes a posteriori contra proveedores depende de lo acordado contractualmente.

Y si ganas, ¿cobras? Una sentencia favorable que reconozca daños solo se ejecutará si hay sujetos con capacidad de pago; por eso conviene diseñar contratos con garantías financieras cuando externalizas.

Errores que arruinan el caso

• Guardar historiales médicos en carpetas compartidas sin control de accesos.
• Mezclar datos de salud con bases de datos comerciales o de RR. HH. sin segmentación.
• No pedir pruebas documentales al proveedor sanitario sobre medidas de seguridad.
• Permitir comunicaciones no cifradas con información de salud (correo sin cifrar, WhatsApp) entre empleados.
• No tener un registro de quién accedió a qué; sin logs no puedes demostrar diligencia en caso de reclamación.