Los datos de salud de los empleados son la categoría de información más protegida bajo el Reglamento General de Protección de Datos. No porque sean más importantes que otros datos personales, sino porque su uso indebido tiene consecuencias directas sobre la vida laboral, la dignidad y la igualdad de trato de las personas. Una empresa que gestiona mal los datos sanitarios de su plantilla no solo incumple el RGPD: toma decisiones sobre personas basándose en información que no debería tener, con el riesgo legal y humano que eso conlleva.
Por qué los datos sanitarios de los empleados son la categoría más sensible del RGPD
El artículo 9 del RGPD clasifica los datos de salud como categoría especial, cuyo tratamiento está prohibido salvo excepciones tasadas. En el ámbito laboral, las excepciones que permiten el tratamiento son principalmente dos: el cumplimiento de obligaciones en materia de seguridad social y protección social (reconocimientos médicos obligatorios, gestión de bajas IT) y la medicina preventiva o laboral. Fuera de estas excepciones, cualquier tratamiento de datos de salud de un empleado es ilícito, aunque el empleado lo haya comunicado voluntariamente. El riesgo de incumplimiento es especialmente alto porque muchas empresas no tienen claro qué datos de salud pueden gestionar, quién puede acceder a ellos y cómo deben conservarse.
Quién puede acceder a los datos médicos de los empleados y en qué condiciones
El principio de separación funcional es la clave de la gestión correcta de datos sanitarios en la empresa. No todos los perfiles que intervienen en la relación laboral pueden acceder a la misma información, y confundir esos límites es el error más frecuente y más costoso.
Bajas laborales y RGPD: qué información puede pedir la empresa al empleado
Cuando un empleado causa baja por incapacidad temporal, la empresa tiene derecho a recibir el parte oficial de baja de la Seguridad Social, que incluye la fecha de inicio, la duración estimada y la contingencia (común o profesional), pero nunca el diagnóstico ni la causa médica. RRHH puede y debe gestionar la información administrativa de la baja, planificar la cobertura y tramitar las gestiones con la Seguridad Social. Lo que no puede hacer es conocer ni conservar el diagnóstico, presionar al empleado para que lo revele ni tomar decisiones laborales basadas en la naturaleza de la enfermedad. Los partes de confirmación de baja que incluyen el código diagnóstico (CIE-10) deben ir directamente al servicio de prevención o al médico de empresa, nunca a RRHH.
Reconocimientos médicos laborales: consentimiento, voluntariedad y confidencialidad
El artículo 22 de la LPRL establece que la vigilancia de la salud de los trabajadores es, con carácter general, voluntaria. Solo es obligatoria cuando la ley lo establece expresamente (trabajos con riesgos específicos), cuando el reconocimiento es imprescindible para evaluar los efectos de las condiciones de trabajo sobre la salud o cuando el estado de salud del trabajador puede constituir un peligro para él mismo o para terceros. Los resultados del reconocimiento médico son confidenciales: el médico de empresa solo puede comunicar a la empresa la aptitud del trabajador para el puesto (apto, apto con restricciones, no apto), nunca el diagnóstico ni los resultados clínicos. El consentimiento del trabajador para el reconocimiento debe obtenerse de forma informada y documentada, especificando la finalidad del tratamiento de los datos.
Seguridad técnica y organizativa para proteger los datos de salud en la empresa
Las medidas de seguridad exigibles para el tratamiento de datos de salud son más estrictas que para el resto de los datos personales. Las medidas mínimas incluyen: cifrado de los archivos que contengan datos de salud, control de acceso por roles (solo accede quien tiene necesidad funcional justificada), registro de actividad (quién accede, cuándo y para qué), y evaluación de impacto (EIPD) cuando el tratamiento se realice a gran escala. Si la empresa usa un sistema de gestión de RRHH que incluye datos de salud, el proveedor debe firmar un contrato de encargado del tratamiento y garantizar las mismas medidas de seguridad. La AEPD puede solicitar toda esta documentación en el contexto de una inspección o ante una reclamación de un trabajador.
Formación del personal que gestiona datos de salud: quién y qué debe saber
La formación en protección de datos sanitarios no es solo para el DPO o el departamento jurídico. Cualquier persona que acceda a datos de salud en el ejercicio de sus funciones necesita formación específica: RRHH sobre qué puede y no puede gestionar, médicos de empresa y técnicos de prevención sobre sus obligaciones de confidencialidad y separación funcional, y dirección sobre los límites del acceso a información de salud y el riesgo legal de las decisiones basadas en el estado de salud de los empleados. Desde el catálogo de Salud y Bienestar y Derecho de Educa.Pro encontrarás formación específica en protección de datos sanitarios laborales, bonificable a través de FUNDAE para todos los perfiles implicados.
Los datos de salud de los empleados no son un expediente más: son información que puede determinar el futuro laboral de una persona si se gestiona mal. La protección adecuada no es solo una obligación legal: es una señal de que la empresa trata a sus personas como personas.
