Datos de salud de empleados: cómo tratarlos sin incumplir el RGPD

Los datos de salud de empleados son datos especialmente protegidos. Una empresa no puede comunicarlos, reenviarlos o compartirlos con terceros salvo que exista una base jurídica clara, una excepción válida del artículo 9 del RGPD y una necesidad proporcionada.

Qué se considera dato de salud

Son datos de salud los que revelan información sobre el estado físico o mental de una persona. En el ámbito laboral pueden aparecer en bajas médicas, justificantes, informes de aptitud, reconocimientos médicos, adaptaciones de puesto, comunicaciones de prevención de riesgos o información sobre discapacidad.

Qué puede conocer la empresa

La empresa puede necesitar información suficiente para gestionar ausencias, obligaciones laborales, prevención de riesgos o adaptaciones. Pero debe aplicar minimización: no tiene derecho a conocer diagnósticos completos, tratamientos o detalles médicos que no sean necesarios para la finalidad laboral legítima.

Errores frecuentes

• Reenviar justificantes médicos a personas que no necesitan acceder.
• Incluir diagnósticos en comunicaciones internas.
• Guardar informes médicos completos en expedientes ordinarios.
• Compartir datos de salud con clientes o proveedores sin base legal.
• No separar la gestión laboral de la vigilancia de la salud.
• No limitar accesos en recursos humanos o prevención.

Buenas prácticas

1. Solicitar solo la información imprescindible.
2. Separar expedientes médicos o preventivos de documentación laboral general.
3. Limitar accesos a personal autorizado.
4. Informar a la plantilla sobre el tratamiento de estos datos.
5. Revisar contratos con servicios de prevención y mutuas.
6. Documentar la base jurídica y medidas de seguridad.

Fuentes oficiales recomendadas

• AEPD: guía de protección de datos en relaciones laborales.
• AEPD: preguntas frecuentes sobre protección de datos laboral.

Conclusión

Los datos de salud de empleados exigen especial prudencia. La empresa debe tratar solo lo necesario, limitar accesos y evitar que información médica circule como si fuera documentación laboral ordinaria.