Pocos tratamientos generan tantos problemas con tan poco volumen de datos. Los datos de salud de empleados son categoría especial del artículo 9 del RGPD, y su régimen no se resuelve con un consentimiento firmado en el momento de la contratación. Se resuelve sabiendo qué puede conocer la empresa, qué no debe llegarle nunca y quién responde de cada pieza.
En este artículo vamos a tratar...
La regla es la prohibición
El artículo 9.1 del RGPD prohíbe el tratamiento de datos relativos a la salud. Solo se puede tratar si concurre alguna de las excepciones del artículo 9.2. En el ámbito laboral son tres las relevantes:
- Artículo 9.2.b: tratamiento necesario para el cumplimiento de obligaciones y el ejercicio de derechos en el ámbito del Derecho laboral y de la seguridad y protección social, en la medida en que lo autorice el Derecho de la Unión, el nacional o un convenio colectivo que establezca garantías adecuadas.
- Artículo 9.2.h: medicina preventiva o laboral, evaluación de la capacidad laboral del trabajador y diagnóstico médico, sujeto a las garantías del apartado 3, es decir, al secreto profesional.
- Artículo 9.2.i: razones de interés público en el ámbito de la salud pública.
El artículo 9 de la LOPDGDD añade dos precisiones que conviene tener presentes. La primera: el solo consentimiento del afectado no basta para levantar la prohibición cuando la finalidad principal del tratamiento sea discriminatoria. La segunda: los tratamientos amparados en las letras g), h) e i) fundados en Derecho español deben apoyarse en una norma con rango de ley.
La consecuencia práctica es contundente: el consentimiento del trabajador es la peor base posible en esta materia. Ni sirve para lo prohibido, ni resulta libre en una relación de subordinación.
Apto o no apto: la frontera del artículo 22
El artículo 22 de la Ley 31/1995 de Prevención de Riesgos Laborales es la norma que más se incumple sin querer. Dice dos cosas.
Primera, la vigilancia de la salud solo puede realizarse con el consentimiento del trabajador. De ese carácter voluntario únicamente se exceptúan, previo informe de los representantes de los trabajadores, los supuestos en que el reconocimiento sea imprescindible para evaluar los efectos de las condiciones de trabajo sobre la salud, para verificar si el estado de salud puede constituir un peligro para el propio trabajador o para terceros, o cuando así lo establezca una disposición legal.
Segunda, y aquí está la frontera: el acceso a la información médica se limita al personal sanitario y a las autoridades sanitarias, sin que pueda facilitarse al empresario sin consentimiento expreso. Al empresario y a quienes tienen responsabilidades preventivas se les informa únicamente de las conclusiones en cuanto a la aptitud del trabajador para el puesto y de la necesidad de introducir o mejorar medidas de protección.
Apto, no apto, apto con restricciones. Nunca el diagnóstico, nunca la prueba, nunca el motivo.
Bajas médicas: lo que la empresa puede saber
Desde el 1 de abril de 2023, con la entrada en vigor del Real Decreto 1060/2022 y su desarrollo por la Orden ISM/2/2023, el trabajador ya no tiene que entregar copia del parte de baja a la empresa. El facultativo se la entrega a él; el Instituto Nacional de la Seguridad Social comunica a la empresa los datos identificativos de carácter meramente administrativo del parte de baja, confirmación y alta, a más tardar el primer día hábil siguiente. La empresa, por su parte, transmite al Instituto los datos que le correspondan en el plazo de tres días hábiles.
El efecto es exactamente el que buscaba la reforma: la empresa conoce fechas y datos administrativos, no la contingencia clínica ni el diagnóstico. Si alguien en su organización sigue archivando partes con el motivo de la baja, está conservando datos que ya no debería recibir.
Quién es responsable de qué
Este es el punto donde más se enreda la documentación. Cuando la empresa contrata a un servicio de prevención ajeno o a una clínica para realizar reconocimientos dentro del plan de prevención, el centro sanitario que realiza las pruebas y genera documentación clínica actúa como responsable del tratamiento respecto de esa documentación, por las obligaciones que le impone la normativa sanitaria. No es un simple encargado que ejecuta instrucciones.
Esa calificación tiene consecuencias: no basta con firmar un contrato de encargado genérico y darlo por resuelto. Hay que delimitar por escrito qué información fluye en cada dirección, y esa información hacia la empresa debe limitarse a la aptitud.
Lo que ha costado hacerlo mal
La Agencia Española de Protección de Datos impuso en diciembre de 2021 una sanción de 50.000 euros a una constructora que cedió a un tercero las fechas y los motivos de las bajas médicas de un empleado, por infracción de los artículos 6 y 9 del RGPD.
En otro expediente, sancionó con 40.000 euros —reducidos a 32.000 por pago voluntario— una vulneración del principio de confidencialidad del artículo 5.1.f: el informe médico de un trabajador se escaneó dentro del expediente de otro y se subió al portal del servicio de prevención.
Fíjese en el segundo caso. No hubo mala fe, ni cesión deliberada, ni ánimo de perjudicar. Hubo un escaneo mal hecho. Los datos de salud tienen esa característica: el error administrativo más banal se convierte en infracción de categoría especial.
La revisión que conviene hacer
- Comprobar que ningún certificado de aptitud archivado en recursos humanos contiene diagnóstico o resultados de pruebas.
- Revisar quién tiene acceso a las carpetas donde se guardan aptitudes y partes, y reducir esa lista al mínimo.
- Eliminar la práctica de conservar partes de baja con motivo clínico.
- Documentar el reparto de papeles con el servicio de prevención y con la clínica.
- Registrar la actividad de tratamiento de vigilancia de la salud con su base jurídica, su plazo y sus destinatarios.
- Formar a quien tramita bajas: es quien más veces toca estos datos y quien menos formación suele tener.
Ninguno de esos seis puntos es caro. Todos son fáciles de acreditar si están hechos e imposibles de improvisar si no lo están. Es parte de lo que revisamos en el asesoramiento en protección de datos cuando entramos en el área laboral de una empresa.