Protección de datos de salud en SST

Qué implica la protección de datos de salud en SST

La prevención de riesgos laborales necesita información sobre la salud de las personas para protegerlas: saber si un puesto es compatible con la condición de quien lo ocupa, detectar daños precoces, adaptar tareas o proteger el embarazo. Pero esa misma información, en manos equivocadas, puede dar lugar a discriminación, presión o pérdida de intimidad. Por eso el ordenamiento distingue dos circuitos: el sanitario, donde el personal médico y de enfermería del trabajo maneja datos clínicos bajo secreto profesional, y el empresarial, que solo recibe conclusiones funcionales (apto, apto con restricciones, no apto, necesidad de adaptación) sin diagnósticos.

El Reglamento (UE) 2016/679 prohíbe con carácter general el tratamiento de datos relativos a la salud y lo permite en excepciones como la necesaria para el cumplimiento de obligaciones en el ámbito del Derecho laboral y de la protección social (artículo 9.2.b), la medicina preventiva o laboral y la evaluación de la capacidad laboral del trabajador (artículo 9.2.h), siempre que el tratamiento lo realice un profesional sujeto a secreto profesional. La Ley Orgánica 3/2018 desarrolla estas previsiones, y la Ley 31/1995 fija las reglas específicas de confidencialidad de la vigilancia de la salud, reforzadas por la Ley 41/2002 de autonomía del paciente y por el Real Decreto 843/2011 sobre la actividad sanitaria de los servicios de prevención.

La digitalización de la gestión preventiva y la aparición de sensores, dispositivos vestibles y sistemas de analítica multiplican los datos que pueden revelar el estado de salud (constantes vitales, fatiga, exposición, ausencias), lo que exige diseñar los sistemas con protección de datos desde el diseño y por defecto, separación de accesos y evaluaciones de impacto cuando el tratamiento sea de alto riesgo.

Principios y obligaciones

• Licitud y finalidad. Los datos de salud solo se tratan para fines preventivos y de vigilancia de la salud, con la base jurídica del artículo 9.2 del RGPD; no pueden reutilizarse para selección, evaluación del desempeño o decisiones disciplinarias.
• Minimización. Recoger únicamente los datos necesarios para el riesgo del puesto, conforme a los protocolos de vigilancia sanitaria específica, y comunicar a la empresa solo la aptitud y las medidas necesarias.
• Confidencialidad y accesos. Acceso a la información médica limitado al personal sanitario del servicio de prevención y a las autoridades sanitarias; la empresa, los mandos y recursos humanos acceden solo a la aptitud y a las adaptaciones. Los sistemas deben aplicar controles de acceso por rol y registro de consultas.
• Información y derechos. Las personas trabajadoras deben ser informadas del tratamiento y pueden ejercer los derechos de acceso, rectificación, supresión, limitación y oposición, con los límites derivados de las obligaciones legales de conservación.
• Seguridad. Medidas técnicas y organizativas proporcionales al riesgo: cifrado, autenticación, segregación de bases de datos, copias de seguridad, gestión de incidentes y notificación de brechas a la Agencia Española de Protección de Datos en 72 horas cuando proceda.
• Conservación. Los historiales clínico-laborales se conservan durante los plazos que fija la normativa sanitaria y la específica de determinados riesgos (agentes cancerígenos, biológicos, radiaciones ionizantes), que pueden alcanzar decenas de años, y se transfieren al nuevo servicio de prevención o a la autoridad sanitaria cuando cesa la actividad.
• Encargados y terceros. Los servicios de prevención ajenos, las mutuas y los proveedores de software actúan como responsables o encargados según el caso, con contratos que fijen instrucciones, seguridad y confidencialidad.
• Evaluación de impacto. Obligatoria cuando el tratamiento a gran escala de datos de salud o el uso de nuevas tecnologías (sensores, vestibles, analítica) suponga un alto riesgo para los derechos de las personas.

Situaciones frecuentes

• Comunicación de la aptitud. El certificado de aptitud llega a la empresa sin diagnóstico; las restricciones se formulan en términos funcionales (por ejemplo, no manipular cargas superiores a un peso) y se comunican solo a quien debe aplicarlas.
• Bajas e incapacidad temporal. La empresa conoce la existencia y duración de la baja, no el diagnóstico; los partes médicos no incluyen la patología.
• Sensibilidad especial y embarazo. La comunicación es voluntaria y confidencial; la empresa actúa sobre la adaptación sin difundir la causa.
• Accidentes e investigación. El parte de accidente y la investigación recogen la lesión en la medida necesaria; los informes clínicos completos permanecen en el circuito sanitario.
• Sensores y vestibles. Datos de constantes o fatiga solo con base jurídica clara, información previa, finalidad preventiva, agregación cuando sea posible y sin uso disciplinario.
• Analítica y cuadros de mando. Datos de salud agregados o anonimizados para el análisis colectivo, elaborado por el personal sanitario.

Aplicación organizativa: cómo proteger los datos de salud

1. Inventariar los tratamientos de datos de salud en la gestión preventiva (vigilancia de la salud, aptitudes, adaptaciones, accidentes, sensibilidad especial, sensores) e incluirlos en el registro de actividades de tratamiento.
2. Separar el circuito sanitario del empresarial: bases de datos y accesos diferenciados, con el personal sanitario como único acceso a la información clínica.
3. Definir por escrito qué recibe cada rol (dirección, mandos, recursos humanos, técnicos de prevención) y limitarlo a la aptitud y las medidas necesarias.
4. Informar a las personas trabajadoras del tratamiento y de sus derechos, y establecer un procedimiento para ejercerlos.
5. Realizar la evaluación de impacto cuando se incorporen sensores, vestibles, analítica avanzada o tratamientos a gran escala, con consulta a los representantes.
6. Formalizar contratos de encargo con servicios de prevención ajenos, mutuas y proveedores de software, con cláusulas de confidencialidad, seguridad y subencargo.
7. Auditar periódicamente los accesos y la seguridad, gestionar los incidentes y mantener los plazos de conservación por tipo de dato.

Un software de gestión preventiva diseñado con protección de datos desde el diseño permite separar los módulos sanitarios de los de gestión, aplicar accesos por rol, registrar cada consulta y conservar los datos durante los plazos legales con trazabilidad.

Límites y errores frecuentes

1. Comunicar diagnósticos o resultados clínicos a mandos o recursos humanos en lugar de la aptitud y las adaptaciones.
2. Almacenar informes médicos en carpetas compartidas, correos o expedientes de personal accesibles fuera del circuito sanitario.
3. Utilizar datos de salud para decisiones de selección, promoción o disciplina, o para perfilar a las personas.
4. Implantar sensores o vestibles que registran datos fisiológicos sin base jurídica, información ni evaluación de impacto.
5. No formalizar el encargo de tratamiento con el servicio de prevención ajeno o el proveedor tecnológico.
6. Conservar o destruir historiales sin atender a los plazos de la normativa sanitaria y de riesgos específicos.

La calificación jurídica de cada tratamiento debe realizarse con el delegado de protección de datos o asesoramiento especializado; esta ficha tiene carácter divulgativo.

Marco normativo en España y en la Unión Europea

• Reglamento (UE) 2016/679, artículo 9. Tratamiento de categorías especiales de datos, incluidos los datos de salud, y excepciones para la medicina laboral.
• Ley Orgánica 3/2018, de 5 de diciembre. Protección de datos personales y garantía de los derechos digitales, incluido el ámbito laboral.
• Ley 31/1995, artículo 22. Confidencialidad de la vigilancia de la salud y comunicación de la aptitud al empresario.
• Ley 41/2002, de 14 de noviembre. Autonomía del paciente, información clínica, historia clínica y confidencialidad.
• Real Decreto 843/2011, de 17 de junio. Actividad sanitaria de los servicios de prevención: historia clínico-laboral, conservación y transferencia.

La Agencia Española de Protección de Datos publica guías sobre el tratamiento de datos en las relaciones laborales y sobre la protección de datos y la prevención de riesgos laborales; en Colombia, la Ley 1581 de 2012 califica los datos de salud como sensibles y la Resolución 2346 de 2007 regula la custodia de las historias clínicas ocupacionales.