De todos los tratamientos que gestiona Recursos Humanos, el de datos de salud es el más delicado. La salud del trabajador es categoría especial de datos (art. 9 RGPD): el régimen aplicable es más estricto, las bases jurídicas son más limitadas, las garantías son reforzadas y el reparto de información entre empresa, servicio médico y mutua está expresamente acotado por la normativa laboral.
El problema práctico es que las áreas de RRHH manejan a diario partes de baja, certificados de aptitud, peticiones de adaptación de puesto, comunicaciones con la mutua y resultados de vigilancia de la salud. Esta guía ordena los criterios aplicables conforme al RGPD, la LOPDGDD (Ley Orgánica 3/2018), la Ley 31/1995 de Prevención de Riesgos Laborales y el Estatuto de los Trabajadores.
El art. 9 RGPD y la doble base jurídica
Los datos relativos a la salud son categoría especial de datos personales (art. 9.1 RGPD), prohibidos como regla general salvo que concurra alguna de las excepciones del art. 9.2. En el ámbito laboral, la base habilitante típica es:
- Art. 9.2.b RGPD: el tratamiento es necesario para el cumplimiento de obligaciones del responsable o del interesado en materia de Derecho laboral y de la seguridad y protección social.
- Art. 9.2.h RGPD: tratamiento necesario para fines de medicina preventiva o laboral, evaluación de la capacidad laboral del trabajador, diagnóstico médico, prestación de asistencia sanitaria, realizado por profesional sanitario sujeto a secreto.
Sobre esa habilitación del art. 9 debe sumarse siempre una base del art. 6 RGPD (doctrina de la doble base): habitualmente cumplimiento de obligación legal (art. 6.1.c) o ejecución del contrato de trabajo (art. 6.1.b). La concurrencia de las dos bases es lo que legitima el tratamiento, no una sola de ellas.
El reparto de información: quién sabe qué
El núcleo de la cuestión es entender que la empresa no maneja los datos clínicos del trabajador, sino solo las consecuencias laborales de su estado de salud. La normativa reparte la información entre tres actores:
| Actor | Qué información maneja | Régimen |
|---|---|---|
| Servicio médico / vigilancia de la salud | Historia clínico-laboral, pruebas, diagnósticos, evolución. | Secreto médico + art. 9.2.h RGPD |
| Mutua colaboradora | Información clínica del proceso de baja, gestión asistencial. | Secreto médico + normativa Seguridad Social |
| Empresario / RRHH | Parte de baja, confirmación, alta. Calificación de aptitud (apto/no apto). Limitaciones funcionales si aplica. | Solo lo necesario para la gestión laboral |
| Representantes de los trabajadores | Información agregada y anonimizada sobre vigilancia de la salud. Nunca individualizada. | Ley 31/1995 + Estatuto de los Trabajadores |
Vigilancia de la salud (art. 22 Ley 31/1995): qué llega al empresario
El art. 22 de la Ley 31/1995 de Prevención de Riesgos Laborales regula la vigilancia periódica del estado de salud del trabajador en función de los riesgos inherentes al puesto. Es la piedra angular del tratamiento de datos de salud en la empresa. Reglas operativas:
- Voluntariedad como regla (art. 22.1): el reconocimiento se realiza con consentimiento del trabajador, salvo los supuestos tasados de obligatoriedad descritos en la propia norma (reconocimientos imprescindibles para evaluar efectos del trabajo, riesgo para el propio trabajador o terceros, o exigidos por disposición legal específica).
- Personal sanitario competente (art. 22.6): solo profesionales sanitarios con competencia técnica, formación y capacidad acreditada acceden a la información médica de carácter personal.
- Confidencialidad reforzada (art. 22.2): los datos relativos a la vigilancia de la salud no pueden usarse con fines discriminatorios ni en perjuicio del trabajador.
- Comunicación al empresario (art. 22.4): el empresario y las personas u órganos con responsabilidades en materia de prevención solo serán informados de las conclusiones que se deriven de los reconocimientos en relación con la aptitud del trabajador para el desempeño del puesto y con la necesidad de introducir o mejorar medidas de protección y prevención.
En la práctica, esto significa que el empresario recibe la calificación de aptitud (apto, apto con limitaciones, no apto) y, en su caso, las limitaciones funcionales aplicables (no puede levantar pesos superiores a X kg, no puede trabajar en altura, requiere adaptación de la pantalla, etc.). No recibe: diagnóstico, pruebas, historial, motivos clínicos de la limitación.
Bajas médicas: el circuito de la mutua y los partes
Cuando un trabajador inicia un proceso de incapacidad temporal, el circuito de información está acotado por la normativa de la Seguridad Social y por el secreto médico. El empresario recibe:
- Parte de baja: con los datos de identificación del trabajador, fecha de inicio, contingencia (común o profesional) y duración estimada en su caso. NO contiene diagnóstico.
- Partes de confirmación: durante la duración del proceso, sin diagnóstico.
- Parte de alta: fecha de finalización, sin diagnóstico.
La información clínica del proceso (diagnóstico, evolución, tratamiento, pruebas) permanece en el ámbito sanitario: médico de cabecera, médicos de la mutua colaboradora, especialistas que intervengan. Está cubierta por el secreto médico y por el régimen del art. 9 RGPD.
El empresario no tiene derecho a exigir diagnóstico, pruebas médicas, informes ni motivos clínicos. La mutua tampoco envía esa información al empresario. Pretender obtenerla por vías paralelas (preguntas a compañeros, redes sociales, llamadas al domicilio, presión al trabajador) puede constituir infracción en materia de protección de datos y, simultáneamente, en materia laboral.
Adaptación del puesto y trabajadores especialmente sensibles
El art. 25 de la Ley 31/1995 obliga al empresario a garantizar de manera específica la protección de los trabajadores que, por sus propias características personales o estado biológico conocido, sean especialmente sensibles a los riesgos derivados del trabajo. La articulación práctica con la protección de datos:
- La identificación de la situación de especial sensibilidad se realiza a través del servicio de vigilancia de la salud, NO mediante interrogatorio directo del empresario.
- El empresario recibe la limitación funcional (qué no puede hacer el trabajador en ese puesto), no la causa clínica.
- Las adaptaciones se diseñan en colaboración con el servicio de prevención.
- La información se conserva solo durante el tiempo en que la limitación esté vigente y bajo acceso restringido.
"En materia de salud laboral, el empresario no es médico. Solo necesita saber si el trabajador es apto, no apto o apto con limitaciones, y cuáles son esas limitaciones en el puesto. Todo lo demás está reservado al ámbito clínico. Esta línea no es opcional: es la columna vertebral del régimen y donde más sanciones se concentran."
Mario P. Talamillo · Socio director, Certix®
Casuística frecuente y errores típicos
Certificados médicos voluntarios entregados por el trabajador
Si el trabajador entrega voluntariamente un informe médico o pruebas, la empresa debe aplicar minimización: conservar solo la información estrictamente necesaria (justificación de ausencia, fecha de la consulta, eventualmente la limitación funcional si la entrega es para adaptar el puesto). Las pruebas detalladas y los diagnósticos deben devolverse al trabajador o destruirse de forma segura. La ruta profesional para adaptar un puesto es derivar al servicio de vigilancia de la salud.
WhatsApp y comunicaciones de baja
El trabajador comunica la baja por el canal habitual de la empresa. La empresa NO debe pedir capturas de pantalla del parte detallado, fotos de medicamentos ni descripciones clínicas. Si el canal habitual es WhatsApp, conviene tener un buzón profesional dedicado (no el móvil personal del responsable) y aplicar política clara de borrado periódico.
Comunicación interna del motivo de la ausencia
Cuando un compañero se ausenta, la comunicación al equipo debe limitarse al hecho de la ausencia y, en su caso, a las medidas de cobertura. NO debe comunicarse la causa clínica, ni siquiera de forma genérica ("está con depresión", "tiene un problema oncológico"). Esa información es del trabajador.
Despido por motivos de salud
El conocimiento por el empresario del estado de salud del trabajador no puede usarse en su perjuicio (art. 22.2 Ley 31/1995). Los despidos motivados por enfermedad o discapacidad son susceptibles de declararse nulos por vulneración de derechos fundamentales. Este es un terreno donde la concurrencia de protección de datos y derecho laboral es especialmente delicada.
Mutua y comunicación con la empresa
La mutua se relaciona con el trabajador en su condición de paciente y con la empresa en su condición de mutualista. Los flujos de información están separados: la mutua puede informar a la empresa sobre cuestiones administrativas y de gestión, pero no sobre el contenido clínico del proceso.
Conservación y custodia
Los partes de baja y demás documentación laboral se conservan en el expediente del trabajador durante los plazos de prescripción de obligaciones laborales y de Seguridad Social (habitualmente 4 años para infracciones, plazos específicos para documentación de Seguridad Social que pueden llegar a 5 años). La documentación de vigilancia de la salud conservada por el servicio médico tiene su propio régimen sanitario.
Reglas de custodia mínimas:
- Acceso restringido al personal de RRHH con función específica.
- Almacenamiento separado de la documentación con datos de salud respecto del expediente laboral general.
- Archivado cifrado en sistemas digitales.
- Política de destrucción segura al vencer los plazos.
- Registro de accesos cuando el volumen lo justifique.
Checklist de RRHH para datos de salud
- Política interna de tratamiento de datos de salud, con reparto claro entre RRHH y servicio médico.
- Procedimiento de recepción de partes de baja sin pedir información clínica adicional.
- Canal claro para que el trabajador comunique adaptaciones de puesto, con derivación al servicio de vigilancia de la salud.
- Formación al equipo de RRHH y a los mandos intermedios sobre los límites del art. 22 PRL.
- Custodia diferenciada de la documentación con datos de salud (acceso restringido, cifrado, registro de accesos).
- Contrato del art. 28 RGPD con el servicio de prevención ajeno y con la mutua en lo que corresponda.
- Comunicaciones internas sobre ausencias sin revelar la causa clínica.
- Procedimiento de respuesta a derechos del trabajador sobre sus datos de salud.
- Revisión periódica del expediente laboral para depurar documentación clínica innecesaria.
Preguntas frecuentes
¿Puede el empresario conocer el diagnóstico médico de un trabajador en baja?
No. El empresario recibe parte de baja, confirmación y alta, sin diagnóstico. La información clínica permanece en el ámbito sanitario (médico, mutua, especialistas) y está cubierta por secreto médico y art. 9 RGPD. Pretender obtenerla por vías paralelas puede constituir infracción.
¿Qué resultados de la vigilancia de la salud recibe el empresario?
Solo la calificación de aptitud (apto, apto con limitaciones, no apto) y, en su caso, las limitaciones funcionales. NO recibe diagnóstico, pruebas ni historia clínico-laboral. Así lo establece el art. 22.4 de la Ley 31/1995 de PRL.
¿La vigilancia de la salud es voluntaria u obligatoria?
Regla general voluntaria (art. 22.1 Ley 31/1995). Excepciones tasadas: cuando sea imprescindible para evaluar efectos del trabajo sobre la salud, cuando exista riesgo para el propio trabajador o terceros, o cuando lo exija una disposición legal específica (productos químicos, ruido, alimentos, etc.).
¿Qué hago si un trabajador me entrega voluntariamente un certificado o pruebas médicas?
Aplicar minimización: conservar solo lo necesario para la finalidad concreta (justificar ausencia, adaptar puesto). El detalle clínico debe devolverse o destruirse de forma segura. La vía profesional para adaptar el puesto es derivar al servicio de vigilancia de la salud.
Este contenido es meramente orientativo y divulgativo; no constituye en ningún caso asesoramiento jurídico especializado. La aplicación de la normativa a cada caso concreto requiere análisis individualizado. La normativa autonómica sectorial puede ampliar o modificar plazos y requisitos.
¿Quieres ordenar el tratamiento de datos de salud en tu empresa?
En Certix te asignamos un experto en protección de datos en el ámbito laboral. Sin intermediarios comerciales, sin plantillas genéricas.
Hablar con un experto