Datos de salud de los trabajadores: factor clave en la reactivación empresarial ante el COVID-19

Ante esta situación, las empresas están desplegando distintos protocolos de actuación cuya finalidad es prevenir el contagio de la enfermedad y proteger a su personal.

Entre las medidas que están siendo utilizadas, las más habituales son el uso de guantes y mascarillas, el mantenimiento de la distancia de seguridad y la desinfección de espacios. No obstante, en muchos casos, se combinan con otras medidas relacionadas con el control de acceso de los empleados a los centros de trabajo: toma de temperatura corporal, medición del nivel de oxígeno en sangre y test rápidos de detección de anticuerpos, entre otras.

Como consecuencia, los empresarios se enfrentan a un nuevo escenario, el tratamiento de datos de salud de sus trabajadores que, con motivo de la coyuntura actual, pasa de ser incidental a principal. Y es que todo parece indicar que estas medidas pueden acompañarnos más allá de esta primera fase de reincorporación, dependiendo de cómo avance la lucha por el control del COVID-19.

Los datos relativos a la salud de las personas pertenecen, según el Reglamento (UE) 2016/679 Europeo de Protección de Datos (art. 9), a las categorías especiales de datos y, como consecuencia, gozan de una especial protección puesto que su tratamiento entraña importantes riesgos para los derechos y libertades fundamentales de sus titulares (Considerando 51).

Una de las consecuencias de esta protección es la prohibición general de tratar estos datos salvo que se podamos acogernos a alguna de las bases legitimadoras que cita el propio artículo 9.

¿Significa esto que el empresario no puede tratar datos de salud? Ni mucho menos. La Agencia Española de Protección de Datos (AEPD) ya aclaró en su Informe 0017/2020 que puede existir base legítima para el tratamiento, de hecho, se podrían citar varias: la protección del interés vital del interesado u otras personas físicas (art. 6.1. d) RGPD y Considerando 46) o la necesidad de tratamiento por razones de interés público en el ámbito de la salud pública (art. 6.1. i) RGPD). Pero la habilitación más directa se encuentra en las obligaciones que, en relación con la salud y seguridad de los trabajadores, impone la Ley 31/1995, de 8 de noviembre, de Prevención de Riesgos Laborales (LPRL).

Queda por tanto resuelta la cuestión inicial con un sí, el empleador puede tratar datos de salud de los trabajadores en este marco con la finalidad de proteger y salvaguardar la seguridad de los trabajadores.

Ahora bien, como es habitual, este sí deberá ser como mínimo revisado y verificado en atención a las características particulares de cada caso. No es lo mismo un escenario en que solo se produce el acceso al centro de trabajo por parte de empleados, que uno en el que la empresa en cuestión desarrolla su actividad de cara al público, de forma que las pretendidas medidas de control puedan alcanzar a clientes, por ejemplo, además de a trabajadores.

Como ha señalado la AEPD en su comunicado en relación con la toma de temperatura por parte de comercios, centros de trabajo y otros establecimientos, la obligación del empleador de vigilar y procurar la salud de sus empleados sigue presente como base legitimadora en los supuestos de actividad de cara al público, pero habrá que tener en cuenta también el resto de derechos e intereses en juego, como los de los posibles clientes del establecimiento. En circunstancias así, habrá que ponderar caso a caso para decidir si existe legitimación o no.

Volviendo al supuesto inicial en el que la LPRL nos ofrece cobertura legitimadora, la siguiente cuestión principal gira alrededor del cómo, es decir, la forma adecuada de ejecutar estos controles que implican el tratamiento de datos de salud.

La respuesta a esta cuestión se obtiene, principalmente, a partir de las previsiones de la normativa protección de datos personales y de prevención de riesgos laborales, que proporcionan directrices como:

• El tratamiento de datos debe ser necesario para la finalidad de cumplir con la obligación de proteger la salud y seguridad en el trabajo.
• La medida y los medios utilizados deben resultar eficaces en esta labor y proporcionales de acuerdo con la finalidad perseguida, de forma que entre varias opciones posibles se elegirá la menos invasiva de ellas.
  En este punto, la AEPD nos recuerda que las autoridades sanitarias son las indicadas para determinar qué sistemas son más o menos efectivos en la detección de los síntomas y la enfermedad y que su criterio debe guiar la elección del empleador en cuanto a la método de control utilizado.
• Debe proporcionarse a los afectados la información completa sobre el tratamiento de forma previa al mismo.
• Deberá respetarse el principio de finalidad y utilizar la información única y exclusivamente para el fin al que sirve, detectar posibles contagios y evitar su propagación.
• Se tratará únicamente la información necesaria para alcanzar el objetivo propuesto (principio de minimización de datos).
• Los datos solo se almacenarán y conservarán cuando resulte necesario y por el tiempo imprescindible para cumplir con la finalidad y, una vez superado, se procederá a la cancelación/supresión de los mismos.
• Deben desplegarse las medidas de seguridad técnicas y organizativas adicionales que sean necesarias, según el caso, prestando especial atención a la confidencialidad en el marco de la ejecución de estas pruebas.

Además de todo lo anterior, pueden surgir necesidades y cautelas adicionales en atención a las particularidades concretas de cada caso como, por ejemplo, la realización de una evaluación de impacto en la protección de datos.

En estos momentos, se comprueba que la información relativa a la salud de los trabajadores puede ser una herramienta clave en el cumplimiento de las obligaciones del empresario en relación con la seguridad y salud de sus trabajadores y, por ende, en la lucha contra el COVID-19 y la necesaria reactivación económica del país.

Resulta clave, saber cómo llevar a cabo este tipo de actuaciones en condiciones de seguridad y máximo respeto a los derechos de los afectados.

La normativa de protección de datos no debe, por tanto, ser un impedimento en este proceso de lucha y reconstrucción, sino un aliado. Integrarla en nuestras decisiones y estrategias corporativas, nos permitirá poner en marcha este tipo de controles sanitarios con velocidad, eficacia y seguridad jurídica.