Los datos de salud de una persona trabajadora —diagnósticos, resultados de estudios, aptitud, incapacidades— son datos personales sensibles. Su manejo está regulado por la ley federal en materia de protección de datos personales en posesión de particulares, que obliga a las empresas a tratarlos con mayores cuidados.
Puntos clave
- Los datos de salud son sensibles: su mal uso puede generar discriminación.
- Su tratamiento requiere consentimiento expreso y un aviso de privacidad.
- La empresa debe aplicar medidas de seguridad administrativas, técnicas y físicas.
- Los trabajadores tienen derechos de acceso, rectificación, cancelación y oposición.
¿Qué son los datos sensibles?
Son aquellos que se refieren a la esfera más íntima de la persona o cuyo uso indebido puede dar origen a discriminación o riesgo grave. Incluyen el estado de salud presente y futuro, la información genética, el origen racial o étnico, las creencias religiosas, las preferencias sexuales y las opiniones políticas, entre otros. En el ámbito laboral, los más comunes son los resultados médicos y los de pruebas como las de detección de sustancias.
Los principios del tratamiento
La ley establece principios que toda empresa debe respetar: licitud, consentimiento, información, calidad, finalidad, lealtad, proporcionalidad y responsabilidad. En términos prácticos: se recaban solo los datos necesarios, para fines claros, con conocimiento de la persona, y se protegen de acuerdo con su sensibilidad.
El aviso de privacidad
Es el documento mediante el cual la empresa informa a las personas quién trata sus datos, para qué, con quién los comparte y cómo pueden ejercer sus derechos. Debe ponerse a disposición antes de recabar los datos. En el caso de datos de salud, el aviso debe identificar expresamente que se tratarán datos sensibles y señalar las finalidades concretas, por ejemplo: valoración de aptitud, vigilancia de la salud y cumplimiento de obligaciones legales.
Elementos esenciales del aviso
- Identidad y domicilio de quien trata los datos.
- Datos personales que se recabarán, indicando los sensibles.
- Finalidades del tratamiento, separando las necesarias de las opcionales.
- Opciones para limitar el uso o divulgación.
- Medios para ejercer los derechos de acceso, rectificación, cancelación y oposición.
- Transferencias de datos y a quiénes se realizan.
- Procedimiento para informar cambios al aviso.
Medidas de seguridad
Las medidas deben ser proporcionales al riesgo: control de acceso a expedientes físicos y digitales, perfiles de usuario, cifrado de información, respaldos, bitácoras, acuerdos de confidencialidad con el personal y con los proveedores, y procedimientos ante vulneraciones. Si ocurre una vulneración que afecte los derechos de las personas, existen obligaciones de informar.
Errores frecuentes
- Usar un aviso genérico sin mencionar datos sensibles.
- Compartir resultados médicos con áreas que no los necesitan.
- Enviar resultados por mensajes o correos sin protección.
- No contar con acuerdos con proveedores que tratan los datos.
- No tener un procedimiento para atender solicitudes de derechos.
El papel de la empresa y del prestador de servicios
Si la empresa contrata servicios médicos o de laboratorio, es importante definir en el contrato quién es responsable del tratamiento, cómo se protegen los datos y qué ocurre al terminar el servicio. La responsabilidad frente a las personas no desaparece por subcontratar.
Nota. La normatividad en materia de protección de datos ha tenido reformas recientes. Verifica el texto vigente y las disposiciones de la autoridad competente antes de actualizar tus documentos.
Perspectiva de GRS Detección
En GRS Detección entendemos que la confianza es la base de cualquier programa de salud ocupacional. Cuando las personas saben qué datos se recaban, para qué y cómo se protegen, participan con mayor apertura y los resultados son más útiles para todos.
Preguntas frecuentes
¿Necesita la empresa consentimiento para tratar datos de salud?
Sí, por regla general se requiere el consentimiento expreso de la persona, salvo las excepciones previstas por la ley. Debe acompañarse de un aviso de privacidad.
¿Puede el área de recursos humanos ver los resultados médicos?
No debería tener acceso al detalle. Le corresponde recibir solo la información necesaria para la gestión del puesto, como la conclusión de aptitud.
Fuentes y referencias
- Ley Federal de Protección de Datos Personales en Posesión de los Particulares (Cámara de Diputados)
- Secretaría de Salud
- Diario Oficial de la Federación (DOF)
Contenido informativo. No sustituye la asesoría legal o médica profesional. Las normas pueden actualizarse: confirma la versión vigente en el Diario Oficial de la Federación y en el portal de la STPS.
