| Informe | 2016-0090 |
| Enlace | 📋 |
Resumen del Informe Jurídico de la AEPD (N/REF: 074695/2016)
El informe aborda la legalidad de un Servicio Médico Externo que verifica el estado de salud de los trabajadores para validar bajas médicas, según el artículo 20.4 del Estatuto de los Trabajadores. La empresa consultante plantea dudas sobre la posibilidad de utilizar datos personales, como el número de teléfono móvil, para citar a los empleados a un reconocimiento médico.
Aspectos clave del informe:
Base legal del control médico:
El artículo 20.4 del Estatuto de los Trabajadores permite al empleador verificar la justificación de las ausencias laborales mediante reconocimientos médicos, pero no faculta para revisar diagnósticos médicos, cuya legitimidad corresponde a servicios públicos de salud.
El objetivo del control es confirmar la realidad de la baja, no alterar el diagnóstico.
Tratamiento de datos personales:
Si una tercera empresa es contratada para realizar este servicio, actuará como encargada del tratamiento (según el artículo 12 de la LOPD 15/1999), siempre que:
Exista un contrato por escrito que limite el uso de los datos a la verificación del absentismo.
Se respeten las medidas de seguridad del artículo 9 de la LOPD.
La empresa responsable del tratamiento (el empleador) debe obtener el consentimiento previo e informado de los trabajadores para utilizar sus datos personales (como el número de teléfono móvil).
Tratamiento de datos de salud:
La AEPD recuerda que el tratamiento de datos de salud requiere el consentimiento expreso del trabajador (artículo 7.3 de la LOPD), salvo excepciones (como profesionales sanitarios bajo secreto profesional).
En este caso, el Servicio Médico Externo no puede tratar datos de salud sin consentimiento, ya que su función es verificar la justificación de la baja, no diagnosticar enfermedades.
La Sentencia del Tribunal Constitucional 202/1999 y otras resoluciones judiciales respaldan que el almacenamiento de datos de salud sin consentimiento vulnera el derecho a la intimidad.
Conclusión:
Sí es posible contratar un servicio externo para verificar bajas, pero:
Debe existir un contrato válido entre la empresa y el prestador del servicio (encargado del tratamiento).
Se requiere el consentimiento de los trabajadores para tratar sus datos de salud.
La empresa no puede acceder a datos médicos sin autorización, limitándose a comunicar si la baja está justificada.
En definitiva, el informe subraya que la empresa debe garantizar el cumplimiento de la LOPD, especialmente en cuanto a consentimiento y proporcionalidad, para evitar sanciones por vulneración de la privacidad de los trabajadores.