Las empresas españolas invierten cada vez más en programas de bienestar y salud, pero uno de cada dos empleados recela de lo que se hace con sus datos. La brecha no es regulatoria sino de explicabilidad, y cómo abordarla ha sido objeto del Webinar ORH «Bienestar y privacidad: cuando la confianza en la gestión de datos decide el éxito de la estrategia», organizado en colaboración con Savia-Salud Digital Mapfre. En él se ha evidenciado que la convergencia entre el bienestar del empleado y la seguridad de sus datos personales es determinante en el retorno de la inversión en este tipo de programas.
El dato más incómodo de la última oleada de la Radiografía del bienestar laboral en la empresa española de Savia-Salud Digital Mapfre es el 51% de los empleados españoles que admite estar preocupado por la confidencialidad y la privacidad de sus datos al utilizar esos servicios. Y dos tercios de ese 51% reconoce que esa desconfianza es una barrera directa para usarlos. La inversión que la empresa hace en ellos crece, pero el uso choca contra un muro que no se ha terminado de escalar.
El problema subyacente no es regulatorio. La normativa europea protege los datos de salud de forma casi blindada, determinando que la empresa, por ley, no pueda ver lo que el empleado hace ni deja de hacer dentro de una plataforma de bienestar. El problema es un déficit de explicabilidad que las empresas, los proveedores y, en buena medida, el propio marco normativo no han sabido cerrar. Y mientras no se cierre, cualquier inversión en programas de bienestar tendrá un techo estructural: el de la confianza.
De la tesis que la gestión del dato es hoy la variable que decide si una estrategia de bienestar funciona o se queda en catálogo ha partido la sesión en la que han participado Carlos Jover (Savia, Salud Digital Mapfre), María del Mar Alarcón (experta en derecho laboral, prevención y protección de datos) y Carmen Espinilla (Betterfly).
La séptima edición de la Radiografía del bienestar laboral, realizada sobre 1.000 encuestas a población activa de entre 18 y 64 años, aporta los titulares que marcan el momento del mercado:
Al 51% le preocupa la confidencialidad y de ese porcentaje el 58% son mujeres de entre 35 y 54 años, dato que coincide con el segmento que más consume estos servicios y que introduce el factor de género en la ecuación. Pero el dato que más obliga a pensar es que el 62% de quienes perciben falta de privacidad trabaja en empresas de más de 1.000 empleados. La intuición dice que cuanto mayor es la organización, más recursos tiene para tratar bien los datos, pero la percepción del empleado va justo en la dirección opuesta.
Para Carlos Jover la explicación puede estar en la percepción extendida de que las grandes corporaciones, al disponer de intranets y plataformas propias, tienen acceso al dato individual. Una percepción que, insistió, no es real pero sí operativa, y lo operativo, en este terreno, manda.
No solo basta con ofrecer opciones de servicios, hay que transmitir confianza a los empleados.
Carlos Jover · Savia, Salud Digital Mapfre
La mecánica real de lo que una empresa recibe cuando contrata una plataforma de bienestar contradice la percepción mayoritaria. La anonimización es la base del tratamiento y obliga a que cada usuario quede asociado a un código identificativo para que la plataforma trabaje con ese código como única referencia. Los informes se custodian por obligación legal y siempre están a disposición del propio trabajador para que pueda recuperarlos si lo desea, pero sin trazabilidad nominal hacia la empresa cliente.
Lo que la empresa sí ve son agregados útiles para su gestión: volúmenes de videoconsulta, patrones de uso por servicio e indicadores vinculados a KPIs estratégicos como absentismo o rotación. «Puedo decir que en el mes pasado la empresa ha hecho 327 videoconsultas de psicología, pero no podré decir que de esas 327, 15 son de un empleado con nombre y apellidos», ha puesto como ejemplo Carlos Jover. Incluso los cortes por departamento quedan bloqueados si el volumen es tan bajo que permite reidentificar al empleado.
La pregunta jurídica clave de cuándo un dato de uso deja de serlo y se convierte en dato de salud la ha respondido María del Mar Alarcón apoyándose en el artículo 4.15 del Reglamento General de Protección de Datos y, sobre todo, en el considerando 35, al que atribuye un peso interpretativo capital.
Desde el punto de vista estrictamente jurídico, no tenemos que ver la etiqueta del dato, sino la capacidad real que tiene ese dato para revelar información sobre el estado de salud de la persona trabajadora.
María del Mar Alarcón · experta en protección de datos
El considerando 35 amplía el perímetro, ya que no habla solo de datos médicos en sentido estricto, sino de cualquier información que permita conocer o inferir el estado de salud, pasado, presente o futuro. A partir de ahí, lo que convierte en dato de salud a un indicador aparentemente inocuo —un cuestionario de estrés, un registro de uso de servicios psicológicos, un patrón de actividad física— es su capacidad para permitir una deducción razonable sobre el estado físico o mental del trabajador. La consecuencia práctica es incómoda para la empresa y compleja de gestionar, ya que implica analizar dato a dato.
La base jurídica de tratamiento, en el ámbito laboral, tiene un límite que muchas empresas no terminan de asimilar. El consentimiento del trabajador por sí solo no basta. Lo dice el considerando 43 del Reglamento: en situaciones de desequilibrio entre responsable y titular del dato —y la relación laboral es el ejemplo de manual—, el consentimiento no puede considerarse libremente prestado:
Carmen Espinilla, que opera en el punto de contacto entre proveedor, empresa y empleado, ha descrito con nitidez dónde se ubica exactamente la desconfianza, y no en la existencia del programa, sino en la opacidad sobre su funcionamiento.
Los empleados no saben hasta qué punto los datos de uso de las aplicaciones son anónimos o hasta qué punto la empresa puede ver si ha asistido a una terapia psicológica, cuántas veces y cuál ha sido el resultado.
Carmen Espinilla · Betterfly
Además, la casuística que les preocupa va más allá del bienestar. Por ejemplo, en los seguros médicos, el cuestionario de salud genera dudas recurrentes sobre en qué manos acaba la información. Y cuando una aseguradora rechaza a un empleado por declaración de salud con patología excluyente, la empresa, que suele preguntar el motivo, se queda sin respuesta por ley. «Nosotros esa información no la podemos dar a la empresa, únicamente al afectado», explicó Espinilla.
A este desconocimiento se suma un factor cultural relacionado con la confusión entre marcos regulatorios. «La Ley de protección de datos europea no es igual que la de Estados Unidos. Muchas empresas piensan que el tratamiento de datos que se hace en Europa es similar al de Estados Unidos, y para nada es así». Y Carmen lo ejemplifica con el dato de que, desde 2019, las empresas no pueden acceder a los datos de uso de las tarjetas de retribución flexible —tarjeta restaurante, transporte—, y sin embargo muchas organizaciones siguen asumiendo que sí. «Hay una tarea educacional pendiente, y la responsabilidad no es solo del cliente».
La empresa no puede recibir datos de salud aunque sea el trabajador quien quiera entregarlos voluntariamente. Y esto incluye también el parte de baja médica que excepcionalmente llega en papel, a la documentación sanitaria que algunos trabajadores remiten por iniciativa propia durante bajas de larga duración y, especialmente, a las adaptaciones del puesto solicitadas al amparo del artículo 49 del Estatuto de los Trabajadores reformado.
Siempre le digo a la empresa que devuelva los partes médicos, porque no puede recibir esa información aunque el trabajador se la quiera dar.
María del Mar Alarcón
La vía correcta es siempre el servicio de prevención, que traduce el dato clínico en apto, no apto o limitaciones funcionales, nunca en diagnóstico. Sobre el justificante médico emitido por la Seguridad Social, Alarcón fue inequívoca: consta el día, la hora y los datos identificativos del trabajador y no puede recoger la especialidad del servicio al que ha acudido el empleado porque no forma parte de lo que la empresa puede exigir.
Preguntado por quién contrata hoy los servicios de bienestar en las empresas, Carlos Jover apuntó un desplazamiento que merece ser subrayado: Prevención de Riesgos Laborales gana peso frente a Recursos Humanos. «Los early adopters fueron recursos humanos, pero ahora PRL es el que está viendo el potencial de mejora en cuanto a calidad de la plantilla», resumió. Y llega acompañado de madurez en la medición: «Ya no vienen con «es la moda», sino con una necesidad —absentismo, bajas de larga duración, salud mental— y con KPIs ya medidos».
Ese giro tiene implicaciones estratégicas que merecerían un análisis propio, porque desplaza el bienestar del territorio de la atracción del talento al territorio de la seguridad y salud en el trabajo, que es un terreno con marco jurídico más exigente y con palancas de retorno medibles en términos clásicos de prevención.
El cierre de la sesión ha corrido a cargo de Mar Alarcón con la síntesis normativa básica de lo que conviene tener presente antes del diseño del programa, en su uso y en su gestión posterior.
La última pregunta cerró el círculo de la confianza: ¿qué pasa con los datos cuando el empleado sale de la organización? El artículo 5 del Reglamento obliga a suprimir los datos cuando ya no son necesarios. Algunos deben bloquearse para cumplir obligaciones legales —fiscales, laborales, de seguridad social— y, cumplidas estas, suprimirse también. El diseño GDPR compliance by design que permita construir el producto desde el inicio sobre los principios del Reglamento deja de ser un elemento reputacional para convertirse en una palanca de gestión del riesgo: «Si hubiese por alguna razón alguna fuga de datos, al haber borrado esos datos ya no hay; se limita más el riesgo», apuntó Jover.
Cerrar la brecha de confianza entre la empresa y el empleado en materia de datos de bienestar y salud exige tres movimientos simultáneos.
La explicabilidad, en definitiva, no es un mero accesorio comunicativo, sino el requisito operativo que hace que un programa de bienestar exista más allá del contrato.
Visualiza la sesión íntegra entre Carlos Jover, María del Mar Alarcón y Carmen Espinilla, moderada por Maite Sáenz.
El dato que no cuadra
Lo que la empresa no puede ver (aunque quiera)
La base del consentimiento en materia de bienestar y salud
Dónde se genera la desconfianza
El dato que el trabajador entrega y la empresa no puede aceptar
El desplazamiento de PRL y la madurez en la medición
Checklist jurídico
Cuando el empleado se va
La explicabilidad como requisito operativo
0%
recibe algún servicio de bienestar por parte de su empresa
0%
se preocupa por la privacidad de sus datos al utilizarlos
0%
considera esa preocupación una barrera para usarlos
0%
de los afectados trabaja en empresas de más de 1.000 empleados
Idea clave
01
Principios del artículo 5 RGPD
02
Base jurídica del tratamiento (artículo 6 RGPD)
03
Prohibición general del artículo 9.1 RGPD
04
Excepciones del artículo 9.2 que encajan el bienestar
05
Triple test del poder de dirección
06
Artículo 22 LPRL — vigilancia de la salud
07
Control empresarial en IT por contingencia común
08
Régimen sancionador
Alarcón añadió una observación sobre redacción que suele pasar desapercibida y que afecta a la validez del propio consentimiento: las cláusulas técnicas incomprensibles invalidan el consentimiento. Si el trabajador no entiende lo que firma, el consentimiento no es libremente prestado, por lo que el lenguaje es, también aquí, materia jurídica.
Del proveedor
Arquitectura transparente de datos y gestión granular del consentimiento.
De la empresa
Asumir la corresponsabilidad y no solo la delegación en el cumplimiento, y rediseñar las comunicaciones internas para que el trabajador entienda, desde el minuto uno, qué datos se ceden, a quién y para qué.
De la regulación
Una exigencia de lenguaje claro que ya empiezan a trasladar marcos adyacentes como el Reglamento de Inteligencia Artificial, cuando obliga a adaptar la información al nivel de comprensión del trabajador.
Webinar completo
