Pongamos, por caso, que tienen una empresa de transportes por carretera y que se plantean hacer análisis de alcoholemia y drogas a sus conductores, ¿es posible? ¿existen bases jurídicas que legitiman el tratamiento de los datos personales? ¿la prueba debe realizarla personal sanitario o puede realizar personal de la empresa no sanitario?
Para dar respuesta a las cuestiones planteadas, vamos a analizar el Dictamen CNS 17/2022 de la Autoridad Catalana de Protección de Datos (APDCAT).
La APDCAT parte de la base de que la información que se pretende tratar es sensible, en tanto que afecta a la intimidad de los trabajadores, pudiendo revelar información relativa al estado de salud de éstos. El artículo 9 del RGPD prohíbe «el tratamiento de (…) datos relativos a la salud», aunque existen excepciones:
Consentimiento del trabajador
El tratamiento de datos relativos a la salud del trabajador, a consecuencia del control de alcoholemia y de drogas, puede realizarse si el trabajador consiente. El problema es cuándo no consiente. Veamos que opciones se plantean:
Evaluación de la capacidad laboral del trabajador
El artículo 9 apartado 2 letra h) del RGPD prevé una excepción a la regla general de prohibición del tratamiento de datos relativos a la salud, autorizando dicho tratamiento cuando sea necesario, entre otras circunstancias, para «la evaluación de la capacidad laboral del trabajador».
La disposición adicional decimoséptima de la LOPDGDD referida al «tratamiento de datos de salud» dispone en su apartado 1 letra b) que «se encuentran amparados en las letras g), h), e) y j) del artículo 9.2 del RGPD, los tratamientos de datos relacionados con la salud y de datos genéticos que estén regulados en las siguientes leyes y sus disposiciones de desarrollo: La Ley 31/1995, de 8 de noviembre, de Prevención de Riesgos Laborales (LPRL)».
La LPRL establece en su artículo 14 apartado 1 que «los trabajadores tienen derecho a una protección eficaz en materia de seguridad y salud en el trabajo», reconocimiento la existencia de un correlativo deber del empresario de protección de los trabajadores frente a los riesgos laborales.
El artículo 22.1 de la LPRL establece que «el empresario garantizará a los trabajadores a su servicio la vigilancia periódica de su estado de salud en función de los riesgos inherentes al trabajo», si bien «esta vigilancia sólo podrá llevarse a cabo cuando el trabajador preste su consentimiento». Parece difícil que se pueda sustentar el tratamiento de datos pretendido amparándose en esta base jurídica, toda vez que la negativa del trabajador a someterse al control de alcoholemia y de drogas sería suficiente para no poder realizarlo.
Obligación legal aplicable al responsable del tratamiento
Una de las bases jurídicas en las que sí se podría amparar el tratamiento pretendido es la prevista en el artículo 6 apartado 1 letra c) del RPGD, el cual dispone que el tratamiento será lícito si «es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento». La obligación ha de venir impuesta por una norma con rango de ley (aparte de ley, cabe Real Decreto Ley y Real Decreto Legislativo).
Los reconocimientos médicos referidos en el artículo 22.1 de la LPRL dejan de ser voluntarios cuando resulten «imprescindibles» en los tres supuestos siguientes:
- Para evaluar los efectos de las condiciones de trabajo sobre la salud de los trabajadores
- Para verificar si el estado de salud del trabajador puede constituir un peligro, tanto para sí como para otras personas (resto de trabajadores y otras personas que se relacionan con la empresa).
- Cuando lo establezca una disposición legal en relación con la protección de riesgos específicos y actividades de especial peligrosidad.
El primer supuesto tiene difícil encaje en el caso planteado y el tercero queda, igualmente, descartado, pues la Ley 12/1987, de 28 de mayo, de regulación del transporte de viajeros por carretera mediante vehículos a motor, no autoriza a las empresas de transporte de viajeros para la realización de controles de alcoholemia y de drogas a su personal. De modo que, nos quedamos con el segundo supuesto.
Las operaciones de tratamiento de datos relativos a la salud de los trabajadores podría sustentarse, con carácter obligatorio, en la necesidad de verificar si el estado de salud del trabajador puede constituir un peligro para sí mismo, para el resto de trabajadores de la empresa o para otras personas (usuarios).
Los controles de alcoholemia y de drogas no pueden ser rutinarios, sino periódicos, de acuerdo al artículo 22 del LPRL, aunque no se establece la periodicidad.
La decisión de realizar dichos controles no corresponde al empleador, sino al servicio de prevención de riesgos laborales de la empresa, previa evaluación de los factores de riesgo.
El control no lo podría realizar el personal no sanitario de la empresa. Forzosamente, se tendrían que realizar «por un profesional sujeto a la obligación de secreto profesional, o bajo su responsabilidad, de acuerdo con el Derecho de la Unión o de los Estados miembros o con las normas establecidas por los organismos nacionales competentes, o por cualquier otra persona sujeta también a la obligación de secreto de acuerdo con el Derecho de la Unión o de los Estados miembros o de las normas establecidas por los organismos nacionales competentes» (artículo 9.3 del RGPD), pues las medidas de vigilancia y control de la salud de los trabajadores sólo puede realizarse «por personal sanitario con competencia técnica, formación y capacidad acreditada» (artículo 22.6 de la LPRL).
Conclusión
Dando respuesta a las preguntas planteadas al inicio, cabe decir que los controles de alcoholemia y drogas en el ámbito laboral son legales, al amparo del artículo 6 apartado 1 letra c) del RPGD en relación con el artículo 22.1 de la LPRL, justificándose el carácter obligatorio en la necesidad de verificar el estado de salud de los trabajadores, en tanto puedan constituir un peligro para sí mismo, para el resto de trabajadores o para terceros.
Los controles se podrían realizar por sorpresa, de forma periódica, si bien la decisión de realizarlos no corresponde al empleador, sino al servicio de prevención de riesgos laborales de la empresa, previa evaluación de los factores de riesgo.
