Inicio › Guía de salud corporativa › Protección de datos y confidencialidad

Guía de salud corporativa

Protección de datos y confidencialidad: los resultados se quedan con la persona

Revisado por el Dr. Daniel Wallerstorfer, biólogo molecular y fundador de Novogenia · Actualizado: 15 de octubre de 2026 · Tiempo de lectura: 11 min

En resumen

Según el RGPD, los datos genéticos pertenecen a las categorías especialmente protegidas (art. 9); en Suiza, son datos personales sensibles (art. 5 de la DSG). En una relación laboral, el consentimiento dado al empleador rara vez es realmente voluntario — por eso, el Comité Europeo de Protección de Datos lo considera problemático. La solución más limpia: la empresa no trata ningún dato genético. Los empleados dan su consentimiento directamente al laboratorio o al socio, el informe va únicamente a ellos y la empresa no recibe ni resultados individuales ni informes agregados. Si el § 26 de la BDSG se sostiene tras la sentencia del TJUE de 2023 es una cuestión abierta — un programa construido así no lo necesita para los datos genéticos.

Como una cabina electoral — solo que más estricto

Los datos genéticos no son datos corrientes. El RGPD los describe como datos relativos a las características genéticas heredadas o adquiridas de una persona que proporcionan una información única sobre su fisiología o su salud (art. 4, punto 13, del RGPD). Quien conoce tus genes sabe algo que llevas contigo toda la vida. Por eso, su tratamiento está prohibido por regla general — salvo que se aplique una excepción (art. 9, apartados 1 y 2).

Por tanto, un buen programa de empresa funciona como unas elecciones. La empresa pone el colegio electoral: la sala, el horario, la invitación. Nadie mira dentro de la cabina. Y, a diferencia de unas elecciones, al final ni siquiera hay un resultado global para la empresa — los resultados se quedan con las personas a las que pertenecen.

Aquí encontrarás el razonamiento jurídico que hay detrás y qué cuestiones siguen abiertas — como complemento de la visión de conjunto de Programas de salud corporativa con análisis genéticos.

Quién ve qué: los flujos de datos de un programa

Antes de hablar de disposiciones legales, traza los flujos de datos. Para un análisis de estilo de vida, un programa bien planteado tiene este aspecto:

Datos	Adónde van	Qué ve la empresa
Registro y consentimiento	del empleado directamente al laboratorio o al socio	Nada
Muestra de saliva	directamente al laboratorio, nunca a través de la empresa	Nada
Datos genéticos e informe	del laboratorio únicamente a la persona, en formato digital a través de un portal seguro	Nada
Suplementos personalizados (opcional)	la fórmula, el informe y el envío van directamente a la persona	Nada
Factura	a la empresa	La factura — ningún resultado
Opiniones sobre el programa	anónimas, a la empresa o a su socio de salud corporativa	Satisfacción y sugerencias, nunca contenido genético

Dos puntos merecen especial atención. Una fórmula de suplementos personalizada revela algo sobre los genes de la persona que la recibe. Así que, aunque la pague la empresa, debe ir directamente a la persona. Y la facturación: diséñala de modo que la empresa sepa lo menos posible sobre quién ha participado a título individual. No es un detalle — quien sabe quién se ha apuntado también sabe quién no lo ha hecho.

La excepción evidente para los datos genéticos es el consentimiento explícito para fines especificados (art. 9, apartado 2, letra a), del RGPD). Puede retirarse en cualquier momento, y retirarlo debe ser tan fácil como darlo (art. 7, apartado 3). El verdadero problema en el trabajo es otro: la voluntariedad.

Cuando existe un desequilibrio claro entre las partes, el consentimiento no constituye una base jurídica válida si, por ello, es improbable que se haya dado libremente (considerando 43). El Comité Europeo de Protección de Datos es explícito en sus Directrices 05/2020: debido a la dependencia propia de una relación laboral, es improbable que los empleados puedan negarse a una petición de su empleador sin temer consecuencias perjudiciales. Solo pueden dar su consentimiento libremente en circunstancias excepcionales — cuando dar o no el consentimiento no tenga ninguna consecuencia adversa (apartados 21–22).

De ello se derivan dos reglas:

El consentimiento va a la dirección correcta: al laboratorio o al socio que trata los datos — no a la empresa. En el caso de los análisis médicos en Alemania, la persona da su consentimiento expreso y por escrito al médico responsable (§ 8, apartado 1, de la GenDG).
El entorno facilita decir «no»: sin listas de participantes en manos de los mandos, sin recordatorios de los superiores, sin ventajas reservadas a los participantes. Cómo invitar sin generar presión se muestra en Comunicación interna: participar sin presión.

Protección de datos de los empleados: lo que cambió la sentencia del TJUE de 2023

Para los datos de los empleados, el art. 88 del RGPD permite a los Estados miembros adoptar normas más específicas. Estas deben incluir medidas adecuadas y específicas para preservar la dignidad humana, los intereses legítimos y los derechos fundamentales, prestando especial atención a la transparencia (apartado 2). Alemania creó para ello el § 26 de la Ley Federal alemana de Protección de Datos (BDSG). Entre otras cosas, establece que, al darse el consentimiento, debe tenerse en cuenta la dependencia propia de la relación laboral, que el consentimiento debe darse por escrito o en formato electrónico y que el empleador informa a los empleados en forma de texto sobre la finalidad y sobre su derecho a retirarlo (apartado 2). Para las categorías especiales, como los datos genéticos, el consentimiento debe referirse expresamente a estos datos (apartado 3).

El 30 de marzo de 2023, el Tribunal de Justicia de la Unión Europea dictó una sentencia clave al respecto (asunto C-34/21). Una disposición nacional solo es una «norma más específica» si cumple los requisitos del art. 88, apartado 2; de lo contrario, no debe aplicarse, salvo que constituya una base jurídica propia con arreglo al art. 6, apartado 3, del RGPD. El caso se refería a docentes del estado federado alemán de Hesse y a una disposición del estado federado estructurada de forma muy similar al § 26, apartado 1, de la BDSG. El Tribunal indicó que una norma que se limita a repetir que el tratamiento debe ser necesario no añade una norma más específica. No se pronunció sobre el propio § 26 de la BDSG; la disposición sigue sin cambios en el texto legal.

¿Qué significa esto para tu programa? Menos de lo que se podría pensar — si lo construyes correctamente. Según el § 19 de la GenDG, la empresa no puede recibir resultados genéticos en ningún caso. Si no trata ningún dato genético, no necesita ninguna base jurídica para ello. Aun así, los requisitos del § 26, apartado 2, siguen siendo una buena referencia para todo consentimiento en el programa: por escrito o en formato electrónico, con una finalidad clara y con una indicación del derecho a retirarlo.

Anónimo no siempre significa anónimo

«Solo queremos ver las estadísticas». El deseo es comprensible. El RGPD pone el listón alto: que una persona sea identificable depende de todos los medios que razonablemente puedan utilizarse para identificarla directa o indirectamente — como la singularización. Los datos seudonimizados siguen siendo datos personales; solo la información realmente anónima queda fuera de la normativa de protección de datos (considerando 26).

En un departamento pequeño, las estadísticas pueden atribuirse rápidamente a personas concretas. Por eso, en Novogenia la regla es: el empleador no recibe resultados individuales ni tampoco informes agregados. El programa se evalúa a través de la participación, la satisfacción y opiniones anónimas — nunca a través de resultados genéticos. Cómo convertir eso en indicadores significativos se muestra en Medir el beneficio y el impacto. Incluso las cifras de participación solo deberían comunicarse para unidades más grandes, no para equipos pequeños concretos.

Suiza: la Ley de protección de datos y el Código de Obligaciones

En Suiza, en lugar del RGPD se aplica la Ley federal suiza de protección de datos (DSG), y el Código de Obligaciones regula la relación laboral. La lógica es similar; los detalles difieren:

Datos sensibles: los datos genéticos son datos personales sensibles (art. 5, letra c), n.º 3, de la DSG).
Consentimiento: solo es válido si se da voluntariamente para uno o varios tratamientos determinados tras una información adecuada; para los datos sensibles debe ser expreso (art. 6, apartados 6 y 7, de la DSG).
No más tiempo del necesario: los datos personales se destruyen o se anonimizan en cuanto dejan de ser necesarios para la finalidad (art. 6, apartado 4, de la DSG).
Un límite estricto para los empleadores: solo pueden tratar datos de los empleados en la medida en que se refieran a su idoneidad o sean necesarios para el contrato de trabajo (art. 328b del Código de Obligaciones suizo, OR). Los resultados genéticos no tienen cabida en manos del empleador.
Información y análisis en el extranjero: para los análisis de estilo de vida, la información por escrito abarca, entre otras cosas, el laboratorio y las empresas y los laboratorios extranjeros que intervienen (art. 32 de la GUMG). La realización del análisis en el extranjero requiere, entre otras cosas, el consentimiento por escrito de la persona (art. 36 en relación con el art. 29 de la GUMG).

Roles, contratos y evaluación de impacto

Un programa tiene varias partes: la empresa, a menudo un socio de salud corporativa, el laboratorio y, en los análisis médicos, los médicos. Quien determina los fines y los medios del tratamiento es el responsable del tratamiento; quien trata datos por cuenta de otro necesita un contrato conforme al art. 28 del RGPD. Define los roles antes de que llegue el primer registro — no después.

Quien trata datos genéticos a gran escala debe realizar previamente una evaluación de impacto relativa a la protección de datos (art. 35, apartado 3, letra b), del RGPD; en Suiza, art. 22 de la DSG). En un programa bien construido, esa tarea corresponde al laboratorio o al socio, no a la empresa. Lo que cuenta al final para los empleados es una información clara: quién trata qué datos, quién ve el informe — y que la empresa nunca lo ve. En Alemania, los derechos de participación del comité de empresa no se ven afectados (§ 26, apartado 6, de la BDSG). Más información sobre roles y plazos de supresión en Datos genéticos y RGPD.

Lista de control de protección de datos para tu programa

Los flujos de datos están trazados; la empresa no trata ningún dato genético.
El consentimiento va directamente al laboratorio o al socio — explícito, para fines especificados y revocable en cualquier momento.
Quienes no participan no sufren ningún tipo de desventaja; los mandos no llevan listas.
El informe, la fórmula de los suplementos y el envío van directamente a la persona.
La facturación revela a la empresa lo menos posible sobre los participantes individuales.
Sin informes genéticos agregados; cifras de participación solo para unidades más grandes.
Los roles y los contratos están definidos antes del primer flujo de datos; la evaluación de impacto corresponde a la parte responsable.
En Suiza: información por escrito conforme al art. 32 de la GUMG y consentimiento por escrito para el análisis en el extranjero.
El delegado de protección de datos y el comité de empresa participan desde el principio.

Preguntas frecuentes

¿Basta con que la empresa solo reciba estadísticas anónimas?

No, por dos razones. En primer lugar, «anónimo» a menudo no es anónimo: según el considerando 26 del RGPD, cuenta cualquier medio que razonablemente pueda utilizarse para identificar a una persona — y en equipos pequeños eso ocurre enseguida. En segundo lugar, en Novogenia el empleador tampoco recibe informes agregados. Evalúa el programa a través de la participación y de opiniones anónimas, nunca a través de resultados genéticos.

¿Quién es el «responsable del tratamiento» según el RGPD en un programa así?

Depende de la configuración — el laboratorio, el socio y, en su caso, los médicos pueden asumir roles diferentes. En Novogenia, fijamos los roles juntos en el contrato antes del primer flujo de datos. El objetivo de toda configuración: la propia empresa no trata ningún dato genético.

¿Puede una empleada retirar su consentimiento?

Sí, en cualquier momento — y retirarlo debe ser tan fácil como darlo (art. 7, apartado 3, del RGPD). En el caso de los análisis médicos en Alemania, puede revocar su consentimiento en cualquier momento con efectos para el futuro comunicándoselo al médico responsable (§ 8, apartado 2, de la GenDG).

¿Sigue vigente el § 26 de la BDSG?

Sigue sin cambios en el texto legal. Sin embargo, en 2023 el TJUE dictaminó que las normas nacionales de protección de datos de los empleados solo son «normas más específicas» en el sentido del art. 88 del RGPD si cumplen el apartado 2 de ese artículo; de lo contrario, no deben aplicarse (asunto C-34/21). El propio Tribunal no decidió si el § 26 de la BDSG cumple ese estándar. Para tu programa, esto es secundario si la empresa no trata ningún dato genético.

¿Qué más necesitan saber los empleados en Suiza?

Para los análisis de estilo de vida, deben recibir información por escrito, entre otras cosas, sobre el laboratorio que realiza el análisis y sobre las empresas y los laboratorios extranjeros que intervienen, con los datos de contacto de un profesional y de la persona responsable del tratamiento de datos (art. 32 de la GUMG). La realización del análisis en el extranjero — el laboratorio de Novogenia está en Austria — requiere, entre otras cosas, su consentimiento por escrito (art. 36 en relación con el art. 29 de la GUMG).

¿Una oferta de salud para tu equipo?

Cuéntanos cómo es tu empresa – te mostraremos cómo podría ser una oferta voluntaria para tus empleados.

Solicitar un proyecto →La salud corporativa en la guía de longevidad

Nota: Esta guía ofrece información general para empresas y profesionales y no sustituye el asesoramiento médico ni jurídico. Los rasgos genéticos determinados en un análisis genético están bien documentados (cada gen incluido está respaldado por al menos tres estudios independientes); las recomendaciones derivadas de ellos son conclusiones lógicas, no están científicamente demostradas. La normativa puede cambiar; salvo error u omisión y sujeto a modificaciones.