¿Se precisa el consentimiento de las personas trabajadoras para la realización de controles de alcoholemia y de drogas por parte de la organización donde presta sus servicios?
Conforme a la Ley 31/1995, de 8 de noviembre, de Prevención de Riesgos Laborales, con carácter general se necesitaría el consentimiento de las personas trabajadoras para ese tipo de controles, ya que estos controles médicos en el trabajo están regulados por el artículo 22 de dicha norma, y en su apartado 1 establece que con carácter general los reconocimientos médicos han de ser voluntarios.
Sin embargo, el consentimiento no es la base jurídica más adecuada para legitimar el tratamiento de datos personales en el ámbito laboral ya que se puede considerar que no se ha prestado libremente debido a la situación de desequilibrio entre organización y persona trabajadora (Cdo. 43 GDPR), por lo que la debemos considerar de manera residual.
En este sentido, el mismo apartado 1 del artículo 22 se establece que solo están exceptuados de la regla general de solicitar el consentimiento, y por tanto dejan de ser voluntarios para el personal, en estos tres casos:
- Para evaluar los efectos de las condiciones de trabajo sobre la salud del personal.
- Para verificar si el estado de salud de la persona trabajadora puede constituir un peligro, tanto para sí como para el resto de personal u otras personas que se relacionan con la organización.
- Cuando así lo establezca una disposición legal en relación con la protección de riesgos específicos y actividades de especial peligrosidad.
Si el control de drogas o alcoholemia se basa en alguno de los tres supuestos anteriormente mencionados sería necesario para el cumplimiento de una obligación legal de la organización (responsable del tratamiento), con lo que se encontraría legitimado con la base jurídica del artículo 6.1.c) GDPR. Cumpliendo también con lo establecido en el artículo 6.3 del GDPR y 8 de la LOPDGDD por estar establecido en una norma con rango de ley, en este caso el artículo 22 de la Ley 31/1995.
Además, al tratarse el resultado del control de datos relativos a la salud y por tanto de categoría especial, también es necesario contar con alguna de las excepciones establecidas en el artículo 9.2 del GDPR, para que el tratamiento sea lícito. En este caso, en su el artículo 9.2. h) establece que se podrán tratar estos datos cuando sea necesario para fines de medicina preventiva o laboral o evaluación de la capacidad laboral de la persona trabajadora.
Del mismo modo, la DA 17ª.1 de la LOPDGDD establece que los tratamientos de datos relacionados con la salud y de datos genéticos que estén regulados en una serie de leyes y sus disposiciones de desarrollo se encuentran amparados en las letras g), h), e) y j) del artículo 9.2 del GDPR, y una de ellas es la referida Ley 31/1995 de Prevención de Riesgos Laborales.
Conclusión: cuando se de alguno de los tres supuestos anteriormente relacionados, este tratamiento no precisaría el consentimiento de las personas trabajadoras y se podría basar en las previsiones de los artículos 6.1.c) y 9.2.h) del GDPR, en relación con el artículo 22.1 de la Ley 31/1995.
¿Estos controles deberían ser realizados por personal sanitario o podrían llevarlo a cabo personal de la organización o terceros que no sean personal sanitario?
El mismo artículo 22, en su apartado 6 da respuesta a esta pregunta cuando establece que las medidas de vigilancia y control de la salud de las personas trabajadoras, entre las que se encontrarían este tipo de controles, deben ser llevadas a cabo por personal sanitario con competencia técnica, formación y capacidad acreditada; por tanto, en este caso el tratamiento pretendido debería llevarlo a cabo personal sanitario cualificado y no por personal de la organización o terceros que no lo sean personal.
Conclusión: los controles de drogas y alcoholemia deben ser llevados a cabo solo por personal sanitario cualificado y no por el personal de la organización o terceros que no lo sean.