RGPD y programas de bienestar laboral: cómo tratar los datos de salud de tu plantilla

Un programa de bienestar laboral trata datos de salud, y el RGPD los considera datos de categoría especial: la protección más alta que contempla la norma. En la práctica, eso significa que necesitas una base jurídica reforzada —normalmente el consentimiento explícito—, una evaluación de impacto (EIPD) cuando hay seguimiento continuado, minimización real de los datos que recoges y un contrato de encargo firmado con tu proveedor.

Esta guía es para responsables de RR. HH. y de personas en empresas españolas que ya tienen un programa de bienestar en marcha, o que están evaluando plataformas y quieren saber qué preguntar antes de firmar.

Los programas de bienestar nacieron con un objetivo sencillo: que la gente se moviera más y se estresara menos. Un reto de pasos animaba a caminar. Un par de ejercicios de respiración daban una pausa en un día complicado.

Pero en algún momento la cosa cambió.

Hoy una plataforma de bienestar registra pasos, frecuencia cardíaca, horas de sueño, estado de ánimo e incluso indicadores de riesgo futuro de enfermedad. Bajo el RGPD, buena parte de eso es dato de salud, con el nivel de protección más alto que existe en la norma.

Y con ese cambio, la experiencia del programa también cambió.

RR. HH. mira la participación y los resultados. La plantilla vive el programa dentro de su rutina diaria, donde el seguimiento está siempre presente. Con el tiempo, esa presencia hace que la frontera entre acompañar y observar se vuelva difusa.

Ahí es exactamente donde entra el RGPD. No para frenar las iniciativas de bienestar, sino para poner un límite a hasta dónde pueden llegar. Para que el cuidado no acabe convertido en control.

Antes de seguir: si estás construyendo el caso de negocio del programa, la calculadora de ROI de bienestar te da en 90 segundos un informe descargable con el coste del absentismo en tu empresa y el retorno estimado. Es el documento que suele pedir dirección financiera.

Por qué el RGPD cambia las reglas de los programas de bienestar

El RGPD cambió el punto de partida de los programas de bienestar al meterlos en el mismo marco de privacidad que ya se aplicaba a los datos clínicos. Donde antes se veía un "extra" de bajo riesgo, hoy el regulador ve un tratamiento estructurado de información de salud de personas trabajadoras.

Dos categorías de datos, dos niveles de exigencia

El RGPD separa la información en dos bloques:

1. Datos personales. Identifican a una persona: nombre, correo corporativo, departamento, número de empleado.
2. Datos de categoría especial. Son más sensibles: salud física y mental, datos biométricos, datos genéticos.

En cuanto un dato cae en el segundo bloque, el RGPD exige una base jurídica reforzada, salvaguardas más estrictas y un control de accesos más cerrado.

Un programa de bienestar moderno llega a esa zona muy rápido:

• Los cuestionarios de riesgo de salud preguntan por diagnósticos, medicación y hábitos.
• Los wearables envían pasos, frecuencia cardíaca y patrones de sueño.
• Las apps registran niveles de estrés, estado de ánimo e indicadores de agotamiento.
• Los programas personalizados usan biomarcadores o analíticas para dar recomendaciones a medida.

Esa mezcla de señales médicas, biométricas y de salud mental está de lleno bajo el paraguas del artículo 9.

Base jurídica: por qué el artículo 6 no basta

Todo tratamiento de datos personales necesita una base de licitud del artículo 6 del RGPD: consentimiento, ejecución de un contrato, obligación legal, interés legítimo. Pero para datos de salud hay que superar además el artículo 9, que parte de una prohibición general y solo la levanta si concurre una condición concreta, como el consentimiento explícito o una obligación derivada del Derecho laboral y de la seguridad social.

Un programa de bienestar voluntario rara vez es "necesario" para ejecutar el contrato de trabajo. Y estirar el interés legítimo para justificar un seguimiento intensivo de la salud es un camino que los reguladores europeos han desaconsejado de forma expresa. Por eso, en la práctica, casi todos los diseños solventes se apoyan en el consentimiento explícito e informado.

El problema del consentimiento en la empresa

Aquí está el punto delicado. La relación laboral es asimétrica: quien te propone el programa es también quien decide tu salario, tu promoción y tu evaluación. Aunque la participación sea oficialmente voluntaria, mucha gente siente que decir que no tiene un coste.

El Dictamen 2/2017 sobre el tratamiento de datos en el trabajo del Grupo de Trabajo del Artículo 29 —hoy Comité Europeo de Protección de Datos— fue muy claro al respecto: en el contexto laboral, el consentimiento solo es válido en circunstancias excepcionales, porque la dependencia económica hace difícil que sea realmente libre.

Los incentivos agravan el problema. Cuanto mayor es la recompensa por participar, más se parece el consentimiento a un trámite y menos a una elección.

Un matiz español que conviene no confundir

El artículo 22 de la Ley 31/1995 obliga a la empresa a garantizar la vigilancia periódica de la salud en función de los riesgos del puesto. Ese tratamiento tiene reglas propias: lo realiza personal sanitario sujeto a secreto, los resultados se comunican a la persona trabajadora y la empresa solo recibe conclusiones de aptitud para el puesto, nunca datos clínicos.

Un programa de bienestar no es vigilancia de la salud. Ni la sustituye, ni se ampara en su base jurídica, ni puede compartir sus datos con ella. Mezclar ambos tratamientos es uno de los errores de diseño más caros que se pueden cometer, porque contamina la licitud de los dos.

Antes y después del RGPD

El contraste entre cómo se hacía y cómo hay que hacerlo es evidente.

Aspecto	Programa anterior al RGPD	Programa conforme al RGPD
Alta en el programa	Inscripción automática; quien no quería, tenía que darse de baja	Alta voluntaria; negarse está expresamente permitido y no tiene consecuencias
Consentimiento	Escondido dentro de una política de privacidad de RR. HH. larga y genérica	Consentimiento específico, breve y separado, con lenguaje claro y alcance definido
Recogida de datos	Se recogía "por si acaso" hiciera falta después	Solo las métricas necesarias para objetivos de bienestar definidos
Visibilidad de la empresa	Informes individuales o puntuaciones identificables llegaban a RR. HH.	RR. HH. recibe tendencias agregadas o anonimizadas; nunca registros individuales
Reutilización	Los datos acababan en decisiones de RR. HH. o de beneficios sin avisar	Finalidad acotada; reutilizar exige nueva base jurídica y nueva información
Transparencia	Textos vagos del proveedor sobre qué llegaba a la empresa	Información específica del programa: qué se recoge, de dónde viene, a dónde va

Los programas antiguos funcionaban con inscripción automática, recogida generosa y explicaciones escasas. Es fácil entender por qué erosionaron la confianza. El modelo del RGPD empuja hacia lo contrario: alta granular, conjuntos de datos más pequeños y límites claros de uso.

Cuando una empresa acepta que el bienestar es un tratamiento de datos regulado y lo diseña en consecuencia, baja su riesgo legal y —esto importa más— facilita que la gente participe sin sentirse expuesta.

Qué datos recoge realmente un programa de bienestar

Casi todos los programas recogen más de lo que la gente imagina. Construyen un retrato bastante detallado de quién es una persona, cómo vive y cómo se encuentra. Como mínimo, tocan cuatro tipos de datos:

1. Datos de perfil. Nombre, correo corporativo, número de empleado, departamento, centro de trabajo y datos demográficos amplios como la franja de edad. Son los campos que conectan cada métrica con una persona concreta.
2. Métricas de salud y biométricas. Pasos, distancia, frecuencia cardíaca, calorías, duración y calidad del sueño. Muchos programas guardan además peso, IMC, tensión arterial, resultados de analíticas y las respuestas al cuestionario de riesgo de salud. Casi todo esto es dato de salud del artículo 9 (la AEPD reúne sus criterios sobre este ámbito en su área de actuación sobre salud).
3. Datos de comportamiento y participación. A qué retos se apunta cada persona, cuántos puntos e insignias acumula, con qué frecuencia entra, qué contenidos consulta. Cada vez más se añaden registros de estado de ánimo, asistencia a sesiones de acompañamiento y cumplimiento de objetivos.
4. Información de dispositivo y aplicación. Qué wearable está conectado, qué móvil o navegador se usa, versión de la app, zona horaria y a veces ubicación aproximada. Por separado parecen datos técnicos. Combinados con el perfil, apuntan a una persona identificable y permiten un seguimiento muy fino.

Cuando esos flujos se juntan, el programa deja de ser una plataforma de retos y pasa a ser un sistema continuo de monitorización de salud y comportamiento dentro del trabajo.

Por eso el primer entregable de cualquier programa serio no es el calendario de retos: es el mapa de datos. Qué se recoge, de dónde viene, quién lo ve, dónde se almacena y con quién se comparte —proveedor de bienestar, HRIS, aseguradora, servicio de prevención—. Ese mapa es lo que te permite elegir bien la base jurídica, eliminar lo que no necesitas y poner límites firmes de acceso.

Y es también la base de una comunicación honesta con la plantilla, que solo confiará en el programa si entiende qué se recoge, a dónde va y qué no se puede hacer con ello. Es el punto de partida de cualquier estrategia de métricas de bienestar que quiera sostenerse en el tiempo.

Los principios del RGPD aplicados a tu programa de bienestar

El RGPD se sostiene sobre unos pocos principios. Llevados a un programa de bienestar, se convierten en reglas muy concretas sobre qué puedes recoger, cómo puedes usarlo y quién puede verlo.

Principio del RGPD	Qué significa en un programa de bienestar
Licitud, lealtad y transparencia	Usa una base jurídica clara —normalmente consentimiento explícito en programas voluntarios— y explica en lenguaje llano qué recoges, para qué, quién lo ve y durante cuánto tiempo.
Limitación de la finalidad	Ata los datos a una finalidad acotada, como gestionar retos y recompensas, y no los reutilices para evaluaciones de desempeño ni decisiones de RR. HH. sin nueva base jurídica e información previa.
Minimización de datos	Recoge solo las métricas que se ganan su sitio (actividad básica en lugar de rutas GPS o pulso continuo). Menos datos, menos riesgo y menos sensación de intrusión.
Exactitud y limitación del plazo de conservación	Mantén los datos lo bastante exactos para decisiones justas, ofrece una vía sencilla de corregir errores de sincronización y aplica plazos de conservación cortos antes de borrar o anonimizar.
Integridad y confidencialidad	Cifrado, control de accesos y separación de los sistemas de RR. HH. y nómina. Acceso detallado limitado a un grupo pequeño y formado; para el resto, informes agregados.
Responsabilidad proactiva	Cada promesa de privacidad necesita evidencia detrás: EIPD, registro de actividades de tratamiento, información legible y contratos sólidos con el proveedor.

Licitud, lealtad y transparencia

Cada dato de bienestar necesita una razón jurídica clara para existir. En la práctica, eso significa pedir consentimiento explícito e informado cuando recoges datos de salud y biométricos para un programa opcional.

La lealtad añade otra capa: nadie debería sentirse engañado, presionado ni penalizado por decir que no. Y la transparencia lo cierra. La plantilla merece una explicación sencilla —no un anexo de doce páginas— de qué se va a recoger, por qué, quién lo verá y cuánto tiempo se guardará.

Limitación de la finalidad

Cada programa debe tener una finalidad estrecha y escrita. Si recoges pasos y horas de sueño para gestionar retos y entregar recompensas, esa es la finalidad. Esos mismos datos no pueden reaparecer después en una evaluación de desempeño, en un expediente disciplinario o en un modelo de riesgo sin una nueva base jurídica y una conversación muy honesta con la plantilla.

Mantener los datos de bienestar en su propia "caja" es lo que evita que se filtren hacia otros usos de RR. HH.

Minimización de datos

Cada métrica tiene que ganarse su sitio. Un reto de pasos necesita actividad básica, no rutas GPS ni frecuencia cardíaca continua. Un programa de reducción del estrés necesita registros de ánimo de alto nivel, no un historial clínico.

Fíjate en el detalle de la pantalla de arriba: los interruptores de «No quiero compartir mi edad», «No quiero compartir mi peso» o «No quiero compartir mi altura» no son un adorno de diseño. Son minimización aplicada al nivel donde de verdad importa —el de la persona— y son la clase de control granular que hay que buscar al elegir una plataforma de bienestar.

Exactitud y limitación del plazo de conservación

Los datos de bienestar deben ser lo bastante exactos para las decisiones que se apoyan en ellos. Si un problema de sincronización del dispositivo afecta a las recompensas, tiene que haber una forma fácil de corregirlo.

Y esos datos no pueden vivir para siempre. Un calendario de conservación claro ayuda: conserva los registros identificables solo mientras sean realmente necesarios para el programa —por ejemplo, el año en curso más un margen limitado— y después bórralos o conviértelos en estadística totalmente anonimizada.

Integridad y confidencialidad

La información de salud exige protección fuerte: cifrado, control de accesos y separación clara de las herramientas de RR. HH. y nómina. Solo un número reducido de personas formadas debería poder ver datos de salud identificables, y RR. HH. debería trabajar habitualmente con informes agregados.

Ese es exactamente el nivel de lectura que aparece en la captura: una puntuación de bienestar de la organización, su desglose por componentes y una instantánea de salud laboral construida con insights agregados. Nadie necesita abrir el registro de una persona concreta para tomar la decisión de programa que toca tomar.

Esta salvaguarda es la que hace que la gente se sienta segura para participar. Y es especialmente crítica en programas corporativos de salud mental, donde el dato es aún más sensible.

Responsabilidad proactiva

Por último, cada promesa de privacidad necesita evidencia detrás. Un programa bien llevado tiene el papel y la práctica alineados:

• una evaluación de impacto (EIPD) terminada,
• el registro de actividades de tratamiento actualizado,
• información de privacidad legible por una persona normal,
• un contrato de encargo firmado con el proveedor,
• y procedimientos que funcionan para atender ejercicios de derechos.

Cuando esas piezas están, la iniciativa deja de parecer un experimento incontrolado con datos de salud. Parece lo que debería ser: un beneficio de salud gobernado, donde bienestar y privacidad son dos caras de lo mismo.

Y hay un efecto secundario que suele pasarse por alto: los programas que integran la privacidad en su diseño consiguen más participación voluntaria. Cuando la gente confía en que sus datos de salud se quedan donde deben, se apunta y se queda. Que es justo lo que hace falta para que un programa de bienestar corporativo funcione.

Cómo diseñar un programa de bienestar conforme al RGPD, paso a paso

Un programa alineado con el RGPD se construye desde el principio; no se le añade el cumplimiento al final. Cada paso cierra un riesgo concreto y hace el programa más fácil de defender ante la AEPD, ante la representación de los trabajadores y ante la propia plantilla.

1. Empieza por el mapa de datos y la EIPD

Trata el programa como lo que es: un proyecto de datos de salud de alto riesgo. Mapea qué datos vas a recoger, de dónde vienen (apps, wearables, HRIS), quién los ve, qué sistemas los almacenan y dónde están alojados esos sistemas.

Con ese mapa haces la evaluación de impacto relativa a la protección de datos (EIPD), que es como el artículo 35 del RGPD llama a lo que en inglés se conoce como DPIA. Sirve para identificar riesgos: monitorización intrusiva, discriminación, debilidades de seguridad, cesiones poco claras. El seguimiento continuado de la salud de personas trabajadoras entra de lleno en los supuestos que la exigen, y la AEPD publica una guía de gestión del riesgo y evaluación de impacto con la metodología.

Hazla antes de lanzar. Una EIPD escrita después de la primera campaña es un documento de justificación, no de diseño.

2. Elige y documenta la base jurídica

Decide sobre qué se sostiene el tratamiento. Como implica datos de salud y biométricos, necesitas dos cosas a la vez: una base del artículo 6 y una condición del artículo 9.

Al ser un programa voluntario, el consentimiento explícito suele ser la vía más segura, en lugar de forzar el interés legítimo o la ejecución del contrato. Documenta la decisión en el registro de actividades de tratamiento y en la propia EIPD, para poder explicar —si te lo preguntan— por qué consideras justificado el programa.

3. Diseña un consentimiento que sea real

El consentimiento debe ser una acción afirmativa, clara y separada. Usa una pantalla o un formulario corto y específico que explique en lenguaje sencillo qué datos se recogen, para qué, durante cuánto tiempo y quién ve qué.

Tres condiciones innegociables:

• Se puede decir que no sin perder ningún beneficio ni asumir coste reputacional interno.
• Retirar el consentimiento es tan fácil como darlo.
• La retirada funciona de verdad: detiene el tratamiento posterior y activa el borrado cuando procede.

Ese último punto es técnico, no jurídico, y es donde muchas plataformas fallan. Pregúntalo en la demo.

4. Aplica la minimización a nivel de funcionalidad

Revisa cada función y pregúntate si los datos que recoge son de verdad necesarios. Limita los retos de pasos a métricas de actividad básica en lugar de rutas GPS. Configura los registros de salud mental para recoger indicadores de alto nivel, no relatos clínicos detallados.

La guía de la AEPD sobre protección de datos en las relaciones laborales —que dedica un capítulo específico al uso de tecnología wearable como elemento de control— insiste en la misma idea: recoger solo lo necesario y tener una justificación concreta para cada dato.

Minimizar función por función reduce el riesgo de cumplimiento y, de paso, hace que la gente use el programa con más comodidad.

5. Fija plazos de conservación y cierra los accesos

Con el alcance definido, decide cuánto tiempo se conservan los datos identificables y quién puede acceder a ellos. Crea un calendario de conservación corto para el dato personal en bruto —por ejemplo, el año de programa en curso más un margen acotado— y apóyate en informes anonimizados o agregados para el análisis de tendencias a largo plazo.

La regla práctica de accesos es sencilla: por defecto, ni los mandos intermedios ni RR. HH. en general ven datos de bienestar. Cuando hace falta información detallada, se concede a un grupo pequeño de administradores formados y sujetos a confidencialidad reforzada.

Fíjate en lo que ve realmente quien administra el programa: campañas, fechas, estado y número de participantes activos. Es el nivel de detalle que se necesita para gestionar un programa, y ni uno más.

6. Trata las transferencias internacionales con intención

Muchas plataformas de bienestar son SaaS, con servidores y equipos de soporte repartidos por varios países. Comprueba dónde almacena tu proveedor los datos, dónde hace las copias de seguridad y desde dónde accede, incluidas las herramientas de soporte y monitorización.

Si algún dato personal sale de la UE o del EEE hacia un país sin decisión de adecuación, necesitas cláusulas contractuales tipo u otra garantía adecuada del capítulo V del RGPD, más una evaluación de impacto de la transferencia.

La buena práctica va un paso más allá: reducir las transferencias innecesarias eligiendo alojamiento en la UE cuando esté disponible y limitando el acceso desde equipos de soporte fuera del EEE.

7. Monta procesos reales para los derechos de las personas

Dentro de un programa de bienestar, la plantilla conserva íntegros sus derechos: acceso, rectificación, supresión, oposición, limitación, portabilidad y retirada del consentimiento.

Habilita canales sencillos —un correo específico o un flujo dentro de la app— y forma a RR. HH. y al equipo de privacidad para responder dentro del plazo legal de un mes, prorrogable dos meses más en casos complejos.

Y asegúrate de que el contrato con tu proveedor le obliga a asistirte en acceso, exportación, rectificación y supresión. Si no, acabarás reconstruyendo a mano la información de una persona a partir de cinco sistemas distintos, con el reloj corriendo.

Qué exigir a tu proveedor de bienestar

Elegir plataforma dejó de ser solo una decisión de producto. Si vas a evaluar proveedores, estas son las seis preguntas que separan a los que han hecho el trabajo de los que no:

1. ¿Firmáis contrato de encargo del tratamiento? Es el artículo 28 del RGPD. Sin él, no hay conversación posible. Pide verlo antes de firmar, no después.
2. ¿Dónde se alojan los datos y quién accede a ellos? Región de alojamiento, ubicación de las copias de seguridad y desde qué países accede el soporte. Si hay transferencias fuera del EEE, qué garantías se aplican.
3. ¿El consentimiento es granular y reversible? ¿Puede una persona participar en retos sin compartir peso o edad? ¿Retirar el consentimiento detiene el tratamiento de verdad?
4. ¿Qué ve exactamente RR. HH.? Pide una captura del panel de administración real. Si en esa pantalla aparece el nombre de una persona junto a un dato de salud, tienes un problema de diseño.
5. ¿Cómo se atienden los derechos? Plazos, formato de exportación y si el proceso es autoservicio o pasa por su soporte.
6. ¿Qué plazos de conservación y qué política de borrado aplican cuando termina el contrato o cuando una persona causa baja en la empresa?

Qué ocurre si no cumples: el escenario sancionador en España

Conviene tener las cifras a mano, sobre todo si necesitas convencer a dirección de invertir tiempo en el diseño.

El RGPD prevé multas de hasta 20 millones de euros o el 4 % del volumen de negocio anual global, la cantidad que sea mayor. Y tratar datos de categoría especial sin habilitación es, en la LOPDGDD, una infracción muy grave.

Pero el dato que más pesa en una reunión interna es el del contexto local. Según la Memoria 2025 de la AEPD, la Agencia recibió 30.931 reclamaciones en 2025, la cifra más alta de su historia y un 64 % más que el año anterior, y el importe total de las sanciones impuestas ese año ascendió a 48,1 millones de euros. Las brechas de datos personales, por sí solas, generaron casi 20 millones —un 40 % del total— tras multiplicarse por más de dos los procedimientos abiertos.

Y hay un matiz que suele sorprender: como responsable del tratamiento, tu empresa sigue respondiendo aunque la brecha la cause el proveedor. El contrato de encargo reparte obligaciones, no responsabilidad frente a la persona afectada.

Conclusión

Los programas de bienestar están hoy de lleno en el terreno del tratamiento regulado de datos de salud. Con el RGPD en la ecuación, cada recuento de pasos, cada puntuación de riesgo y cada registro de ánimo es información sensible que exige finalidad clara, recogida limitada y salvaguardas sólidas.

Visto así, el diseño es lo que marca la diferencia. Un consentimiento honesto, una minimización estricta y unos informes agregados permiten a RR. HH. actuar sobre patrones sin asomarse al expediente de nadie.

En la vista de administración de Vantage Fit, lo que ve quien dirige el programa son insights de salud de la plantilla —qué porcentaje de personas presenta riesgo de diabetes, salud cardíaca o renal, y cómo evoluciona la tendencia general— y no un dosier médico individual. Esa lente de población es exactamente lo que mantiene un programa útil y, a la vez, respetuoso.

Elegir bien la plataforma convierte ese enfoque en una práctica repetible. La correcta te da la analítica de grupo que necesitas mientras mantiene el dato personal protegido detrás de controles serios de privacidad y seguridad, para que el equipo de bienestar se ocupe de resultados y no de pelearse con el cumplimiento.

Para una empresa que está montando su programa de bienestar corporativo, cumplir el RGPD es bastante más que un requisito legal. Es la vía más rápida para ganarse la confianza de la plantilla, reforzar la credibilidad de sus prácticas de datos y conseguir que la gente participe de verdad.

Sigue leyendo: Protocolo de desconexión digital: qué exige la ley y cómo elaborarlo