Por: Laura M. Garay
La NOM-035-STPS-2018, emitida por la Secretaría del Trabajo y Previsión Social (STPS), tiene como finalidad identificar, analizar y prevenir los factores de riesgo psicosocial (FRP) en los centros de trabajo, además de promover un ambiente laboral sano.
Sin embargo, la implementación de esta norma no solo implica cuidar el bienestar emocional de los trabajadores, sino también proteger su información personal, ya que durante su ejecución se recaban datos personales e incluso datos sensibles, como aspectos de la salud física o mental.
Por ello, el cumplimiento de la Ley Federal de Protección de Datos Personales en Posesión de los Particulares (LFPDPPP) debe integrarse armónicamente en cada una de las etapas de aplicación de la NOM-035, garantizando un enfoque preventivo, responsable y respetuoso de la privacidad laboral.
1. Etapa de Identificación: Aviso de Privacidad Integral claro
En esta primera etapa, el empleador realiza cuestionarios o entrevistas para detectar posibles factores de riesgo psicosocial dentro del centro de trabajo.
Al hacerlo, se recaba información personal de los colaboradores, por lo que es obligatorio contar con un aviso de privacidad integral que informe de manera clara la finalidad del tratamiento, los datos que serán recabados, las posibles transferencias, las medidas de seguridad adoptadas y los mecanismos para ejercer los derechos ARCO (Acceso, Rectificación, Cancelación y Oposición).
Si se recopilan datos sensibles, como información sobre estrés, salud mental o experiencias de violencia, el trabajador debe otorgar su consentimiento expreso y por escrito.
2. Etapa de Análisis: Confidencialidad, Seguridad y Seudonimización
Durante esta fase se procesan los resultados de los cuestionarios para conocer el nivel de exposición a los riesgos psicosociales.
Aquí, las empresas deben garantizar la seguridad y confidencialidad de los datos mediante acciones como:
- Limitar el acceso a la información solo a personal autorizado.
- Usar técnicas de anonimización o seudonimización para evitar identificar directamente a los trabajadores.
- Proteger los archivos con contraseñas o cifrado.
- Firmar compromisos de confidencialidad con el personal y proveedores que participen en el proceso.
Los resultados deben presentarse de forma general, sin mencionar nombres ni datos que permitan identificar a una persona en particular.
3. Etapa de Prevención: Responsabilidad Continua
Una vez terminado el análisis, las empresas deben aplicar las medidas preventivas derivadas del diagnóstico.
En esta etapa, los datos personales recabados deben conservarse sólo el tiempo necesario para cumplir con su propósito.
Si se realizan acciones de seguimiento, como atención médica o psicológica, deberá emitirse un nuevo aviso de privacidad, ya que esos tratamientos implican manejar datos sensibles.
Cumplir con la NOM-035 y con la LFPDPPP no es solo una obligación legal: es una forma de proteger la dignidad, la salud y la privacidad de los trabajadores, fortaleciendo la cultura de cumplimiento, ética y responsabilidad social dentro de la organización.
Integrar ambas normativas ayuda a prevenir sanciones, mejorar la confianza interna y construir un entorno laboral más seguro, respetuoso y humano.
