La respuesta corta
Las fotografías clínicas son datos de salud y forman parte de la historia clínica. Su tratamiento con fines asistenciales se ampara en el artículo 9.2.h del RGPD junto con la Ley 41/2002, no en el consentimiento. Deben almacenarse en el sistema de la clínica con control de accesos y cifrado, nunca en el móvil personal del profesional ni en aplicaciones de mensajería, y conservarse con los plazos de la historia.
¿Qué base jurídica ampara hacer la foto?
La asistencial, no el consentimiento. El Reglamento (UE) 2016/679 prohíbe con carácter general tratar datos de salud, pero admite el tratamiento necesario para el diagnóstico médico, la prestación de asistencia sanitaria o la gestión de servicios sanitarios cuando lo realiza un profesional sujeto a secreto. A eso se suma la obligación legal de llevar historia clínica que impone la Ley 41/2002, que incluye en su contenido la documentación trascendental para conocer el estado del paciente.
Que la base no sea el consentimiento tiene una consecuencia práctica útil: si un paciente retirase su consentimiento, la clínica seguiría obligada a conservar la documentación asistencial durante los plazos legales. Lo que sí requiere consentimiento explícito y separado es cualquier uso distinto del asistencial: publicar, mostrar en congresos, usar en formación o enviar a un fabricante.
Aun así, informa siempre al paciente de que se le van a tomar fotografías, para qué y quién accederá a ellas. La transparencia del artículo 13 del RGPD es exigible aunque la base no sea el consentimiento.
¿Dónde pueden guardarse?
En el sistema de gestión clínica del centro, vinculadas al expediente del paciente, con control de accesos por perfiles. Nunca en el carrete del móvil personal del profesional, ni en cuentas particulares de almacenamiento en la nube, ni en aplicaciones de mensajería.
| Práctica habitual | Problema | Alternativa |
|---|---|---|
| Fotos en el móvil personal del profesional | Sin control de accesos, copias automáticas a la nube personal, salen del centro con el trabajador | Aplicación de captura vinculada al software clínico, sin guardado en el carrete |
| Envío por chat al grupo del equipo | Cesión sin base, tratamiento por un proveedor sin contrato de encargado | Consulta dentro del sistema clínico |
| Carpeta compartida sin permisos | Todo el equipo ve todo, contra el principio de minimización | Perfiles de acceso por rol |
| Copia en un pendrive para el congreso | Soporte sin cifrar, pérdida frecuente | Copia seudonimizada y cifrada, con consentimiento específico para ese uso |
| Fotos entregadas a la agencia de marketing | Encargado sin contrato ni instrucciones | Contrato del artículo 28 y consentimiento de imagen del paciente |
¿Qué medidas de seguridad hay que aplicar?
Las que exige el artículo 32 del RGPD, adaptadas al riesgo: cifrado del dispositivo y del canal, control de acceso individualizado con credenciales personales y sin cuentas compartidas, registro de accesos, copias de seguridad probadas, y bloqueo automático de sesiones. La Ley 41/2002 refuerza esto al limitar el acceso a la historia a los profesionales que intervienen en la asistencia, y al personal de administración solo a lo relacionado con sus funciones.
Añade el deber de secreto del personal, que la Ley Orgánica 3/2018 recoge expresamente y que subsiste una vez terminada la relación laboral. Ese compromiso debe estar firmado, no presupuesto.
Y valora si necesitas una evaluación de impacto: el tratamiento de datos de salud a gran escala es uno de los supuestos que el artículo 35 del RGPD y los criterios publicados por la Agencia Española de Protección de Datos señalan como candidatos.
¿Cuánto tiempo se conservan?
Las que forman parte de la historia clínica siguen su régimen: el mínimo estatal de cinco años desde el alta de cada proceso asistencial que fija la Ley 41/2002, ampliado por la normativa autonómica cuando corresponda, como los quince años que Cataluña exige para la documentación esencial. En medicina estética la fotografía basal es además la prueba principal del estado previo, así que conservarla el máximo del plazo aplicable es prudente.
Las fotografías tomadas para marketing con consentimiento específico siguen su propio plazo y desaparecen cuando el paciente revoca. Por eso conviene mantenerlas en repositorios separados: mezclarlas hace imposible ejecutar una revocación sin tocar la historia clínica.
Qué significa esto para tu documentación
Incluye en el registro de actividades de tratamiento una entrada específica de imagen clínica, con su finalidad, su base jurídica, los accesos y el plazo. Ten un procedimiento escrito de captura y almacenamiento que prohíba expresamente el móvil personal y el chat, firmado por todo el equipo.
Separa físicamente los dos repositorios, el asistencial y el promocional, y lleva un registro de dónde se ha publicado cada imagen con consentimiento de marketing. Cuando alguien revoque, esa lista es la diferencia entre retirar en horas o descubrir seis meses después que la foto seguía en un folleto.
Preguntas relacionadas
Esta respuesta es informativa y no constituye asesoramiento legal ni médico. Los requisitos varían por comunidad autónoma y por país, y cambian con el tiempo: contrástalos con tus propios asesores legales y clínicos antes de aplicarlos.