La respuesta corta
Exige identificar la base jurídica del tratamiento de datos de salud, que en asistencia suele ser el artículo 9.2.h del RGPD junto con la Ley Orgánica 3/2018; llevar registro de actividades; designar delegado de protección de datos por ser centro obligado a mantener historias clínicas; evaluar el impacto; firmar contratos de encargado con proveedores; y notificar brechas a la AEPD en 72 horas.
¿Qué base jurídica ampara tratar datos de salud?
El artículo 9 del Reglamento (UE) 2016/679 prohíbe, como regla, tratar categorías especiales de datos, y los de salud lo son. La excepción que usa una clínica no es normalmente el consentimiento, sino la letra h de ese artículo: el tratamiento necesario para fines de medicina preventiva, diagnóstico médico, prestación de asistencia o gestión de sistemas y servicios sanitarios, cuando lo realiza un profesional sujeto a la obligación de secreto.
Esa base se combina con la Ley Orgánica 3/2018 de protección de datos y garantía de los derechos digitales, y con la obligación legal de mantener la historia clínica que impone la Ley 41/2002. Apoyar toda la asistencia en el consentimiento es un error frecuente y peligroso: si el paciente lo retira, la clínica seguiría estando obligada a conservar la historia, y quedaría en contradicción.
El consentimiento sí es la base correcta para lo que no es asistencia: marketing, publicación de imágenes, envío de promociones, valoraciones públicas.
¿Qué documentos hay que tener?
| Obligación | Contenido | Fuente |
|---|---|---|
| Registro de actividades de tratamiento | Finalidades, categorías de datos e interesados, destinatarios, plazos de conservación, medidas de seguridad | RGPD, artículo 30 |
| Información al paciente | Cláusula informativa en admisión, web y formularios | RGPD, artículos 13 y 14 |
| Evaluación de impacto | Obligatoria cuando se tratan datos de salud a gran escala o con nuevas tecnologías; la AEPD publica listas orientativas | RGPD, artículo 35 |
| Análisis de riesgos y medidas | Cifrado, control de accesos, copias de seguridad, seudonimización | RGPD, artículo 32 |
| Contratos de encargado | Con software de gestión, laboratorio, gestoría, informática, marketing, destructora de documentos | RGPD, artículo 28 |
| Procedimiento de brechas | Notificación a la AEPD en 72 horas y, si hay alto riesgo, comunicación a los afectados | RGPD, artículos 33 y 34 |
| Procedimiento de derechos | Acceso, rectificación, supresión, limitación, oposición y portabilidad, con plazo de un mes | RGPD, artículos 15 a 22 |
| Compromisos de confidencialidad | Deber de secreto del personal, que subsiste tras el fin de la relación | LOPDGDD, artículo 5 |
¿Necesito delegado de protección de datos?
Casi con seguridad sí. La Ley Orgánica 3/2018 enumera los responsables obligados a designarlo e incluye expresamente a los centros sanitarios legalmente obligados al mantenimiento de las historias clínicas de los pacientes. Excluye únicamente a los profesionales de la salud que, aun obligados a mantener historias clínicas, ejerzan su actividad a título individual.
Es decir: un médico estético que trabaja solo y por cuenta propia puede quedar fuera; una clínica constituida como sociedad, con varios profesionales y personal auxiliar, entra. La designación debe comunicarse a la Agencia Española de Protección de Datos, y el delegado puede ser interno o externo, pero ha de tener conocimientos especializados y actuar sin conflicto de interés. El gerente que decide sobre los tratamientos no puede ser su propio delegado.
¿Cuáles son los fallos que la AEPD sanciona con más frecuencia?
Publicar imágenes de pacientes sin consentimiento explícito específico, con sanciones que se desdoblan por infracción de la base jurídica y por tratamiento ilícito de categoría especial. Enviar campañas comerciales a la base de pacientes sin base para ello. Historias clínicas accesibles a todo el personal sin control de perfiles. Fotografías clínicas almacenadas en el móvil personal del profesional o compartidas por aplicaciones de mensajería. Sistemas de gestión contratados sin contrato de encargado. Y falta de plazos de conservación reales, más allá de un genérico "según normativa".
Qué significa esto para tu documentación
Cuatro carpetas mínimas. Una de gobernanza: registro de actividades, análisis de riesgos, evaluación de impacto, designación del delegado y su comunicación a la AEPD. Otra de contratos: encargados de tratamiento firmados con cada proveedor que toca datos, incluido el que aloja el software y el que destruye el papel.
Una tercera de personal: compromisos de confidencialidad, matriz de perfiles de acceso y registro de formación. Y una cuarta de circuitos: procedimiento escrito para atender derechos, para notificar brechas en 72 horas y para expurgar documentación cumplido su plazo, con la fase de bloqueo previa a la supresión que prevé la Ley Orgánica 3/2018. Sin esos circuitos escritos, la primera solicitud de acceso o el primer incidente informático te encuentran improvisando.
Preguntas relacionadas
Esta respuesta es informativa y no constituye asesoramiento legal ni médico. Los requisitos varían por comunidad autónoma y por país, y cambian con el tiempo: contrástalos con tus propios asesores legales y clínicos antes de aplicarlos.