Protección de datos en tu clínica: qué exige el RGPD y qué arriesgas si no cumples
Si tienes una clínica, una consulta de fisioterapia, de psicología, de nutrición o un gabinete dental, tratas datos de salud. Para la ley, son una de las categorías de datos más protegidas que hay. No basta con una cláusula en el formulario: hay que protegerlos de verdad, guardarlos el tiempo que toca y avisar si algo sale mal. Si no, el riesgo no es solo una multa. También puedes perder historias clínicas y la confianza de tus pacientes.
Esto no es asesoramiento legal. Es un resumen divulgativo con enlaces a las normas y a resoluciones públicas. Para tu caso concreto, consulta con un abogado, con tu delegado de protección de datos o con la AEPD.
Por qué los datos de salud son especiales
El Reglamento General de Protección de Datos (RGPD) define en su artículo 4.15 los datos relativos a la salud como los «relativos a la salud física o mental de una persona física, incluida la prestación de servicios de atención sanitaria, que revelen información sobre su estado de salud». Un diagnóstico, una nota de evolución o una cita en psicología cuentan.
El artículo 9 parte de una prohibición general de tratar estos datos y después enumera las excepciones. La que más afecta a una consulta es la del 9.2.h: el tratamiento necesario para el diagnóstico médico o la asistencia sanitaria, sobre la base de la ley o de un contrato con un profesional sanitario. El 9.3 añade que ese tratamiento lo debe hacer un profesional sujeto a secreto profesional, o alguien bajo su responsabilidad.
La Ley Orgánica 3/2018 (LOPDGDD) añade en su artículo 5 un deber de confidencialidad para todos los que intervienen en el tratamiento, «complementario de los deberes de secreto profesional», que sigue vigente aunque esa persona deje de trabajar contigo.
La AEPD tiene una Guía para profesionales del sector sanitario, pensada sobre todo para quien ejerce por su cuenta (hoy figura «en revisión»; última revisión, octubre de 2024).
Las obligaciones que más se olvidan
¿Necesitas un delegado de protección de datos?
Depende de cómo trabajes. El artículo 34.1.l de la LOPDGDD obliga a nombrar un delegado de protección de datos a «los centros sanitarios legalmente obligados al mantenimiento de las historias clínicas de los pacientes». Y añade: «Se exceptúan los profesionales de la salud que, aun estando legalmente obligados al mantenimiento de las historias clínicas de los pacientes, ejerzan su actividad a título individual». Si compartes consulta o ejerces a través de una sociedad, conviene que lo revises con tu asesor.
Guardar la historia clínica el tiempo que toca
La Ley 41/2002 de autonomía del paciente obliga, en su artículo 17, a conservar la documentación clínica «en condiciones que garanticen su correcto mantenimiento y seguridad» y, como mínimo, cinco años desde el alta de cada proceso asistencial. Revisa también si la normativa de tu comunidad autónoma establece un plazo distinto.
Seguridad proporcional al riesgo
El artículo 32 del RGPD pide medidas «apropiadas» al riesgo, y con datos de salud el riesgo es alto. Eso incluye copias de seguridad, actualizaciones y quién tiene acceso remoto al ordenador de la consulta.
Avisar en 72 horas si hay una brecha
Ante una brecha (un robo, un ransomware, un correo enviado a quien no debía), el artículo 33 del RGPD obliga a notificarla a la AEPD «sin dilación indebida y, de ser posible, a más tardar 72 horas después de que haya tenido constancia de ella», salvo que sea improbable que suponga un riesgo. Si el riesgo para los pacientes es alto, el artículo 34 obliga además a comunicárselo a ellos. La AEPD lo explica en su guía sobre brechas.
Qué pasa si no cumples
Multas
El artículo 83 del RGPD fija los máximos: hasta 10 millones de euros o el 2 % del volumen de negocio anual (83.4, por ejemplo la falta de seguridad) y hasta 20 millones o el 4 % (83.5, principios básicos y datos especiales). En la práctica, a consultas pequeñas se les imponen importes mucho menores, como verás abajo.
La LOPDGDD las clasifica en muy graves (prescriben a los tres años), como tratar datos de salud sin base legal (art. 72.1.e); graves (dos años), como no aplicar medidas de seguridad adecuadas (art. 73.f) o no notificar una brecha (art. 73.r); y leves (un año).
Tres casos reales de la AEPD
- Ransomware en una clínica dental (PS/00078/2024, DENTALCUADROS BCN S.L.P.). Un ataque detectado el 20 de abril de 2023 cifró el servidor con datos de unos 2.500 pacientes. Según la clínica, entró por un puerto abierto para conexión remota, y la última copia de seguridad tenía un mes: se perdió la agenda de citas. La brecha se notificó el 12 de mayo. La AEPD propuso 15.000 € (art. 32) y 5.000 € (art. 33); la clínica pagó 12.000 € con las reducciones por pago voluntario y reconocimiento.
- Un informe que llegó a la mutua (PS/00262/2021, CEDICO, Centro de Diagnóstico por la Imagen S.L.). El informe de una resonancia encargada por una mutua mencionaba datos de otra que la paciente se había hecho de forma privada. Vulneración de la confidencialidad (art. 5.1.f): multa inicial de 30.000 €; la clínica pagó 18.000 € con las reducciones.
- Pedir más datos de los necesarios (PS/00253/2023, APOLLONIA TOPCO S.L., Clínica Dental Sagrada Familia de Barcelona). Exigió copia del DNI para devolver un importe y no tramitó la reclamación dirigida a su delegado. Multa: 20.000 € por minimización (art. 5.1.c) y 10.000 € por el art. 38. Total, 30.000 €.
Más allá de la multa
- Daño reputacional. El artículo 50 de la LOPDGDD prevé que la AEPD publique las resoluciones que ponen fin a los procedimientos sancionadores. Los tres casos son públicos.
- Indemnizaciones. El artículo 82 del RGPD da derecho a indemnización a quien sufra daños por una infracción.
- Reclamaciones de pacientes. Según la AEPD, en 2021 se registraron 680 reclamaciones vinculadas a la sanidad, un 75 % más que el año anterior.
- Perder datos y días de trabajo. Sin copia reciente se pierden citas e historias.
Lo que tu web también cuenta
Buena parte del riesgo de una consulta pequeña está en lo cotidiano, y la web es parte de ello:
- Formularios de contacto y de cita. Pide solo lo necesario para dar la cita. Si preguntas «¿qué te pasa?», recibirás datos de salud por correo. La minimización (art. 5.1.c) también se aplica aquí. Y si el proveedor de la web o de la agenda online accede a esos datos, es encargado del tratamiento y necesitáis un contrato (art. 28).
- HTTPS. Un formulario sin cifrar no tiene sentido con datos de salud. Si tu web sale como «No es seguro», mira cómo quitar el aviso de sitio no seguro.
- Cookies y analítica. Cargar Analytics o el píxel de Meta antes de que el paciente elija es aún más delicado en una web sanitaria: qué páginas visita puede decir algo de su salud. Ver banner de cookies en WordPress.
- Correo. SPF, DKIM y DMARC dificultan que alguien envíe correos haciéndose pasar por tu clínica: mis correos llegan a spam: SPF, DKIM y DMARC.
- Copias y actualizaciones. Plugins viejos, accesos abiertos y copias antiguas salen en las resoluciones. Para la web: cómo actualizar WordPress sin romper la web.
Qué podemos revisar nosotros
No somos abogados ni delegados de protección de datos. Hacemos la parte técnica de tu web.
- Auditoría de solo lectura (249 €, IVA aparte). Revisa seguridad y HTTPS, correo y dominio (SPF, DKIM, DMARC) y el apartado de RGPD: cookies antes de aceptar, banner, páginas legales y formularios. El informe es tuyo, también para tu asesor.
- Reparación WordPress (desde 600 €, IVA aparte). Pone la web al día con copia previa y un banner que bloquea la analítica hasta que el paciente acepta.
- Correo profesional y DNS (129 € por dominio, pago único) y Vigilancia (49 € al mes por web, sin permanencia) para que la web no vuelva a degradarse.
Preguntas frecuentes
Soy psicóloga y trabajo sola. ¿Me afecta todo esto?
Sí. Lo que cambia es el delegado: el artículo 34.1.l exceptúa a quien ejerce a título individual. Seguridad, confidencialidad, brechas y conservación siguen igual.
