Respuesta corta: los datos de salud son una categoría especial de datos: el artículo 9.1 del RGPD prohíbe tratarlos salvo que se cumpla alguna de las excepciones del 9.2. Para una clínica privada, la base habitual es la asistencia sanitaria (art. 9.2.h) tratada por profesionales sujetos a secreto, y la historia clínica se rige además por la Ley 41/2002. Esta guía resume lo que dicen esos textos y lo que debe revisar en su centro; no sustituye al asesoramiento de su delegado de protección de datos o de un abogado.
Qué dice el artículo 9 del RGPD sobre los datos de salud
El Reglamento (UE) 2016/679 incluye los datos relativos a la salud entre las categorías especiales del artículo 9.1, junto con el origen étnico, las opiniones políticas, las convicciones religiosas, los datos genéticos o los biométricos para identificar de forma unívoca a una persona. La regla general es la prohibición de su tratamiento. El apartado 9.2 enumera las situaciones en las que esa prohibición no se aplica. En el día a día de una clínica importan sobre todo tres:
- Consentimiento explícito (art. 9.2.a): es una excepción posible, salvo que el Derecho de la Unión o de un Estado miembro disponga que la prohibición no puede levantarse con el consentimiento.
- Asistencia sanitaria (art. 9.2.h): el tratamiento necesario para medicina preventiva o laboral, diagnóstico médico, prestación de asistencia o tratamiento de tipo sanitario o gestión de sistemas y servicios de asistencia sanitaria, sobre la base del Derecho de la Unión o de los Estados miembros o en virtud de un contrato con un profesional sanitario, con las condiciones del apartado 3.
- Reclamaciones (art. 9.2.f): el tratamiento necesario para la formulación, el ejercicio o la defensa de reclamaciones.
El artículo 9.3 añade una condición importante: los datos del apartado 1 pueden tratarse con los fines sanitarios del 9.2.h cuando los trate un profesional sujeto a la obligación de secreto profesional, o bajo su responsabilidad, o cualquier otra persona sujeta a una obligación equivalente de secreto. Y el artículo 9.4 permite a los Estados miembros mantener o introducir condiciones adicionales, incluidas limitaciones, para los datos genéticos, biométricos o relativos a la salud.
Qué añade la LOPDGDD (Ley Orgánica 3/2018)
La ley española de protección de datos complementa el Reglamento en varios puntos que afectan a una clínica:
- Artículo 9: cuando el tratamiento de categorías especiales se apoya en las letras g), h) o i) del artículo 9.2 del RGPD, debe estar amparado en una norma con rango de ley, que puede establecer requisitos adicionales de seguridad y confidencialidad. Esa norma puede cubrir también los datos de salud cuando sea necesario para la gestión de los sistemas y servicios de asistencia sanitaria y social, públicos y privados.
- Disposición adicional decimoséptima: ampara, bajo las letras g), h), i) y j) del artículo 9.2 del RGPD, el tratamiento de datos de salud y genéticos regulados en una lista de leyes y sus normas de desarrollo, entre las que figuran la Ley General de Sanidad y la Ley de autonomía del paciente (Ley 41/2002).
- Artículo 5: deber de confidencialidad de responsables, encargados y de cualquier persona que intervenga en el tratamiento, que complementa el secreto profesional y se mantiene aunque termine la relación con el responsable.
- Artículo 28: los responsables y encargados deben aplicar medidas técnicas y organizativas adecuadas para garantizar y poder demostrar el cumplimiento, y valorar si procede una evaluación de impacto. El propio artículo cita como supuestos de mayor riesgo el tratamiento de categorías especiales de datos que no sea meramente incidental.
- Artículo 34.1.l): deben designar delegado de protección de datos los centros sanitarios legalmente obligados al mantenimiento de las historias clínicas de los pacientes. El mismo apartado excluye a los profesionales de la salud que, aun estando obligados a mantener historias clínicas, ejerzan su actividad a título individual. Las designaciones se comunican a la Agencia Española de Protección de Datos o a la autoridad autonómica competente (art. 34.3).
La historia clínica según la Ley 41/2002
La Ley 41/2002, básica reguladora de la autonomía del paciente y de derechos y obligaciones en materia de información y documentación clínica, regula la historia clínica en sus artículos 14 a 18, entre otros. Lo esencial de los que más afectan al día a día:
Contenido y archivo (arts. 14 y 15)
La historia clínica comprende el conjunto de documentos relativos a los procesos asistenciales de cada paciente. Su fin principal es facilitar la asistencia sanitaria, y debe contener la información necesaria para tener un conocimiento veraz y actualizado del estado de salud. El artículo 14 exige que cada centro archive las historias clínicas, en cualquier soporte, garantizando su seguridad, su correcta conservación y la recuperación de la información.
Quién accede (art. 16)
La historia clínica es un instrumento destinado fundamentalmente a garantizar una asistencia adecuada. Pueden acceder a ella los profesionales asistenciales que diagnostican o tratan al paciente. El personal de administración y gestión solo puede acceder a los datos que se relacionan con sus propias funciones. Todo el que accede a la historia clínica está sujeto al deber de secreto, y la ley remite a las comunidades autónomas para regular el procedimiento que garantice la observancia de estas reglas. Este punto tiene consecuencias directas si su recepción, su personal administrativo o una herramienta externa manejan información de pacientes: debe poder justificar que cada acceso es necesario para la función.
Conservación (art. 17)
Los centros sanitarios deben conservar la documentación clínica en condiciones que garanticen su mantenimiento y seguridad durante un mínimo de cinco años contados desde la fecha del alta de cada proceso asistencial. La ley prevé conservaciones más largas por otras finalidades, como las judiciales, epidemiológicas, de investigación u organización del sistema sanitario. Consulte además la normativa de su comunidad autónoma, porque algunas regulan plazos propios.
Acceso del paciente (art. 18)
El paciente tiene derecho a acceder a su documentación clínica y a obtener copia de los datos que figuran en ella; los centros regulan el procedimiento. El acceso puede ejercerse mediante representación debidamente acreditada. El derecho no puede ejercitarse en perjuicio del derecho de terceros a la confidencialidad ni del de los profesionales a sus anotaciones subjetivas. Para pacientes fallecidos, la ley fija reglas específicas de acceso de familiares o personas vinculadas.
Tabla de comprobación para su clínica
| Qué revisar | Fuente | Pregunta de control |
|---|---|---|
| Base jurídica del tratamiento | RGPD art. 9.2.h y 9.3; LOPDGDD art. 9 | ¿Sabe qué base ampara cada tratamiento y quién lo realiza está sujeto a secreto? |
| Registro de actividades | RGPD art. 30.1 | ¿Consta cada tratamiento con finalidades, categorías de datos, destinatarios y plazos? |
| Seguridad | RGPD art. 32.1; LOPDGDD art. 28 | ¿Hay cifrado, control de accesos y pruebas periódicas de las medidas? |
| Proveedores que tocan datos | RGPD art. 28.1 y 28.3 | ¿Existe contrato de encargado del tratamiento con cada proveedor? |
| Evaluación de impacto | RGPD art. 35.3.b | ¿Trata datos de salud a gran escala? Si es así, se exige evaluación. |
| Delegado de protección de datos | RGPD art. 37.1.c; LOPDGDD art. 34.1.l | ¿Su centro está obligado a designarlo o lo hace voluntariamente? |
| Conservación y acceso | Ley 41/2002 arts. 14, 17, 18 | ¿Tiene plazos definidos y un procedimiento para atender solicitudes de copia? |
Evaluación de impacto y delegado: cuándo preguntarse si le afectan
El artículo 35.3.b del RGPD exige una evaluación de impacto cuando se tratan a gran escala categorías especiales de datos. El artículo 37.1.c exige designar delegado cuando las actividades principales del responsable consisten en el tratamiento a gran escala de esas categorías. Qué es "gran escala" no lo fija un número en el articulado; el considerando 91 aclara que el tratamiento de datos de pacientes por un único médico o profesional sanitario a título individual no debe considerarse a gran escala. Para una clínica con varios profesionales, la LOPDGDD (art. 34.1.l) establece de forma específica la obligación de designar delegado cuando el centro está obligado a mantener historias clínicas. Si tiene dudas sobre su caso concreto, consúltelo con un especialista.
Errores comunes en clínicas privadas
- Dejar que la recepción vea más de lo necesario. El artículo 16 de la Ley 41/2002 limita al personal administrativo a los datos relacionados con sus funciones. Una agenda que muestra motivo clínico a todo el mundo es un riesgo.
- No tener contrato con los proveedores. Software de gestión, hosting, centralita o herramientas de mensajería que traten datos de pacientes son encargados del tratamiento y requieren el contrato del artículo 28 del RGPD.
- Confundir consentimiento con base jurídica. Para la asistencia, la base aplicable suele ser el artículo 9.2.h; el consentimiento explícito del 9.2.a puede ser adecuado para otras finalidades, y el paciente puede retirarlo en cualquier momento (art. 7.3: retirarlo debe ser tan fácil como darlo).
- Guardar sin criterio. La conservación de la historia clínica tiene un mínimo legal (art. 17 de la Ley 41/2002), pero el resto de datos (por ejemplo, de contacto o comerciales) está sujeto al principio de limitación del plazo de conservación del artículo 5.1.e del RGPD.
- No documentar. El artículo 28 de la LOPDGDD habla de poder demostrar el cumplimiento. Sin registro de actividades, política de accesos y contratos, no puede demostrarlo.
Dónde encaja un asistente automatizado de citas
Un asistente que contesta llamadas o mensajes para dar citas puede recibir, sin que usted lo pida, información sanitaria: un paciente que explica sus síntomas o su tratamiento. Por eso conviene diseñarlo con el principio de minimización del artículo 5.1.c (solo los datos necesarios para el fin), tener contrato de encargado con el proveedor y definir qué ocurre con esos mensajes. Si quiere profundizar en el enfoque operativo, tiene la guía de centralita con IA para clínicas dentales, la de secretaria virtual 24/7 y, para evaluar proveedores, los criterios antes de contratar un asistente de citas. Sobre recordatorios y RGPD: cómo reducir citas perdidas sin incumplir el RGPD.
Preguntas frecuentes
¿Necesito el consentimiento del paciente para tratar su historia clínica?
El artículo 9.2.h del RGPD contempla el tratamiento necesario para la asistencia sanitaria, sobre la base del Derecho de la Unión o de los Estados miembros, cuando lo realiza un profesional sujeto a secreto (art. 9.3). La disposición adicional decimoséptima de la LOPDGDD ampara el tratamiento de datos de salud regulados en la Ley 41/2002. Otras finalidades pueden requerir otra base; consúltelo con su delegado o asesor.
¿Cuánto tiempo debo conservar la historia clínica?
El artículo 17 de la Ley 41/2002 fija un mínimo de cinco años desde la fecha del alta de cada proceso asistencial, con conservación más larga por determinadas finalidades. Su comunidad autónoma puede tener normativa propia, así que verifíquela.
¿Tengo que nombrar delegado de protección de datos?
El artículo 34.1.l de la LOPDGDD lo exige a los centros sanitarios obligados a mantener historias clínicas, y excluye a los profesionales sanitarios que ejercen a título individual. Además, el artículo 37.1.c del RGPD lo exige si su actividad principal es el tratamiento a gran escala de categorías especiales.
¿Puede un paciente pedirme copia de su historia?
Sí. El artículo 18 de la Ley 41/2002 reconoce el derecho de acceso y a obtener copia de los datos, con las reservas que la propia ley establece (terceros y anotaciones subjetivas de los profesionales). El procedimiento lo regula cada centro.
Siguiente paso
Si quiere ver cómo se puede automatizar la gestión de citas de la clínica con un asistente que sigue sus reglas de privacidad, pida una demo de IgeraClinic y revise con nosotros qué datos recibe y cuáles no.