Brecha de datos en una clínica: qué hacer y a quién avisar
Una brecha de seguridad en una clínica es cualquier fallo que deja datos de pacientes destruidos, perdidos, alterados o al alcance de quien no debe: un portátil robado, un informe enviado al paciente equivocado, un acceso indebido a una historia. Hay que contenerla, valorar el riesgo, notificarla a la AEPD en 72 horas si procede y documentarla siempre.
Qué es una brecha de datos en una clínica
Una brecha no es solo un ciberataque: es cualquier incidente que afecta a los datos personales que trata la clínica. El Reglamento general de protección de datos (RGPD) la define en su artículo 4 como toda violación de la seguridad que ocasione la destrucción, pérdida o alteración accidental o ilícita de datos personales, o la comunicación o acceso no autorizados a dichos datos.
La guía de la AEPD para la notificación de brechas de datos personales lo ordena en tres tipos, según qué se haya visto comprometido: la confidencialidad (alguien ve lo que no debía), la integridad (los datos se alteran) o la disponibilidad (los datos dejan de estar accesibles).
En una clínica el asunto pesa más, porque casi todo lo que guarda son datos de salud. El RGPD los define como los datos personales relativos a la salud física o mental de una persona física que revelen información sobre su estado de salud, y los incluye entre las categorías especiales de datos.
Ejemplos de brechas en una consulta
Una brecha no necesita un ataque informático: puede bastar un despiste o un dispositivo perdido. Algunos casos posibles en una consulta:
| Lo que pasa | Qué se compromete |
|---|---|
| Roban el portátil de recepción o la tablet de la consulta con la sesión abierta | Confidencialidad |
| Se envía por correo el informe de un paciente a otro paciente | Confidencialidad |
| Una foto clínica sale por WhatsApp al número equivocado | Confidencialidad |
| Una persona del equipo consulta la historia de un vecino sin motivo asistencial | Confidencialidad |
| Se tira a la basura papel con datos de pacientes sin destruir | Confidencialidad |
| Alguien modifica por error o a propósito la historia de un paciente | Integridad |
| Un programa malicioso bloquea los ordenadores y no se puede abrir la agenda ni las historias | Disponibilidad |
La columna de la derecha es una orientación nuestra según los tres tipos de la guía de la AEPD, no una clasificación oficial: un mismo incidente puede afectar a más de uno, y cada caso se valora con sus circunstancias. Lo útil es que todo el equipo sepa reconocerlos y a quién avisar dentro de la clínica en cuanto ocurren.
Qué hacer en las primeras horas
En las primeras horas hay que hacer tres cosas: cortar la brecha, entender qué ha pasado y apuntarlo todo. Una pauta práctica:
- Contener. Pide al destinatario equivocado que borre el correo, cambia las contraseñas afectadas, recupera el papel si se puede.
- Averiguar. Qué datos, de cuántos pacientes, desde cuándo y por qué ha ocurrido.
- Valorar el riesgo. No es lo mismo un nombre y una hora de cita que un informe con un diagnóstico.
- Apuntar. Hora en que lo supiste, qué hiciste y quién decidió cada paso. Lo vas a necesitar tanto si notificas como si no.
- Avisar a tu delegado de protección de datos, si lo tienes, desde el primer momento.
En Mi Clínica, dos herramientas ayudan en estos casos. Si roban un dispositivo con la sesión abierta, quien gestiona el equipo puede ponerle una contraseña nueva a esa persona desde Equipo, y se cierran sus sesiones abiertas. Y si sospechas de un acceso indebido, la pestaña Actividad de la ficha del paciente muestra quién consultó su historia clínica y cuándo: queda registrado con usuario, fecha y hora, y lo ve quien tiene acceso clínico.
Cuándo notificar a la AEPD: las 72 horas
La clínica, como responsable del tratamiento, tiene que notificar la brecha a la autoridad de control sin dilación indebida y, de ser posible, a más tardar 72 horas después de haber tenido constancia de ella, salvo que sea improbable que constituya un riesgo para los derechos y libertades de las personas. Lo dice el artículo 33.1 del RGPD, que añade que, si se notifica pasadas las 72 horas, hay que indicar los motivos del retraso.
Dos detalles que conviene tener presentes:
- El fin de semana cuenta. La guía de la AEPD aclara que en las 72 horas se computan también las horas transcurridas durante fines de semana y festivos. Una brecha que descubres el viernes por la tarde no espera al lunes.
- No hace falta tenerlo todo. Si no puedes dar toda la información a la vez, el RGPD permite facilitarla de manera gradual sin dilación indebida. La guía de la AEPD describe una notificación inicial con la información preliminar, que se completa después con una modificación antes de 30 días desde la notificación inicial.
La notificación tiene que describir, como mínimo, la naturaleza de la brecha (con las categorías y el número aproximado de afectados y de registros, cuando sea posible), el contacto del delegado de protección de datos u otro punto de contacto, las posibles consecuencias y las medidas adoptadas o propuestas. Se presenta mediante el formulario de la sede electrónica de la AEPD.
Cuándo avisar a los pacientes
A los pacientes afectados hay que avisarles cuando sea probable que la brecha entrañe un alto riesgo para sus derechos y libertades. El artículo 34 del RGPD pide hacerlo sin dilación indebida y en un lenguaje claro y sencillo, explicando qué ha pasado, a quién pueden dirigirse, las posibles consecuencias y las medidas que se han tomado.
Con datos de salud conviene valorarlo con especial cuidado: la propia guía de la AEPD pone como ejemplo de actuación urgente que se revelen en línea categorías especiales de datos personales. En cuanto a cómo, la guía recomienda la comunicación directa al afectado, por teléfono, correo electrónico, SMS, correo postal u otro medio dirigido a él.
El artículo 34 prevé casos en los que la comunicación no es necesaria, por ejemplo si la clínica ha tomado medidas posteriores que garanticen que ya no existe la probabilidad de que se concrete el alto riesgo. Si dudas, consúltalo con tu delegado de protección de datos o tu asesor antes de descartarlo.
Documentarla siempre, aunque no se notifique
Toda brecha se documenta, también la que decides no notificar. El artículo 33.5 del RGPD obliga al responsable a documentar cualquier violación de la seguridad de los datos personales, incluidos los hechos relacionados con ella, sus efectos y las medidas correctivas adoptadas.
La guía de la AEPD añade que en ese registro de incidentes deben quedar también las decisiones sobre la notificación a la autoridad y la comunicación a los afectados, y que no existe un modelo estándar de registro de incidentes: cada organización usa el que mejor se integre en su gestión. En una clínica pequeña puede bastar una hoja ordenada con fecha, qué pasó, a quién afectó, qué se hizo y qué se decidió, guardada fuera del alcance de quien no la necesite.
Ese registro se lleva junto al resto de documentación de protección de datos de la clínica, que repasamos en protección de datos en una clínica.
Lo que reduce el riesgo en el día a día
En una clínica, prevenir una brecha es sobre todo cuestión de organización. Algunas medidas sencillas:
- Que cada persona vea solo lo que necesita. En Mi Clínica los permisos van por rol: Recepción lleva agenda, pacientes, cobros y documentos administrativos sin nada clínico, y el profesional sanitario ve su agenda y su parte clínica.
- Un usuario por persona. Sin usuarios compartidos, el registro de quién consulta la historia sirve de algo.
- Nada de datos de pacientes en el móvil personal ni en chats privados.
- Revisar el destinatario antes de enviar un informe por correo.
- Saber qué hace tu proveedor. Si un encargado del tratamiento, como tu programa de gestión, sufre una brecha, el RGPD le obliga a notificártela sin dilación indebida.
Si tu clínica necesita un delegado de protección de datos, él será quien te acompañe en todo esto; lo explicamos en delegado de protección de datos en una clínica. El resto de lo que hace Mi Clínica está en su página principal.
Fuentes consultadas
Comprobadas el 11 de octubre de 2026. Enlazamos la fuente original para que puedas consultar el texto vigente.
Preguntas frecuentes
¿Enviar un informe al paciente equivocado es una brecha?
Sí. La guía de la AEPD incluye el envío de datos personales por error entre las brechas que afectan a la confidencialidad. Luego hay que valorar el riesgo para decidir si se notifica.
¿Las 72 horas cuentan en fin de semana?
Sí. Según la guía de la AEPD, en las 72 horas se computan también las horas transcurridas durante fines de semana y festivos.
¿Tengo que notificar todas las brechas a la AEPD?
No. El RGPD exime de notificar cuando es improbable que la brecha constituya un riesgo para los derechos y libertades de las personas, pero aun así hay que documentarla.
¿Qué pasa si no tengo toda la información en 72 horas?
El RGPD permite facilitar la información de manera gradual sin dilación indebida. La guía de la AEPD describe una notificación inicial que se completa después con una modificación.