Consentimiento informado y protección de datos: dos papeles distintos

Consentimiento informado y protección de datos son dos papeles distintos. El consentimiento informado es la conformidad del paciente con una actuación sobre su salud, y lo regula la Ley 41/2002. Para tratar sus datos al atenderle, la base no es su consentimiento; para algunos otros fines, como enviarle publicidad, la AEPD indica que sí hay que pedírselo.

Dos papeles que responden a dos leyes

El consentimiento informado y el consentimiento para tratar datos se parecen en el nombre y en poco más. El primero lo define la Ley 41/2002 como «la conformidad libre, voluntaria y consciente de un paciente, manifestada en el pleno uso de sus facultades después de recibir la información adecuada, para que tenga lugar una actuación que afecta a su salud».

El segundo lo define el Reglamento general de protección de datos como toda manifestación de voluntad libre, específica, informada e inequívoca por la que el interesado acepta, mediante una declaración o una clara acción afirmativa, el tratamiento de datos personales que le conciernen. Uno mira a la actuación sanitaria; el otro, a lo que se hace con los datos.

Diferencia	Consentimiento informado	Consentimiento para tratar datos
Qué autoriza	Una actuación en el ámbito de la salud del paciente.	Un tratamiento de sus datos para uno o varios fines concretos.
Dónde se regula	En la Ley 41/2002, de autonomía del paciente.	En el RGPD y la LOPDGDD.
Cuándo hace falta	En toda actuación en el ámbito de la sanidad, con carácter general.	Solo cuando el tratamiento se apoya en él; la AEPD pone como ejemplo el envío de publicidad.
Forma	Verbal por regla general; por escrito en los casos que fija la ley.	Una declaración o una clara acción afirmativa; con datos de salud, consentimiento explícito.
Si el paciente cambia de opinión	Puede revocarlo libremente por escrito en cualquier momento.	Puede retirarlo en cualquier momento, sin que afecte a lo hecho antes.

Qué actuaciones necesitan el consentimiento por escrito y cómo firmarlo sin papel lo contamos en firmar consentimientos en tablet.

Para atender al paciente, la base no es su consentimiento

Cuando atiendes a un paciente, lo que te permite tratar sus datos de salud no es su consentimiento. El RGPD prohíbe tratar datos relativos a la salud salvo en los supuestos de su artículo 9.2, y el consentimiento explícito es solo uno de ellos, el de la letra a). Otro distinto, el de la letra h), cubre el tratamiento necesario para el diagnóstico médico o la prestación de asistencia o tratamiento de tipo sanitario, cuando lo hace un profesional sujeto a secreto profesional o alguien bajo su responsabilidad, u otra persona también sujeta a secreto.

En España, la disposición adicional decimoséptima de la LOPDGDD declara amparados en las letras g) a j) de ese artículo los tratamientos de datos de salud regulados en varias leyes, entre ellas la propia Ley 41/2002. Y la AEPD, en su guía para pacientes y usuarios de la sanidad, lo dice sin rodeos: no es necesario que el médico o el centro sanitario pida el consentimiento a los pacientes para recoger y usar sus datos de salud si se van a utilizar para el diagnóstico médico o la prestación de asistencia sanitaria.

Lo que sí hay que hacer es informarle de quién trata sus datos, para qué y qué derechos tiene; lo vemos en cómo informar a los pacientes sobre sus datos. Si tu centro no es sanitario, la base puede ser otra: consúltalo con tu asesor.

Cuándo sí hace falta el consentimiento para los datos

Hay usos de los datos que no son atender al paciente y que sí necesitan su consentimiento. La guía de la AEPD pone un ejemplo de consulta: se deberá pedir el consentimiento si el odontólogo o el fisioterapeuta quieren enviar publicidad. En una clínica, eso afecta a usos como estos:

• Enviar promociones o novedades comerciales de la clínica.
• Usar fotos del paciente en redes, en la web o en folletos. Para tratar datos de salud con esa base, el RGPD habla de consentimiento explícito para uno o más fines especificados; lo explicamos en fotos de pacientes antes y después.

Cuando el tratamiento se apoya en el consentimiento, el RGPD pone condiciones:

• la clínica debe ser capaz de demostrar que el paciente consintió;
• si la petición va en un documento que trata también otros asuntos, tiene que distinguirse claramente de ellos;
• el paciente puede retirarlo en cualquier momento, y retirarlo tiene que ser tan fácil como darlo.

Y la LOPDGDD añade que no se puede supeditar la ejecución del contrato a que el paciente consienta el tratamiento de sus datos para finalidades que no guarden relación con el mantenimiento, desarrollo o control de la relación contractual.

Errores típicos al mezclarlos

Estos errores tienen algo en común: meten en el mismo saco lo que la ley separa.

1. Un solo papel con una sola firma para todo. El consentimiento del tratamiento, la información de protección de datos y la autorización de publicidad cumplen funciones distintas. Si una petición de consentimiento para tratar datos va en un documento con otros asuntos, el RGPD pide que se distinga claramente.
2. Llamar «consentimiento» a la información de protección de datos. Confunde al paciente: el RGPD le permite retirar en cualquier momento lo que se apoya en su consentimiento, mientras que la historia clínica hay que conservarla igualmente, como mínimo cinco años desde el alta de cada proceso asistencial.
3. Dar por hecho que el consentimiento informado cubre las fotos en redes. Autoriza la actuación sanitaria, no la publicidad.
4. Condicionar la atención a aceptar publicidad. Es justo lo que la LOPDGDD no permite: supeditar el contrato a un consentimiento para finalidades que no guardan relación con él.
5. No poder demostrar el consentimiento de marketing. Si no está firmado y guardado, demostrar que el paciente consintió se complica.

Cómo los separa Mi Clínica

En Mi Clínica cada papel es un documento distinto. Los consentimientos son de cuatro tipos: el del tratamiento, el de protección de datos, la autorización de fotografías y la autorización de marketing. El consentimiento de un tratamiento se guarda ligado a ese tratamiento. Se firman en la tablet, y la firma queda guardada como evidencia, sin que se pueda modificar.

Con las fotos, la separación la impone el programa:

• cada foto que se sube queda privada por defecto, y la ficha la muestra como «Privada clínica»;
• para usarla en marketing hace falta el consentimiento de marketing firmado del paciente: nunca se deduce de la foto clínica.

Lo que Mi Clínica no decide es en qué se apoya cada uso de los datos de tus pacientes: eso es cosa de la clínica y de su asesor. Cómo funcionan los documentos y la firma está resumido en documentos y firma.

Fuentes consultadas

Comprobadas el 11 de octubre de 2026. Enlazamos la fuente original para que puedas consultar el texto vigente.

• Ley 41/2002, básica reguladora de la autonomía del paciente y de derechos y obligaciones en materia de información y documentación clínica (texto consolidado). BOE.
• Reglamento (UE) 2016/679, Reglamento general de protección de datos. BOE (DOUE).
• Ley Orgánica 3/2018, de Protección de Datos Personales y garantía de los derechos digitales (texto consolidado). BOE.
• Guía para pacientes y usuarios de la Sanidad. AEPD.