Delegado de protección de datos en una clínica: ¿lo necesitas?

Una clínica que es centro sanitario tiene que designar un delegado de protección de datos: la LOPDGDD incluye en su lista a los centros sanitarios legalmente obligados al mantenimiento de las historias clínicas de los pacientes. Quedan fuera los profesionales de la salud que ejercen a título individual, que pueden nombrarlo de forma voluntaria.

Cuándo es obligatorio en una clínica

En una clínica, la respuesta está en una letra concreta de la ley española. El artículo 37 del Reglamento general de protección de datos fija los supuestos generales en los que hay que designar un delegado. La LOPDGDD mantiene esos supuestos y, en su artículo 34, añade una lista de entidades que tienen que designarlo en todo caso. Esta es la letra que afecta a las clínicas, palabra por palabra:

«l) Los centros sanitarios legalmente obligados al mantenimiento de las historias clínicas de los pacientes. Se exceptúan los profesionales de la salud que, aun estando legalmente obligados al mantenimiento de las historias clínicas de los pacientes, ejerzan su actividad a título individual.»

La Ley 41/2002 define el centro sanitario como «el conjunto organizado de profesionales, instalaciones y medios técnicos que realiza actividades y presta servicios para cuidar la salud de los pacientes y usuarios», y dice que cada centro archivará las historias clínicas de sus pacientes. La guía de la AEPD para pacientes lo baja a ejemplos: tienen que tener delegado los hospitales, los centros de salud, los centros de atención especializada y las clínicas; no tienen que tenerlo las consultas privadas de un profesional sanitario.

Tu caso	Qué dice la norma
Clínica que es centro sanitario, aunque sea pequeña	Entra en la letra l): tiene que designar delegado. La letra no distingue por tamaño.
Profesional de la salud que ejerce a título individual	Está exceptuado de la letra l). Puede designarlo de forma voluntaria.
Centro que no es sanitario	No entra en la letra l). Queda ver si encaja en los supuestos generales del RGPD.
Cualquiera que no esté obligado	Puede designarlo de forma voluntaria, con el mismo régimen.

Dónde está la frontera en tu caso, por ejemplo si tu clínica es un centro sanitario o si un profesional que comparte local con otros ejerce o no a título individual, depende de cómo esté constituida y autorizada tu actividad: confírmalo con tu asesor.

Si no estás obligado

Si no estás obligado, puedes nombrarlo igualmente. La LOPDGDD permite a quien no está en la lista designar un delegado de forma voluntaria, y ese delegado queda sometido al mismo régimen del RGPD y de la propia ley orgánica. La comunicación a la AEPD, que vemos más abajo, se aplica también cuando la designación es voluntaria.

Aunque no lo nombres, alguien de la clínica tendrá que ocuparse de la protección de datos: atender a un paciente que pide su historia, revisar quién accede a qué o mantener al día la información que se da a los pacientes. Ponerle nombre a esa tarea ayuda, sea o no delegado. El resto de piezas básicas las repasamos en la protección de datos en una clínica.

Quién puede ser el delegado

El delegado se elige por sus cualidades profesionales: el RGPD habla, en particular, de conocimientos especializados del Derecho y la práctica en materia de protección de datos y de capacidad para desempeñar sus funciones. Además:

• De dentro o de fuera. Puede formar parte de la plantilla o desempeñar sus funciones en el marco de un contrato de servicios.
• Con otras tareas, sin conflicto. Puede tener otras funciones, siempre que no den lugar a conflicto de intereses.
• Con la dedicación que haga falta. La LOPDGDD permite fijar una dedicación completa o a tiempo parcial, entre otros criterios, en función del volumen de los tratamientos, la categoría especial de los datos tratados o los riesgos.
• Independiente. No recibe instrucciones sobre el desempeño de sus funciones, no puede ser destituido ni sancionado por desempeñarlas y rinde cuentas directamente al más alto nivel jerárquico de la clínica.
• Certificación voluntaria. La LOPDGDD prevé que sus requisitos se puedan demostrar, entre otros medios, con mecanismos voluntarios de certificación, y la AEPD promueve un esquema de certificación de delegados.

Qué hace el delegado en una clínica

El delegado informa, asesora y supervisa; no es quien decide por la clínica. Sus funciones mínimas las fija el artículo 39 del RGPD:

• informar y asesorar a la clínica y a los empleados que se ocupen del tratamiento de las obligaciones que les incumben;
• supervisar el cumplimiento, incluida la asignación de responsabilidades, la concienciación y formación del personal y las auditorías correspondientes;
• ofrecer el asesoramiento que se le solicite sobre la evaluación de impacto y supervisar su aplicación (cuándo hace falta una lo vemos en la evaluación de impacto en una clínica);
• cooperar con la autoridad de control y actuar como su punto de contacto.

La clínica, por su parte, tiene que garantizar que participe de forma adecuada y en tiempo oportuno en todas las cuestiones relativas a la protección de datos. Y la LOPDGDD le da herramientas concretas:

• Acceso a los datos. En el ejercicio de sus funciones tiene acceso a los datos personales y a los procesos de tratamiento, y la clínica no puede oponerle la existencia de un deber de confidencialidad o secreto. A cambio, el RGPD le obliga a mantener el secreto o la confidencialidad en el desempeño de sus funciones.
• Interlocutor. Actúa como interlocutor de la clínica ante la AEPD y las autoridades autonómicas de protección de datos.
• Reclamaciones de pacientes. Antes de reclamar ante la AEPD, el paciente puede dirigirse al delegado, que le comunicará la decisión en el plazo máximo de dos meses. Si la reclamación llega a la AEPD, esta puede remitírsela al delegado para que responda en el plazo de un mes.
• Vulneraciones. Si aprecia una vulneración relevante, la documenta y la comunica inmediatamente a los órganos de administración y dirección.

Comunicarlo a la AEPD y darlo a conocer

Designar al delegado no basta: hay que comunicarlo y publicar cómo contactar con él.

1. Publicar sus datos de contacto y comunicarlos a la autoridad de control, como pide el RGPD.
2. En diez días. La LOPDGDD da ese plazo para comunicar a la AEPD o, en su caso, a la autoridad autonómica, las designaciones, nombramientos y ceses, tanto si la designación es obligada como si es voluntaria. La AEPD tiene un formulario para hacerlo en su sede electrónica.
3. En la información a los pacientes. El artículo 13 del RGPD incluye los datos de contacto del delegado, en su caso, entre lo que hay que facilitar al paciente. Cómo darla lo contamos en cómo informar a los pacientes sobre sus datos.

Una vez nombrado, los pacientes pueden ponerse en contacto con él por todas las cuestiones relativas al tratamiento de sus datos y al ejercicio de sus derechos.

Lo que el delegado querrá ver en tu programa

Un delegado que revisa una clínica acaba preguntando por el programa de gestión: quién entra, qué ve cada uno y si queda rastro. En Mi Clínica:

• Usuarios y puestos. Cada persona del equipo entra con su usuario y ve lo que le toca a su puesto: recepción, administración, dirección o profesional sanitario.
• Rastro de consultas. Queda registrado quién consulta la historia clínica, con usuario, fecha y hora. Si quien abre la ficha no tiene acceso clínico, consta que abrió la ficha del paciente, no que consultó la historia. También quedan anotadas las consultas de documentos y fotos y la descarga de una foto, y quien tiene acceso clínico lo ve en la pestaña Actividad de la ficha.
• Cambios de permisos. Los permisos de cada persona los cambia quien tiene el permiso de gestión, que de serie tienen Dirección y Administración, salvo lo clínico (el acceso a la historia y la receta), que solo concede o quita Dirección, y los cambios de permisos quedan registrados.
• Cada clínica, aislada. Ninguna clínica puede ver datos de otra.

Ese rastro es material de trabajo para el delegado cuando revisa los accesos. Lo que el programa no hace es el trabajo del delegado ni acreditar que tu clínica cumpla ninguna norma. Cómo repartir los accesos por puesto lo contamos en quién puede ver la historia clínica, y el resto de funciones están en la página de Mi Clínica.

Fuentes consultadas

Comprobadas el 11 de octubre de 2026. Enlazamos la fuente original para que puedas consultar el texto vigente.

• Ley Orgánica 3/2018, de Protección de Datos Personales y garantía de los derechos digitales (texto consolidado). BOE.
• Reglamento (UE) 2016/679, Reglamento general de protección de datos. BOE (DOUE).
• Ley 41/2002, básica reguladora de la autonomía del paciente y de derechos y obligaciones en materia de información y documentación clínica (texto consolidado). BOE.
• Guía para pacientes y usuarios de la Sanidad. AEPD.
• Designación de un delegado de protección de datos. AEPD.