¿Necesita tu clínica una evaluación de impacto?
La evaluación de impacto en protección de datos de una clínica (EIPD) es un análisis, hecho antes de empezar, de un tratamiento que puede entrañar un alto riesgo para los pacientes. No toda clínica la necesita: la AEPD la considera necesaria en la mayoría de los casos en que un tratamiento reúne dos o más criterios de su lista, y los datos de salud ya son uno.
Qué es una evaluación de impacto
Una evaluación de impacto es el estudio previo que el RGPD pide cuando un tratamiento probablemente entrañe un alto riesgo. El artículo 35 del RGPD dice que, cuando sea probable que un tipo de tratamiento, en particular si utiliza nuevas tecnologías, por su naturaleza, alcance, contexto o fines, entrañe un alto riesgo para los derechos y libertades de las personas físicas, el responsable realizará, antes del tratamiento, una evaluación del impacto.
Tres ideas de ese artículo que conviene tener claras desde el principio:
- Se hace antes de empezar el tratamiento, no cuando ya lleva meses en marcha.
- La hace el responsable, es decir, la clínica. Un proveedor puede ayudarte con información, pero la evaluación es tuya.
- Una sola evaluación puede abarcar varias operaciones de tratamiento similares que entrañen altos riesgos similares.
En España, la LOPDGDD lo conecta con las obligaciones generales del responsable: al decidir sus medidas, los responsables valorarán si procede la realización de la evaluación de impacto, y tendrán en cuenta los mayores riesgos de algunos supuestos. Entre ellos están el tratamiento no meramente incidental o accesorio de las categorías especiales de datos y el tratamiento de datos de grupos en situación de especial vulnerabilidad, en particular de menores de edad y personas con discapacidad.
Lo que dice el RGPD de los datos de salud a gran escala
El RGPD exige la evaluación en particular cuando hay un tratamiento a gran escala de categorías especiales de datos, como los de salud. Es el supuesto de la letra b) del artículo 35.3, y el primero que conviene mirar en una clínica.
¿Qué es «a gran escala»? El RGPD no da una cifra. Su considerando 91, que no es un artículo sino parte de la explicación que precede al articulado, orienta en un extremo: el tratamiento de datos personales no debe considerarse a gran escala si lo realiza, respecto de datos de pacientes o clientes, un solo médico u otro profesional de la salud. Y añade que, en estos casos, la evaluación de impacto no debe ser obligatoria.
Entre el profesional que trabaja solo y un hospital hay mucho terreno, y ahí es donde una clínica con varios profesionales tiene que mirar más allá de la gran escala: a la lista que publica la AEPD.
La lista de la AEPD: la regla de los dos criterios
El RGPD encarga a cada autoridad de control publicar una lista de los tipos de tratamiento que requieren evaluación de impacto. La lista de la AEPD es orientativa y no exhaustiva, y fija una regla práctica: será necesario realizar una evaluación en la mayoría de los casos en que el tratamiento cumpla dos o más criterios de la lista, salvo que el tratamiento esté en su lista de los que no la requieren. Cuantos más criterios reúna, mayor será el riesgo y mayor la certeza de que hace falta.
Estos son los criterios de la lista que más a menudo se cruzan con una clínica:
| Criterio de la AEPD | Cuándo puede darse en una clínica |
|---|---|
| 4. Uso de categorías especiales de datos del artículo 9.1 del RGPD | Siempre que se lleve historia clínica: los datos de salud lo son |
| 9. Datos de sujetos vulnerables, incluidos menores de 14 años y mayores con algún grado de discapacidad | Si atiendes a menores de 14 años o a personas mayores con algún grado de discapacidad |
| 7. Uso de datos a gran escala | Depende del volumen: la AEPD remite a los criterios de la guía europea WP243, sobre los delegados de protección de datos |
| 10. Nuevas tecnologías o uso innovador de tecnologías consolidadas | Si incorporas una herramienta nueva que trata datos de salud de una forma nueva |
| 8. Asociación o combinación de bases de datos con finalidades diferentes | Si cruzas la historia clínica con otros datos, por ejemplo de marketing |
Fíjate en la primera fila: en una clínica, el criterio 4 se cumple casi siempre. Por eso la pregunta útil no es si tratas datos de salud, sino si además se da alguno de los otros.
Tres situaciones de clínica
Con la regla de los dos criterios, una clínica puede hacerse una primera idea de su caso. Estos ejemplos sirven para orientarte, no para decidir por ti: la decisión final tómala con tu delegado de protección de datos o tu asesor.
Un profesional que trabaja por su cuenta y atiende a adultos
Cumple el criterio 4 y, en principio, ninguno más, así que no se da la regla de los dos criterios. Además, según el considerando 91, el tratamiento de un solo profesional de la salud no debe considerarse a gran escala. Y la AEPD incluye en su lista de tratamientos que no requieren evaluación los realizados por trabajadores autónomos que ejerzan de forma individual, en particular médicos, profesionales de la salud o abogados, sin perjuicio de que pueda requerirse cuando el tratamiento cumpla, de forma significativa, con dos o más criterios de la lista anterior. La propia AEPD pide que la decisión de no hacerla esté suficientemente fundamentada: déjala por escrito y revísala si cambias de forma de trabajar.
Una clínica que atiende a niños
A los datos de salud se suma el criterio 9, que nombra expresamente a los menores de 14 años. Son dos criterios, así que, según la lista de la AEPD, en la mayoría de los casos será necesaria la evaluación. Pasa lo mismo si atiendes de forma habitual a personas mayores con algún grado de discapacidad.
Una clínica que estrena una herramienta
Si incorporas una aplicación nueva que trata datos de salud de una forma nueva, por ejemplo una que analiza automáticamente la historia de los pacientes, puede entrar en juego el criterio 10. Si se da, junto con los datos de salud serían dos criterios; y si la evaluación hace falta, se hace antes de usar la herramienta con pacientes reales.
Qué tiene que incluir y quién participa
El RGPD fija un contenido mínimo para la evaluación, y lo enumera en su artículo 35.7:
- Una descripción sistemática de las operaciones de tratamiento previstas y de sus fines.
- Una evaluación de la necesidad y la proporcionalidad de esas operaciones con respecto a su finalidad.
- Una evaluación de los riesgos para los derechos y libertades de los pacientes.
- Las medidas previstas para afrontar los riesgos, incluidas garantías, medidas de seguridad y mecanismos que garanticen la protección de los datos.
Sobre quién participa, el RGPD pide al responsable recabar el asesoramiento del delegado de protección de datos, si ha sido nombrado. Si tu clínica tiene que tenerlo, lo explicamos en el delegado de protección de datos en una clínica.
Y dos pasos que se olvidan:
- Revisarla. El responsable examinará si el tratamiento es conforme con la evaluación, al menos cuando cambie el riesgo.
- Consultar a la autoridad. Si la evaluación muestra que el tratamiento entrañaría un alto riesgo si no se toman medidas para mitigarlo, el responsable consultará a la autoridad de control antes de empezar.
La evaluación de impacto encaja con el resto de piezas de la protección de datos de una clínica, como el deber de informar o las medidas de seguridad: tienes el mapa completo en protección de datos en una clínica.
Lo que puedes describir de tu programa de gestión
En el apartado de medidas de la evaluación tendrás que describir cómo protege los datos el programa con el que llevas la clínica. Si usas Mi Clínica, estas son medidas que puedes comprobar y describir:
- Aislamiento entre clínicas. Ninguna clínica puede ver datos de otra.
- Acceso por puesto. Cada persona del equipo entra con su usuario y ve lo que le toca a su puesto; de serie, Recepción no tiene permiso clínico.
- Rastro de consultas. Queda registrado quién consulta la historia clínica, con usuario, fecha y hora.
- Inteligencia artificial sin datos de salud. El asistente de IA viene apagado y solo ayuda en gestión, como citas, huecos o facturación: no recibe datos de salud.
Lo que el programa no hace es la evaluación: no decide si la necesitas ni acredita que tu clínica cumpla ninguna norma. Eso lo decide la clínica. Tienes el resumen de funciones en la página de Mi Clínica.
Fuentes consultadas
Comprobadas el 11 de octubre de 2026. Enlazamos la fuente original para que puedas consultar el texto vigente.
- Reglamento (UE) 2016/679, Reglamento general de protección de datos. BOE (DOUE).
- Ley Orgánica 3/2018, de Protección de Datos Personales y garantía de los derechos digitales (texto consolidado). BOE.
- Listas de tipos de tratamientos de datos que requieren evaluación de impacto relativa a protección de datos (art. 35.4). AEPD.
- Lista orientativa de tipos de tratamientos que no requieren una evaluación de impacto (art. 35.5 RGPD). AEPD.
Preguntas frecuentes
¿Qué diferencia hay entre una evaluación de impacto y un análisis de riesgos?
Todo responsable tiene que valorar los riesgos de sus tratamientos para elegir sus medidas de seguridad. La evaluación de impacto es un estudio más completo, con un contenido mínimo que fija el RGPD, que se exige cuando un tratamiento probablemente entrañe un alto riesgo.
¿Hay que enviar la evaluación de impacto a la AEPD?
No como regla general. Solo hay que consultar a la autoridad de control antes de empezar cuando la evaluación muestra que el tratamiento entrañaría un alto riesgo si no se toman medidas para mitigarlo.
¿Una evaluación vale para siempre?
No. El RGPD pide examinar si el tratamiento sigue siendo conforme con la evaluación, al menos cuando cambie el riesgo: por ejemplo, si empiezas a atender a otro tipo de pacientes o incorporas una herramienta nueva.
¿Puedo hacer una sola evaluación para toda la clínica?
El RGPD permite que una única evaluación aborde una serie de operaciones de tratamiento similares que entrañen altos riesgos similares. Si un tratamiento es muy distinto del resto, lo prudente es evaluarlo aparte.