Cláusula informativa de protección de datos para pacientes

La cláusula informativa de protección de datos para pacientes es el texto con el que la clínica cuenta a cada paciente quién trata sus datos, para qué y con qué base, a quién se comunican, cuánto tiempo se guardan y qué derechos tiene. Se da cuando se recogen los datos, y la LOPDGDD permite entregarla por capas.

Qué información hay que dar

La información que hay que dar la fija el artículo 13 del Reglamento general de protección de datos para cuando los datos se obtienen del propio paciente. Es una de las piezas básicas de la protección de datos en una clínica, y esto es lo que pide, con lo que significa en una consulta:

Lo que pide el RGPD	En una clínica
La identidad y los datos de contacto del responsable	Quién es la clínica (su nombre o razón social) y cómo contactar con ella.
Los datos de contacto del delegado de protección de datos, en su caso	Si la clínica tiene delegado. Cuándo hace falta lo vemos en el delegado de protección de datos en una clínica.
Los fines del tratamiento y su base jurídica	Para qué usas los datos, como la asistencia o la facturación, y en qué se apoya cada uso.
Los destinatarios de los datos, en su caso	A quién se comunican, si se comunican a alguien.
La intención de transferir los datos a un tercer país, en su caso	Solo si está previsto que salgan a un tercer país u organización internacional.
El plazo de conservación, o los criterios para determinarlo	Cuánto tiempo guardas cada cosa. Para la historia clínica, la Ley 41/2002 fija un mínimo que explicamos en cuánto tiempo conservar la historia clínica.
Los derechos de acceso, rectificación, supresión, limitación, oposición y portabilidad	Que existen y cómo ejercerlos.
El derecho a retirar el consentimiento, cuando el tratamiento se base en él	Solo para lo que se apoye en su consentimiento, como el envío de publicidad.
El derecho a presentar una reclamación ante una autoridad de control	Según la guía de la AEPD, ante la Agencia Española de Protección de Datos, o ante la autoridad catalana, vasca o andaluza si el centro está integrado en la sanidad pública de esa comunidad.
Si dar los datos es un requisito legal o contractual, y las consecuencias de no darlos	Qué datos son imprescindibles para darle cita o facturarle.
Las decisiones automatizadas y la elaboración de perfiles, si las hay	Solo si las hay.

Cuándo hay que darla

La información se da al recoger los datos: el RGPD dice que el responsable la facilitará «en el momento en que estos se obtengan». En una clínica, ese momento suele ser el alta del paciente, antes de la primera visita. Hay tres matices:

• Si ya la tiene, no hace falta repetirla. El artículo 13 no se aplica cuando y en la medida en que el paciente ya disponga de la información, así que no hay que darla en cada visita.
• Si vas a usar los datos para otro fin, por ejemplo para enviarle novedades de la clínica, tienes que informarle de ese fin antes de empezar. Y ese fin puede necesitar, además, su consentimiento.
• Si los datos no te los da el propio paciente, se aplica el artículo 14 del RGPD, con sus propias excepciones: como regla, hay que informarle dentro de un plazo razonable y a más tardar en un mes, o antes si vas a comunicarte con él o a comunicar sus datos a otro destinatario. En ese caso, la LOPDGDD añade a la información básica las categorías de datos y las fuentes de las que proceden.

La información por capas

La información por capas es la forma de informar sin entregar un folleto entero en el mostrador. La LOPDGDD permite cumplir el deber de informar dando al paciente una información básica e indicándole una dirección electrónica u otro medio que permita acceder de forma sencilla e inmediata a la restante información. Su preámbulo la llama «información por capas», y la AEPD la explica en su guía para pacientes como una información de lo fundamental y una remisión a la página web o a un folleto para conocer el resto.

La información básica debe contener, al menos:

• la identidad del responsable del tratamiento y de su representante, en su caso;
• la finalidad del tratamiento;
• la posibilidad de ejercer los derechos de los artículos 15 a 22 del RGPD.

Si los datos se van a usar para elaborar perfiles, la información básica también tiene que decirlo. El resto de la tabla anterior puede ir en la segunda capa, siempre que el paciente llegue a ella de forma sencilla e inmediata.

Capa	Qué lleva	Dónde puede ir
Primera	Quién trata los datos, para qué, qué derechos tiene el paciente y dónde leer el resto.	En el documento que el paciente lee en el alta.
Segunda	Toda la información de la tabla anterior.	En la web de la clínica, con una copia a mano en recepción.

Cómo escribirla para que se entienda

Una cláusula se entiende cuando responde a preguntas sencillas con frases cortas. La forma también está en la norma: el RGPD pide facilitar la información en forma concisa, transparente, inteligible y de fácil acceso, con un lenguaje claro y sencillo, y dice que se dará por escrito o por otros medios, inclusive, si procede, por medios electrónicos.

1. Informar no es pedir permiso. La guía de la AEPD para pacientes lo dice así: cuando alguien acude al centro sanitario para recibir asistencia, por lo general no hay que pedirle el consentimiento para tratar sus datos, pero sí hay que informarle. Lo explicamos en consentimiento informado y protección de datos.
2. Lo que sí necesita consentimiento, aparte. Si en el mismo papel pides algo que sí lo necesita, como recibir publicidad, el RGPD pide que esa solicitud se distinga claramente de los demás asuntos.
3. Ordenada por preguntas: quién trata los datos, para qué, a quién se comunican, cuánto tiempo se guardan y qué puede hacer el paciente.
4. Nada copiado de otra clínica. Los fines, los destinatarios y los plazos tienen que ser los tuyos.

Cómo entregarla en recepción sin papeleo

En recepción, lo práctico es entregar la primera capa en el alta y dejar la segunda a un enlace de distancia. Una forma de organizarlo:

1. En el alta, la primera capa va en un documento que el paciente lee en la tablet y firma. La firma no es la única forma de informar, pero te ayuda a demostrarlo: el RGPD hace al responsable responsable del cumplimiento y le pide ser «capaz de demostrarlo».
2. La segunda capa, en la política de privacidad de tu web, con la dirección escrita en el propio documento, y una copia impresa en recepción para quien la pida.
3. Si cambia algo, como un fin nuevo o un proveedor nuevo, actualiza la segunda capa y, si es un fin nuevo, informa antes de empezar.
4. Con constancia: guarda el documento firmado en la ficha del paciente y anota qué versión del texto estaba vigente.

Cómo lo hace Mi Clínica

En Mi Clínica, al dar de alta a un paciente, la casilla «Protección de datos (RGPD)» viene marcada: al guardar, se genera el documento de protección de datos de ese paciente para que lo firme. El paciente lo firma en la tablet, y la firma queda guardada como evidencia, sin que se pueda modificar.

El texto que trae de serie ese documento es breve: dice para qué se tratan los datos (la gestión asistencial, administrativa y de comunicación con el paciente) y cómo ejercer los derechos. No sustituye a tu información completa: revisa con tu asesor que tu primera capa incluya todo lo que pide la ley, también dónde consultar el resto.

Lo que el programa no hace: no redacta tu cláusula, no publica tu política de privacidad ni decide los fines o los plazos de tu clínica. El resumen de cómo funcionan los documentos está en documentos y firma.

Fuentes consultadas

Comprobadas el 11 de octubre de 2026. Enlazamos la fuente original para que puedas consultar el texto vigente.

• Ley Orgánica 3/2018, de Protección de Datos Personales y garantía de los derechos digitales (texto consolidado). BOE.
• Reglamento (UE) 2016/679, Reglamento general de protección de datos. BOE (DOUE).
• Guía para pacientes y usuarios de la Sanidad. AEPD.
• Ley 41/2002, básica reguladora de la autonomía del paciente y de derechos y obligaciones en materia de información y documentación clínica (texto consolidado). BOE.