Protección de datos en una clínica: lo básico que debes tener

La protección de datos en una clínica privada parte de una idea: los datos de salud son una categoría especial. Tratarlos exige una base jurídica, informar a cada paciente, llevar un registro de actividades, aplicar medidas de seguridad adecuadas al riesgo, designar un delegado si eres un centro sanitario (salvo que ejerzas a título individual) y elegir bien a quien trata datos por ti.

Por qué los datos de una clínica son especiales

Los datos de salud que maneja una clínica son especiales porque el RGPD los incluye entre las categorías especiales de datos personales. El Reglamento general de protección de datos define los datos relativos a la salud como los «datos personales relativos a la salud física o mental de una persona física, incluida la prestación de servicios de atención sanitaria, que revelen información sobre su estado de salud». Buena parte de lo que se anota en la ficha de un paciente encaja en esa definición.

El artículo 9 del RGPD prohíbe tratar datos relativos a la salud salvo en los supuestos que enumera. El que encaja con el trabajo diario de una clínica es el de la letra h): que el tratamiento sea necesario para el diagnóstico médico o la prestación de asistencia o tratamiento de tipo sanitario. Para ese fin, el RGPD pone una condición: que el tratamiento lo haga un profesional sujeto a secreto profesional o alguien bajo su responsabilidad, u otra persona también sujeta a secreto.

En España lo concreta la disposición adicional decimoséptima de la LOPDGDD (la ley orgánica de protección de datos): declara amparados en las letras g) a j) de ese artículo 9.2 los tratamientos de datos de salud regulados en varias leyes, entre ellas la Ley 41/2002, básica reguladora de la autonomía del paciente.

La consecuencia práctica la resume la AEPD en su guía para pacientes y usuarios de la sanidad: no es necesario que el centro sanitario pida el consentimiento del paciente para recoger y usar sus datos de salud con fines de diagnóstico médico o de prestación de asistencia sanitaria. Sí habrá que pedirlo para algunos otros fines; la propia guía pone el ejemplo del fisioterapeuta que quiere enviar publicidad.

Si tu centro no es sanitario, por ejemplo un centro de estética sin actividad sanitaria, la base para tratar datos de salud puede ser otra: compruébalo con tu asesor antes de copiar lo que hace una clínica médica.

Informar a cada paciente

Que no haga falta el consentimiento para atenderle no te exime de informarle. Según el artículo 13 del RGPD, cuando obtienes los datos del propio paciente tienes que facilitarle, en ese momento, entre otras cosas:

• la identidad y los datos de contacto de la clínica, y los del delegado de protección de datos, en su caso;
• los fines del tratamiento y su base jurídica;
• los destinatarios de los datos, si los hay;
• el plazo durante el cual se conservarán, o los criterios para determinarlo;
• sus derechos, incluido el de presentar una reclamación ante una autoridad de control.

La LOPDGDD permite hacerlo en dos capas: una información básica, con la identidad del responsable, la finalidad y la posibilidad de ejercer los derechos, y una dirección electrónica u otro medio que permita acceder de forma sencilla e inmediata a la restante información. Qué poner en cada capa y cómo entregarlo en recepción lo explicamos en cómo informar a los pacientes sobre sus datos.

El registro de actividades de tratamiento

El registro de actividades es el inventario de lo que la clínica hace con datos personales, y el artículo 30 del RGPD pide que cada responsable lo lleve. Entre otras cosas, recoge los fines de cada tratamiento, una descripción de las categorías de interesados y de datos, las categorías de destinatarios y, cuando sea posible, los plazos previstos para suprimir los datos y una descripción general de las medidas de seguridad.

¿Y si la clínica es pequeña? El RGPD exime de llevarlo a las organizaciones que emplean a menos de 250 personas, pero no cuando el tratamiento incluye categorías especiales de datos, como los de salud. En la práctica, una clínica que trata historias clínicas no puede acogerse a esa excepción por su tamaño. Cómo organizarlo con las actividades típicas de una clínica (pacientes, citas, facturación, equipo) lo contamos en el registro de actividades de tratamiento en una clínica.

Seguridad y confidencialidad

El RGPD no da una lista cerrada de medidas de seguridad: pide al responsable aplicar medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, teniendo en cuenta, entre otras cosas, la naturaleza, el alcance, el contexto y los fines del tratamiento.

Con datos de salud, la LOPDGDD te pone sobre aviso: entre los supuestos de mayor riesgo que hay que tener en cuenta cita el tratamiento no meramente incidental o accesorio de las categorías especiales de datos. Y añade que los responsables valorarán si procede hacer una evaluación de impacto; cuándo toca en una clínica lo vemos en la evaluación de impacto en una clínica.

La confidencialidad también es una medida. La LOPDGDD sujeta al deber de confidencialidad a todas las personas que intervengan en cualquier fase del tratamiento, y ese deber se mantiene aun cuando haya terminado su relación con el responsable. Y el RGPD pide tomar medidas para que quien actúa bajo la autoridad del responsable y tiene acceso a datos personales solo pueda tratarlos siguiendo sus instrucciones.

En una clínica, eso se traduce en hábitos concretos:

1. Un usuario por persona. Sin contraseñas compartidas en recepción: si no, no hay forma de saber quién hizo qué.
2. Cada puesto ve lo que necesita. Quien da citas y cobra no necesita leer las evoluciones.
3. Altas y bajas al día. Quien deja la clínica se queda sin acceso ese mismo día.
4. Nada de datos de pacientes en el móvil personal ni en chats privados.
5. Revisión periódica de quién tiene acceso a qué y de quién ha consultado cada historia.

El delegado de protección de datos

Un centro sanitario obligado a llevar historias clínicas tiene que designar un delegado de protección de datos. La LOPDGDD incluye en su lista a «los centros sanitarios legalmente obligados al mantenimiento de las historias clínicas de los pacientes», y exceptúa a los profesionales de la salud que, aun estando legalmente obligados a mantener las historias clínicas, ejerzan su actividad a título individual.

La guía de la AEPD para pacientes pone ejemplos de los dos lados: tienen que tener delegado los hospitales, los centros de salud, los centros de atención especializada y las clínicas; no tienen que tenerlo las consultas privadas de un profesional sanitario. Quién puede ser, qué funciones tiene y cómo se comunica a la AEPD lo explicamos en el delegado de protección de datos en una clínica.

Proveedores que tratan datos por ti, y brechas

Un proveedor que trata datos de tus pacientes por cuenta de la clínica, como el programa de gestión en la nube, es un encargado del tratamiento. El artículo 28 del RGPD pide a la clínica que elija únicamente un encargado que ofrezca garantías suficientes, y que la relación se rija por un contrato u otro acto jurídico que establezca el objeto, la duración, la naturaleza y la finalidad del tratamiento, el tipo de datos personales y categorías de interesados, y las obligaciones y derechos del responsable. Ese contrato constará por escrito, inclusive en formato electrónico.

Pídelo antes de meter el primer paciente en un servicio nuevo, y apúntalo en tu registro de actividades junto a lo que trata cada proveedor.

Si algo sale mal, por ejemplo un acceso indebido o la pérdida de un portátil con datos, el RGPD obliga a notificar la violación de seguridad a la autoridad de control sin dilación indebida y, de ser posible, a más tardar 72 horas después de tener constancia de ella, salvo que sea improbable que constituya un riesgo para los derechos y libertades de las personas.

Lo que hace Mi Clínica y lo que decide la clínica

Quien cumple la normativa es la clínica: el programa no acredita el cumplimiento de ninguna norma. Lo que sí hace Mi Clínica es facilitar algunas de las medidas de este artículo:

• Cada clínica, aislada. Ninguna clínica puede ver datos de otra.
• Un usuario por persona y permisos por rol. Cada persona del equipo entra con su usuario y ve lo que le toca a su puesto. De serie, Recepción lleva agenda, pacientes, cobros y documentos administrativos, sin permiso clínico, y el profesional sanitario ve su agenda y su parte clínica.
• Quién cambia los permisos. Los permisos individuales los cambia quien tiene el permiso de gestión, que de serie tienen Dirección y Administración, salvo lo clínico (el acceso a la historia y la receta), que solo concede o quita Dirección, y los cambios de permisos quedan registrados. Conviene que ese permiso lo tengan pocas personas.
• Rastro de consultas. Queda registrado quién consulta la historia clínica, con usuario, fecha y hora. También quedan anotadas las consultas de documentos y fotos.

Lo que el programa no hace es redactar tu información completa para pacientes, llevar tu registro de actividades o decidir qué necesita ver cada puesto: eso lo decide la clínica, con su asesor. El resumen de funciones está en la página de Mi Clínica.

Fuentes consultadas

Comprobadas el 11 de octubre de 2026. Enlazamos la fuente original para que puedas consultar el texto vigente.

• Reglamento (UE) 2016/679, Reglamento general de protección de datos. BOE (DOUE).
• Ley Orgánica 3/2018, de Protección de Datos Personales y garantía de los derechos digitales (texto consolidado). BOE.
• Guía para pacientes y usuarios de la Sanidad. AEPD.
• Ley 41/2002, básica reguladora de la autonomía del paciente y de derechos y obligaciones en materia de información y documentación clínica (texto consolidado). BOE.