Registro de actividades de tratamiento en una clínica

El registro de actividades de tratamiento de una clínica es el inventario, por escrito, de lo que hace con datos personales: para qué los usa, de quién son, qué datos son, a quién se comunican, cuánto tiempo se guardan y cómo se protegen. Lo pide el artículo 30 del RGPD y, con datos de salud de por medio, el tamaño de la clínica no la libra.

Qué es y quién tiene que llevarlo

El registro lo lleva quien decide para qué y cómo se tratan los datos: en una clínica, la propia clínica. El RGPD dice que cada responsable llevará un registro de las actividades de tratamiento efectuadas bajo su responsabilidad. Y entiende por tratamiento casi cualquier cosa que se haga con un dato: recogerlo, registrarlo, conservarlo, consultarlo, comunicarlo o destruirlo, entre otras operaciones.

La LOPDGDD añade un criterio práctico: el registro podrá organizarse en torno a conjuntos estructurados de datos y deberá especificar, según sus finalidades, las actividades de tratamiento. Dicho de otro modo: puedes agruparlo por conjuntos de datos, pero cada actividad se describe por su finalidad, no por el programa en el que se guarda.

Dos detalles que suelen confundir:

• Constará por escrito, inclusive en formato electrónico. Vale un documento o una hoja de cálculo bien mantenida.
• No se envía a la AEPD para que lo apruebe. El RGPD pide ponerlo a disposición de la autoridad de control que lo solicite.

El proveedor que trata datos por cuenta de la clínica, como el programa de gestión, tiene que llevar además su propio registro: el RGPD pide a cada encargado un registro de todas las categorías de actividades de tratamiento efectuadas por cuenta de un responsable. Ese registro es del proveedor y no sustituye al tuyo.

Por qué la excepción de las 250 personas no sirve a una clínica

La excepción por tamaño existe, pero no alcanza a quien trata datos de salud. El artículo 30.5 del RGPD dice que estas obligaciones no se aplicarán a ninguna empresa ni organización que emplee a menos de 250 personas, a menos que el tratamiento pueda entrañar un riesgo para los derechos y libertades de los interesados, no sea ocasional o incluya categorías especiales de datos personales.

Una clínica cumple al menos dos de esas condiciones a la vez: trata datos de pacientes todos los días, así que el tratamiento no es ocasional, y los datos relativos a la salud son una categoría especial. Por eso una consulta con dos profesionales y una persona en recepción no puede ampararse en que es pequeña. Por qué los datos de salud son especiales lo explicamos en protección de datos en una clínica.

Qué tiene que decir cada actividad

Cada actividad del registro tiene que recoger la información que enumera el artículo 30.1 del RGPD. Esta tabla la pone al lado de un ejemplo de clínica; los ejemplos son orientativos y los tienes que ajustar a lo que hace tu centro.

Lo que pide el RGPD	Ejemplo en una clínica
a) Nombre y datos de contacto del responsable y, en su caso, del delegado de protección de datos	La sociedad o el profesional titular de la clínica, su dirección y correo, y los del delegado si lo hay
b) Los fines del tratamiento	Prestar la asistencia sanitaria y llevar la historia clínica
c) Categorías de interesados y de datos personales	Pacientes y, si son menores, sus representantes; datos identificativos, de contacto y de salud
d) Categorías de destinatarios	A quién se comunican: por ejemplo, el laboratorio que hace los análisis o el proveedor del programa de gestión
e) Transferencias a terceros países, en su caso	Si algún proveedor trata los datos fuera de la Unión Europea, cuál y con qué garantías
f) Plazos previstos para suprimir los datos, cuando sea posible	Para la historia clínica, el plazo legal de conservación y lo que añada la norma de tu comunidad autónoma, si la hay
g) Descripción general de las medidas de seguridad, cuando sea posible	Usuarios personales, permisos por puesto, registro de quién consulta la historia

En la letra d), recuerda que para el RGPD es destinatario la persona u organismo al que se comuniquen datos personales, se trate o no de un tercero: también cuenta el proveedor que los trata por ti. La propia AEPD pone como ejemplo de encargado a los prestadores de servicios externos que realizan análisis de sangre y otras pruebas.

En la letra f), el plazo mínimo de la historia clínica no lo eliges tú: la Ley 41/2002 obliga a conservar la documentación clínica durante el tiempo adecuado a cada caso y, como mínimo, cinco años contados desde la fecha del alta de cada proceso asistencial. Los matices, y lo que puede añadir tu comunidad autónoma, están en cuánto tiempo conservar la historia clínica.

Las actividades típicas de una clínica

Las actividades de una clínica se reconocen por su finalidad. Estas cuatro son un punto de partida. No hay una plantilla oficial con estos nombres: es una forma razonable de empezar, que tendrás que adaptar.

1. Pacientes e historia clínica. La asistencia: ficha, historia, consentimientos, fotos clínicas y documentos de cada paciente. Es la actividad con datos de salud y la que más cuidado pide.
2. Agenda y citas. Dar, cambiar y anular citas y localizar al paciente. Puedes describirla dentro de la anterior o aparte; lo importante es que no quede fuera.
3. Facturación y cobros. Facturas, cobros, presupuestos y lo pendiente de pago. Sus plazos de conservación son los de la normativa mercantil y fiscal, no los de la historia clínica: pregúntaselo a tu asesoría.
4. Equipo. Los datos de las personas que trabajan en la clínica: contratos, nóminas y accesos al programa.

Y estas otras, solo si las haces:

• Comunicaciones comerciales a pacientes.
• Fotos de pacientes para la web o las redes, separadas de las fotos clínicas y con su propio consentimiento. Lo contamos en fotos de pacientes antes y después.
• Videovigilancia en la entrada o en la recepción.
• Candidatos que envían su currículum.

Mantenerlo al día

Un registro sirve mientras describe lo que la clínica hace hoy, así que hay que tocarlo cada vez que algo cambia. Las ocasiones típicas:

• contratas un proveedor nuevo que va a ver datos de pacientes, o cambias de programa de gestión;
• abres una especialidad nueva o empiezas a atender a menores;
• empiezas a usar fotos de pacientes fuera de la consulta;
• cambias el plazo o la forma de destruir documentación antigua.

Si la clínica tiene delegado de protección de datos, la LOPDGDD obliga a comunicarle cualquier adición, modificación o exclusión en el contenido del registro. Cuándo una clínica tiene que tenerlo lo explicamos en el delegado de protección de datos en una clínica.

Un buen hábito, aunque ninguna norma fije la fecha: revisarlo una vez al año, el mismo día en que revisas quién tiene acceso a qué.

Qué datos trata tu clínica en Mi Clínica

Si llevas la clínica con Mi Clínica, el programa no redacta tu registro, pero te ayuda a saber qué poner en él, porque reúne en un solo sitio casi todas las actividades de arriba:

• Pacientes: la historia general con alergias, medicación, antecedentes y hábitos, y la historia por especialidad, con su body chart y sus archivos.
• Agenda: cada cita con su estado, de planificada a finalizada, no presentado o cancelada.
• Cobros: facturas y cobros en efectivo, tarjeta, Bizum o transferencia.
• Equipo: cada persona entra con su usuario y ve lo que le toca a su puesto.

Para la letra g) puedes describir medidas que el programa aplica: cada clínica está aislada y ninguna puede ver datos de otra; hay permisos por rol; y queda registrado quién consulta la historia clínica, con usuario, fecha y hora. Lo que el programa no hace es decidir tus finalidades, tus plazos o tus proveedores: eso lo fija la clínica, con su asesor. Tienes el resumen de funciones en la página de Mi Clínica.

Fuentes consultadas

Comprobadas el 11 de octubre de 2026. Enlazamos la fuente original para que puedas consultar el texto vigente.

• Reglamento (UE) 2016/679, Reglamento general de protección de datos. BOE (DOUE).
• Ley Orgánica 3/2018, de Protección de Datos Personales y garantía de los derechos digitales (texto consolidado). BOE.
• Guía para pacientes y usuarios de la Sanidad. AEPD.
• Ley 41/2002, básica reguladora de la autonomía del paciente (texto consolidado). BOE.