En la práctica clínica, la norma es no enviar información sanitaria por correo ordinario. Si es estrictamente necesario hacerlo, la AEPD exige base legal para el tratamiento, cifrado robusto de los datos y registro de la operación. Siempre es preferible recurrir a un portal de pacientes o a una plataforma de mensajería sanitaria que deje constancia de los accesos, y esa alternativa debería ser la primera opción, no la última.
En resumen:
- El envío de datos sanitarios por correo electrónico solo es legal si se dispone de una base legal clara, cifrado robusto y registro de la operación, siendo preferible usar plataformas de mensajería sanitaria con constancia de accesos.
- Los correos con información clínica deben cumplir requisitos como cifrado de contenido con S/MIME o PGP, uso de canales distintos para enviar contraseñas y autenticación de dos factores para garantizar su seguridad real.
- La tramitación de datos sanitarios por correo requiere documentación como un registro de actividades de tratamiento, evaluación de necesidad y comprobación de que la opción más segura no sea el portal del paciente.
- Los portales de pacientes y plataformas de mensajería clínica ofrecen trazabilidad, control de accesos y cifrado de extremo a extremo, siendo recomendables para comunicaciones con contenido clínico.
- La organización y procedimientos, como la verificación de identidad y control de acceso, son igual o más importantes que la tecnología de cifrado en la protección efectiva de datos de salud.
Tabla de contenidos
- ¿Cuándo es legal enviar datos de salud por email seguro a un paciente?
- Medidas técnicas imprescindibles para que un correo sea seguro
- Alternativas más seguras al correo: portales y mensajería clínica
- Medidas organizativas que deben acompañar al cifrado
- Checklist paso a paso para enviar un correo seguro
- Errores comunes que provocan brechas de seguridad
- Qué exigir a herramientas y proveedores de mensajería sanitaria
- Cómo la externalización del secretariado reduce el riesgo en la práctica
- La brecha entre lo que se recomienda y lo que se practica en consulta
- Fuentes
- Preguntas frecuentes
¿Cuándo es legal enviar datos de salud por email seguro a un paciente?
El RGPD y la LOPDGDD no prohíben expresamente el correo electrónico, pero sí imponen condiciones que en la práctica lo descartan como canal habitual. Los datos de salud son una categoría especial, y su tratamiento exige una base de legitimación clara: normalmente la prestación de asistencia sanitaria, no el consentimiento genérico que muchas clínicas asumen por defecto.
El principio de minimización obliga a preguntarse, antes de escribir cualquier mensaje, si ese dato clínico necesita viajar por correo o puede quedarse en la historia clínica electrónica con un simple aviso de que hay novedades disponibles en el portal. La responsabilidad proactiva, otro pilar del RGPD, significa que no basta con actuar bien: hay que poder demostrarlo ante una inspección.
Esa demostración exige varias piezas documentales:
- Un Registro de Actividades de Tratamiento (RAT) que incluya de forma explícita el envío de correos con datos de salud, sus finalidades y sus plazos de conservación.
- Información clara al paciente sobre quién trata sus datos, con qué base legal y durante cuánto tiempo, incluyendo los datos de contacto del delegado de protección de datos cuando exista, tal como recoge la guía de cumplimiento RGPD/LOPDGDD para el sector salud.
- Constancia de que se ha evaluado si el correo era realmente necesario frente a canales más seguros.
La AEPD recuerda además que las medidas técnicas, por robustas que sean, nunca sustituyen el cumplimiento de estos principios. Cifrar un correo no legaliza un envío que carecía de base jurídica desde el principio. Algunos códigos de buenas prácticas autonómicos van más allá y directamente desaconsejan el correo como canal habitual para cualquier información clínica, reservándolo para excepciones muy acotadas.
Medidas técnicas imprescindibles para que un correo sea seguro
Un correo «cifrado» no siempre significa lo que el remitente cree. El TLS (Transport Layer Security) protege el mensaje mientras viaja entre servidores, pero una vez que llega a la bandeja de entrada del destinatario, el contenido queda expuesto si ese buzón se ve comprometido. Para proteger el contenido en sí, incluso en reposo, se necesitan mecanismos de cifrado de extremo a extremo como S/MIME o PGP, que cifran el mensaje con una clave que solo el destinatario puede descifrar.
La práctica habitual de proteger un PDF o un ZIP con contraseña genera una falsa sensación de seguridad. Los algoritmos de cifrado que usan muchos lectores de PDF son vulnerables a ataques de fuerza bruta, y la guía para profesionales del sector sanitario de DCD señala que estos métodos no ofrecen garantías suficientes frente a un análisis técnico riguroso. El problema de fondo casi siempre es la gestión de claves: de nada sirve un cifrado fuerte si la contraseña se envía por el mismo correo, se reutiliza para todos los pacientes o se apunta en un archivo compartido sin control de acceso.
Cuatro medidas marcan la diferencia entre un correo que solo parece seguro y uno que realmente lo es:
- Usar cifrado de contenido (S/MIME o PGP) entre cuentas corporativas, no solo TLS entre servidores.
- Comunicar cualquier contraseña o clave de acceso por un canal distinto: llamada telefónica o SMS, nunca el mismo hilo de correo.
- Activar autenticación de dos factores (2FA) en todas las cuentas corporativas que gestionen correspondencia con pacientes.
- Mantener registros de acceso (logs) que permitan reconstruir quién abrió qué mensaje y cuándo.
Las guías del IB‑SALUT sobre protección de información sensible recomiendan algoritmos robustos como AES‑256 cuando se cifra contenido y refuerzan la misma idea: la contraseña siempre por canal distinto. Los certificados electrónicos y las firmas digitales añaden una capa adicional cuando el mensaje debe acreditar la identidad del remitente ante el paciente, algo relevante en comunicaciones con valor legal, como el envío de un informe médico oficial.
Consejo profesional: Antes de dar por seguro cualquier flujo de correo, pregúntate quién tendría que romper qué para leer ese mensaje sin autorización. Si la respuesta es «solo adivinar una contraseña de ocho caracteres», el sistema no está a la altura de datos de salud.
Un antiphishing eficaz en el servidor de correo corporativo reduce el riesgo de que una cuenta legítima se vea comprometida y se convierta en la puerta de entrada real de una filtración, que suele empezar ahí y no en el cifrado del mensaje.
Alternativas más seguras al correo: portales y mensajería clínica
Un portal de pacientes bien diseñado resuelve de raíz el problema que el correo nunca soluciona del todo: la trazabilidad. Cada acceso queda registrado, el paciente se autentica con sus propias credenciales y el profesional puede vincular directamente los mensajes con la historia clínica electrónica. Esa trazabilidad facilita enormemente demostrar responsabilidad proactiva ante una auditoría, como señala la guía de ciberseguridad para consultas médicas.
Una plataforma de mensajería clínica seria debería cumplir, como mínimo:
- Registro de auditoría (audit trail) que documente cada acceso, envío y lectura.
- Cifrado de extremo a extremo, no solo en tránsito.
- Alojamiento de los servidores dentro de la Unión Europea, con las garantías que exige el RGPD para la transferencia de datos.
- Control de acceso basado en roles, de forma que administrativos y sanitarios vean solo lo que necesitan.
El correo electrónico convencional con TLS sigue teniendo un hueco legítimo: recordatorios de cita sin ningún dato clínico («le recordamos su cita del día 14»), confirmaciones administrativas o comunicaciones que no revelan diagnóstico, tratamiento ni motivo de consulta. Cuando el mensaje incluye un resultado de analítica, un informe o cualquier detalle clínico, el portal o la mensajería sanitaria son la opción recomendada.
Medidas organizativas que deben acompañar al cifrado
La tecnología sin procedimiento se rompe a la primera incidencia. Un Registro de Actividades de Tratamiento actualizado no es un trámite burocrático de una sola vez: cada nuevo canal de comunicación con pacientes, cada cambio de proveedor de correo o cada integración con una plataforma de citas debería reflejarse en él.
La figura del Delegado de Protección de Datos (DPD) resulta obligatoria en muchos centros sanitarios por el volumen de datos de categoría especial que tratan, y su papel no se limita a firmar documentos: debe supervisar de forma activa cómo se comunican los datos de salud y detectar prácticas de riesgo antes de que se conviertan en incidentes.
Cuatro elementos organizativos sostienen todo lo demás:
- Formación periódica del personal en identificación de intentos de phishing y en el procedimiento correcto para enviar información sensible.
- Control de acceso basado en roles, limitando quién puede consultar y reenviar correspondencia con datos clínicos.
- Protocolos escritos de verificación de identidad del paciente antes de cualquier envío (nunca basados solo en el nombre, sino en datos adicionales que confirmen la identidad real).
- Minimización sistemática: cada plantilla de correo debería revisarse para eliminar campos clínicos innecesarios.
La literatura sobre ciberseguridad en entornos sanitarios coincide en que el mayor riesgo no es la falta de cifrado sino el error humano: una contraseña mal gestionada, una cuenta compartida, un destinatario equivocado. La seguridad se sostiene con procedimiento, no solo con software.
Checklist paso a paso para enviar un correo seguro
Antes de redactar el mensaje, conviene seguir un procedimiento fijo que no dependa de la memoria de cada profesional en cada momento.
- Confirma la base legal. Verifica que el envío responde a la prestación de asistencia sanitaria y anota la operación en el registro de actividades de tratamiento.
- Evalúa si el correo es realmente necesario. Si el dato puede quedarse en el portal del paciente, esa es la opción preferible.
- Elige el método de cifrado. Usa S/MIME o PGP entre cuentas corporativas, nunca cuentas personales ni gratuitas.
- Verifica la identidad del destinatario. Confirma nombre completo y un segundo dato (fecha de nacimiento, número de historia) antes de enviar.
- Envía la contraseña por otro canal. Una llamada o un SMS, jamás el mismo hilo de correo ni un mensaje inmediatamente posterior.
- Registra el envío. Guarda evidencia de la fecha, el destinatario y el motivo, para que quede constancia si se solicita una auditoría.
- Revisa los accesos posteriores. Comprueba en los logs que solo el destinatario previsto abrió el mensaje.
Consejo profesional: Convierte este checklist en una plantilla física o digital junto al puesto de administración. En la práctica, la mayoría de brechas ocurren no por falta de tecnología, sino porque alguien se salta un paso bajo presión de tiempo.
Errores comunes que provocan brechas de seguridad
La mayoría de incidentes con correos a pacientes se repiten con variaciones mínimas del mismo fallo:
- Enviar información clínica desde el correo personal del profesional, fuera de cualquier control corporativo.
- Adjuntar la contraseña de un PDF en el mismo mensaje o en el siguiente correo del mismo hilo.
- Confundir destinatarios por autocompletado o usar una lista de distribución antigua que aún incluye pacientes dados de baja.
- No formar al personal administrativo en procedimientos de verificación, lo que deja la puerta abierta a suplantaciones por teléfono o correo.
- No dejar rastro documental de qué se envió y por qué, lo que convierte cualquier incidencia en un problema sin explicación clara ante la AEPD.
Las guías de ciberseguridad para consultas médicas insisten en un matiz sencillo pero decisivo: usar siempre cuentas corporativas y evitar revisar el correo personal desde los equipos del centro. Ese único hábito elimina buena parte del riesgo.
Qué exigir a herramientas y proveedores de mensajería sanitaria
Elegir una plataforma de correo seguro para pacientes exige comparar por categorías, no por promesas comerciales genéricas.
- Técnicos: cifrado de extremo a extremo verificable, autenticación de dos factores obligatoria y registros de acceso exportables para auditoría.
- Legales: alojamiento de servidores en la Unión Europea y un contrato de encargado de tratamiento firmado, no solo mencionado en la letra pequeña.
- Operativos: integración real con la historia clínica electrónica y una interfaz que el paciente pueda usar sin fricción, porque una herramienta segura que nadie usa termina sustituida por el correo de siempre.
Antes de firmar con cualquier proveedor, conviene preguntar directamente: ¿dónde se almacenan las claves de cifrado?, ¿quién tiene acceso técnico a los mensajes?, ¿qué ocurre con los datos si se cancela el contrato? Las respuestas vagas son la señal de alarma más fiable.
Cómo la externalización del secretariado reduce el riesgo en la práctica
Un proveedor especializado en la externalización del secretariado telefónico puede llevar años gestionando la comunicación telefónica y administrativa de consultas médicas y paramédicas, con integraciones en plataformas de citas como Doctolib, Maiia, LibreRDV y CalenDoc. Esa experiencia deja una lección clara: buena parte de las brechas de seguridad en comunicaciones con pacientes no nacen de un fallo tecnológico, sino de un proceso administrativo mal definido.
Externalizar tareas como la verificación de identidad, la gestión de agendas o la coordinación de mensajes con pacientes puede reducir errores humanos, siempre que existan controles operativos demostrables:
- Procedimientos estandarizados de verificación antes de compartir cualquier información.
- Uso exclusivo de cuentas y sistemas corporativos, nunca personales.
- Un contrato de encargado de tratamiento que delimite con precisión qué datos se gestionan y con qué garantías.
Un matiz que no admite excepciones: externalizar la gestión administrativa no traslada la responsabilidad legal. El responsable del tratamiento sigue siendo el centro sanitario o el profesional, y por eso el acuerdo de tratamiento de datos de salud con cualquier proveedor debe quedar por escrito y revisado, nunca asumido por defecto.
La brecha entre lo que se recomienda y lo que se practica en consulta
La mayoría de guías sobre protección de datos en sanidad se quedan en el nivel jurídico: citan el RGPD, mencionan la AEPD y ahí terminan. El problema real de las consultas no es desconocer la norma, sino traducirla a un flujo de trabajo diario que no dependa de la memoria de cada administrativo en cada turno.
La conclusión que sostiene toda esta guía es incómoda pero honesta: ningún cifrado, por robusto que sea, compensa un procedimiento débil de verificación de identidad o una cultura donde las contraseñas viajan por el mismo canal que el mensaje. La tecnología es la parte fácil. El hábito organizativo, la formación repetida y el registro documental constante son la parte que realmente distingue a una consulta preparada de otra que solo cree estarlo.
Si hay una prioridad por encima de todas, es esta: antes de invertir en cualquier herramienta de cifrado, define y escribe el procedimiento de verificación de identidad y el protocolo de contraseñas por canal distinto. Sin eso, cualquier sistema seguro se convierte, tarde o temprano, en un correo mal enviado.
— Rudolph
Este artículo es información general y no sustituye el consejo de un médico cualificado. Consulte a un profesional de la salud cualificado sobre su caso particular antes de actuar según este contenido.
Fuentes
Para quien quiera verificar directamente estas recomendaciones o profundizar en algún punto:
- AEPD — Preguntas frecuentes: profesionales sanitarios
- PMC — Artículo sobre ciberseguridad en entornos sanitarios
Preguntas frecuentes
¿Cuál es el email más seguro para enviar datos de pacientes?
No existe un proveedor de correo estándar que sea suficiente por sí solo. Lo seguro es una combinación de cuenta corporativa, cifrado de contenido (S/MIME o PGP), autenticación de dos factores y, preferiblemente, sustituir el correo por un portal de pacientes con registro de accesos.
¿Es seguro dar de baja un seguro o servicio médico por email?
Depende del contenido del mensaje: si el correo solo confirma una gestión administrativa sin datos clínicos, un canal con TLS puede ser admisible. Si incluye información de salud, debe tratarse con las mismas garantías de cifrado y verificación de identidad que cualquier otra comunicación clínica.
¿Qué alternativas existen al correo electrónico convencional para comunicarse con pacientes?
Los portales de pacientes y las plataformas de mensajería clínica con cifrado de extremo a extremo, registro de auditoría y alojamiento en la Unión Europea son las alternativas más recomendadas frente al correo tradicional.
¿Qué correo electrónico es gratuito y a la vez seguro para uso clínico?
Los servicios de correo gratuitos de uso general no ofrecen las garantías de cifrado de contenido, gestión de claves ni acuerdos de encargado de tratamiento que exige el manejo de datos de salud. Para comunicaciones clínicas hace falta una cuenta corporativa con cifrado adecuado, no un servicio de correo personal gratuito.
Recomendaciones
- Buenas prácticas comunicación médico secretaria
- Confirmación automática de citas paramédicas: guía 2026
- Acuerdo de tratamiento de datos de salud para clínicas
