La Ley Orgánica 3/2018 (LOPDGDD) completa el RGPD en España y afecta a cualquier médico, profesional paramédico o centro que maneje datos de pacientes. Los datos de salud son una categoría especial: están protegidos de forma reforzada, exigen confidencialidad permanente, un registro de actividades de tratamiento casi siempre y una respuesta rápida ante cualquier brecha de seguridad. Esta guía resume lo esencial, con las fuentes oficiales, para que pueda organizar su consulta con criterio.
Puntos clave
- Los datos de salud son una categoría especial: tratarlos exige una base legal específica, y en la atención sanitaria habitual no hace falta pedir consentimiento al paciente.
- La confidencialidad obliga a todas las personas que intervienen en el tratamiento, también al personal administrativo, y se mantiene después de terminar la relación.
- El delegado de protección de datos es obligatorio para los centros sanitarios, no para el profesional que ejerce a título individual. El registro de actividades, en cambio, casi siempre es obligatorio.
- Ante una brecha que suponga riesgo, hay que notificar a la AEPD en 72 horas desde que se tiene constancia.
- Externalizar la atención telefónica no traslada la responsabilidad: conviene un acuerdo de tratamiento claro y circuitos seguros.
Tabla de contenidos
- Qué es un dato de salud y por qué se protege más
- A quién se aplica la LOPDGDD en el ámbito sanitario
- Bases legales: cuándo hace falta el consentimiento
- Obligaciones diarias: confidencialidad y seguridad
- DPD y registro de actividades: quién debe tenerlos
- Derechos de los pacientes sobre sus datos
- Brechas de seguridad: qué hacer y en qué plazo
- El teléfono, un punto de cumplimiento que se olvida
- Nuestra perspectiva
- Cómo puede ayudarle ClicFone
- Preguntas frecuentes
- Fuentes
Qué es un dato de salud y por qué se protege más
El RGPD define los datos relativos a la salud de forma amplia: cubren el estado físico o mental pasado, presente o futuro de una persona, incluidos los obtenidos durante la asistencia sanitaria, los identificadores sanitarios, pruebas, datos genéticos, muestras biológicas, enfermedades, discapacidades, riesgos, historial médico y tratamientos.
En la práctica de una consulta, esto incluye más de lo que parece:
- la historia clínica y los informes;
- el motivo de una cita anotado en la agenda;
- el mensaje que un paciente deja en el contestador;
- un correo con una analítica adjunta;
- el nombre de un paciente asociado a una especialidad o a un tratamiento.
Un simple nombre junto a la mención de un servicio de oncología o de salud mental ya revela información de salud. Por eso la protección alcanza también a las tareas administrativas, no solo al acto médico.
A quién se aplica la LOPDGDD en el ámbito sanitario
Según el texto consolidado de la Ley Orgánica 3/2018 en el BOE, la norma se aplica a cualquier responsable, encargado o persona que trate datos personales, en entidades públicas o privadas, y tanto en tratamientos automatizados como en ficheros no automatizados. Eso incluye hospitales, clínicas, centros sanitarios y profesionales, con reglas de responsabilidad que dependen de quién decide los fines y los medios del tratamiento.
Dos ideas prácticas se derivan de ahí:
- El papel también cuenta. Una agenda en papel o una libreta de recados telefónicos están dentro del ámbito de la ley.
- Hay responsable y hay encargado. El médico o el centro que decide para qué se usan los datos es el responsable. Quien los trata por cuenta suya, por ejemplo un servicio externo de secretariado, actúa como encargado.
Si quiere profundizar en este punto, tenemos una guía específica sobre LOPDGDD y datos de salud: derechos y obligaciones en España.
Bases legales: cuándo hace falta el consentimiento
Una idea extendida es que todo tratamiento de datos de salud requiere la firma del paciente. No es así. La AEPD explica que no es necesario pedir consentimiento cuando el tratamiento es necesario para medicina preventiva o laboral, evaluación de la capacidad laboral, diagnóstico, asistencia o tratamiento sanitario o social, o gestión de sistemas y servicios sanitarios y sociales.
La propia LOPDGDD, en el texto del BOE, permite que una norma con rango de ley ampare los tratamientos de salud necesarios para gestionar sistemas y servicios de asistencia sanitaria y social, públicos o privados.
El consentimiento explícito sigue existiendo como una de las bases que levantan la prohibición general de tratar categorías especiales de datos. Debe referirse a uno o más fines concretos y no procede cuando el Derecho de la Unión o el español impiden levantar la prohibición mediante consentimiento. Lo habitual es que se use para finalidades ajenas a la asistencia, como compartir datos con terceros sin relación con el cuidado del paciente.
Lo que sí es obligatorio siempre es informar al paciente: quién trata sus datos, para qué, durante cuánto tiempo y cómo puede ejercer sus derechos.
Obligaciones diarias: confidencialidad y seguridad
El deber de confidencialidad
La LOPDGDD establece que todos los responsables, encargados y personas que intervienen en cualquier fase del tratamiento están sujetos al deber de confidencialidad. Esta obligación complementa el secreto profesional y continúa incluso después de terminar la relación con el responsable o el encargado.
Para una consulta, esto significa que la recepcionista, el personal de agenda y cualquier servicio externo que atienda llamadas deben estar vinculados por ese deber. Hemos desarrollado el tema en normas de confidencialidad en el secretariado médico y en secreto profesional y secretaría paramédica.
Medidas técnicas y organizativas
La guía de la AEPD para profesionales del sector sanitario plantea la responsabilidad proactiva: licitud e información al paciente, confidencialidad, gestión de riesgos, medidas proporcionales, protección de datos desde el diseño y por defecto, evaluación de impacto cuando exista alto riesgo, registro de actividades, DPD cuando sea obligatorio y gestión de brechas.
Para los tratamientos de salud, la misma guía recomienda:
- identificar los soportes donde se guardan los datos;
- cifrar los dispositivos portátiles y las transmisiones;
- mantener copias de respaldo separadas;
- registrar los intentos de acceso;
- cambiar las contraseñas al menos una vez al año;
- formar de manera continua al personal.
Una lista corta que sirve como revisión trimestral en cualquier consulta. Si trabaja con correo electrónico, le interesará nuestra guía de correo electrónico seguro para pacientes. Si le preocupa dónde se alojan los datos, consulte qué exige la ley sobre la ubicación de los datos sanitarios.
DPD y registro de actividades: quién debe tenerlos
Aquí suele haber más confusión. Este cuadro resume lo que dicen las fuentes oficiales.
| Obligación | Centros sanitarios | Profesional que ejerce a título individual |
|---|---|---|
| Delegado de protección de datos (DPD) | Obligatorio para los centros legalmente obligados a conservar historias clínicas | Exento |
| Registro de actividades de tratamiento (RAT) | Obligatorio en la práctica | Obligatorio en la práctica |
El artículo 34 de la LOPDGDD obliga a designar DPD a los centros sanitarios legalmente obligados a mantener historias clínicas, con la excepción de los profesionales de la salud que, aun obligados a mantenerlas, ejercen individualmente. La AEPD lo confirma: los organismos públicos de salud y los centros sanitarios privados deben contar con DPD, mientras que quedan exentos los profesionales que ejercen de forma privada a título individual. Más detalle en nuestra guía sobre el DPO en clínicas de salud.
El registro de actividades es otra cosa. El RGPD contempla una excepción para organizaciones de menos de 250 trabajadores, pero no opera si el tratamiento puede implicar riesgo, no es ocasional o incluye categorías especiales como los datos de salud. La AEPD indica que en la práctica la mayoría de responsables pequeños deben llevarlo. Según la AEPD, el registro debe incluir:
- el responsable y, en su caso, el DPD;
- los fines del tratamiento;
- las categorías de interesados y de datos;
- los destinatarios y las transferencias;
- los plazos de supresión;
- las medidas generales de seguridad.
Un médico que trabaja solo no necesita DPD, pero sí debería tener su RAT al día.
Derechos de los pacientes sobre sus datos
Un paciente puede dirigirse al médico o al centro, público o privado, para solicitar acceso y copia de su historia clínica, en soporte electrónico o en papel. El acceso tiene las reservas del artículo 18 de la Ley 41/2002 y, por regla general, debe facilitarse en un mes. Al ejercerlo, puede obtener información sobre los fines, las categorías de datos, los destinatarios, la conservación, su origen y las decisiones automatizadas o perfiles.
El resto de derechos (rectificación, supresión, oposición, limitación, portabilidad y no ser objeto de decisiones individualizadas) pueden ejercerse ante el responsable directamente o mediante representante. Según la AEPD, el ejercicio es gratuito y, por regla general, debe responderse en un mes, prorrogable dos meses por complejidad o por el número de solicitudes.
Un consejo de organización: defina quién recibe estas solicitudes en la consulta. Si llegan por teléfono, la persona que atiende debe saber registrarlas y trasladarlas el mismo día, para que el plazo no se pierda en un cajón.
Brechas de seguridad: qué hacer y en qué plazo
La AEPD explica el procedimiento: hay que valorar el nivel de riesgo y notificar la brecha a la autoridad de control si probablemente entraña un riesgo para los derechos y libertades, dentro de las 72 horas desde que se tiene constancia. Si se considera que no hay riesgo, hay que documentar la brecha, sus efectos y las medidas correctivas.
Cuando la brecha probablemente entraña un alto riesgo, además hay que comunicarla a los afectados sin dilación indebida. La AEPD presenta la notificación como una medida de diligencia y de aprendizaje colectivo, especialmente importante en salud por el impacto social de estos tratamientos.
Las brechas más frecuentes en sanidad, según la guía de la AEPD, son:
- acceso indebido a historias clínicas;
- envíos a destinatarios incorrectos;
- destrucción insegura de soportes;
- pérdida de muestras identificables;
- ransomware que afecta a la confidencialidad o la disponibilidad.
La mayoría nace de errores cotidianos, no de ataques sofisticados. Un protocolo escrito de tres pasos (detectar, avisar al responsable, documentar) reduce mucho el riesgo de llegar tarde al plazo.
El teléfono, un punto de cumplimiento que se olvida
El teléfono es uno de los principales canales de entrada de datos de salud: el paciente explica sus síntomas, da su nombre, pide una cita para una prueba concreta. Cada llamada es un tratamiento. Conviene revisar tres cosas:
- Qué se pregunta. Solo lo necesario para gestionar la cita o clasificar la urgencia.
- Dónde se anota. En la agenda o el sistema autorizado, nunca en papeles sueltos ni en mensajes personales.
- Quién escucha. Una recepción con pacientes en la sala de espera puede exponer información en voz alta.
Lo desarrollamos en RGPD en llamadas médicas y en confidencialidad en llamadas médicas. Si externaliza el secretariado, el servicio actúa como encargado y conviene formalizar la relación con un acuerdo de tratamiento de datos de salud. Para el marco de seguridad de un servicio de este tipo, vea seguridad y conformidad de datos en el tele-secretariado médico.
Nuestra perspectiva
Después de más de 15 años atendiendo llamadas para médicos, especialistas y paramédicos, hemos visto que el cumplimiento no se pierde en los grandes documentos, sino en los gestos pequeños: una nota en un papel, un mensaje reenviado, una pregunta de más al teléfono.
Por eso defendemos un secretariado que combine personas formadas y herramientas digitales seguras. La persona que descuelga sabe qué debe preguntar y qué no, y trabaja sobre la agenda del profesional con las integraciones adecuadas, en lugar de apuntar datos fuera de circuito.
Nuestro asistente de inteligencia artificial, disponible 24/7, se concibe como un filtro que ordena la entrada de llamadas, no como un sustituto del criterio humano. Para nosotros, proteger los datos de salud y dar un buen servicio al paciente van en la misma dirección: menos improvisación, más pilotaje.
Thierry Rudolph
Cómo puede ayudarle ClicFone
En ClicFone ofrecemos secretariado telefónico médico y paramédico externalizado en Francia y sus territorios de ultramar, con personal cualificado y un asistente de IA disponible 24/7. Gestionamos llamadas, agendas con integración en Doctolib, Maiia, LibreRDV y CalenDoc, coordinación de pacientes, triaje telefónico y urgencias, para que usted se concentre en la atención. Puede ver el detalle de lo que cubrimos en funciones de una secretaria médica a distancia o conocer el servicio completo en clicfone.com.
Si quiere ordenar primero su circuito de citas, la checklist de organización de citas médicas es un buen punto de partida.
Preguntas frecuentes
¿Necesito el consentimiento del paciente para tratar sus datos de salud?
No en la atención sanitaria habitual. La AEPD indica que no hace falta cuando el tratamiento es necesario para el diagnóstico, la asistencia o el tratamiento sanitario, o para gestionar los servicios sanitarios. Sí debe informar al paciente de forma clara sobre el uso de sus datos.
¿Un médico autónomo debe nombrar un delegado de protección de datos?
No, el artículo 34 de la LOPDGDD exceptúa a los profesionales de la salud que ejercen individualmente. Sí es obligatorio para los centros sanitarios obligados a conservar historias clínicas. En ambos casos, el registro de actividades de tratamiento suele ser exigible.
¿En cuánto tiempo debo responder a un paciente que pide su historia clínica?
Por regla general, en un mes. Ese plazo puede prorrogarse dos meses por la complejidad o el número de solicitudes, según la AEPD. El ejercicio del derecho es gratuito, y el acceso tiene las reservas del artículo 18 de la Ley 41/2002.
¿Qué hago si envío por error un informe a otro paciente?
Valore el riesgo, avise a la persona responsable y, si probablemente hay riesgo para los derechos del paciente, notifique a la AEPD dentro de 72 horas desde que lo detecte. Si el riesgo es alto, comuníquelo también al afectado. Si concluye que no hay riesgo, documente igualmente lo ocurrido y las medidas adoptadas.
¿El personal administrativo también está sujeto a confidencialidad?
Sí. El deber de confidencialidad alcanza a todas las personas que intervienen en cualquier fase del tratamiento y se mantiene tras terminar la relación con el responsable o el encargado.
Fuentes
- Reglamento (UE) 2016/679, EUR-Lex
- Ley Orgánica 3/2018, texto consolidado, BOE
- AEPD: bases de legitimación para categorías especiales de datos
- AEPD: consentimiento en la atención sanitaria
- AEPD: guía para profesionales del sector sanitario
- AEPD: delegado de protección de datos en centros sanitarios
- AEPD: registro de actividades de tratamiento
- AEPD: ¿Estoy obligado a elaborar un RAT?
- AEPD: tus derechos en relación con tus datos de salud
- AEPD: ejerce tus derechos
- AEPD: notificación de brechas de datos personales
- AEPD: brechas de datos personales en el sector de la salud
Recomendaciones
- DPO en clínicas de salud: cuándo es obligatorio y qué hace
- Ubicación de los datos sanitarios: qué exige la ley en España
- RGPD en llamadas médicas: guía práctica para consultas en España
- Acuerdo de tratamiento de datos de salud para clínicas
