RGPD sanitario
Aplicación específica del Reglamento General de Protección de Datos al tratamiento de datos de salud en centros sanitarios y clínicas.
Qué es el RGPD sanitario
El RGPD sanitario hace referencia a la aplicación específica del Reglamento General de Protección de Datos (UE) 2016/679 al ámbito de la salud. No se trata de una normativa independiente, sino de la interpretación y aplicación del RGPD al tratamiento de datos de salud que realizan clínicas, hospitales, consultas médicas, centros de fisioterapia, clínicas dentales y cualquier otro centro sanitario.
Los datos de salud están clasificados como categoría especial de datos personales según el artículo 9 del RGPD. Esto significa que su tratamiento está, en principio, prohibido, salvo que concurra alguna de las excepciones previstas en la norma. En el contexto sanitario, las bases jurídicas más habituales son el interés vital del interesado, la prestación de asistencia sanitaria y el cumplimiento de obligaciones legales en materia de salud pública.
En España, el RGPD se complementa con la Ley Orgánica 3/2018, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD), que concreta determinadas obligaciones y adapta el reglamento europeo al ordenamiento jurídico español.
Datos de salud como categoría especial
El artículo 9 del RGPD define los datos de salud como “datos personales relativos a la salud física o mental de una persona física, incluida la prestación de servicios de atención sanitaria, que revelen información sobre su estado de salud.” Esto incluye:
- Diagnósticos y antecedentes médicos
- Resultados de pruebas y analíticas
- Tratamientos farmacológicos y quirúrgicos
- Datos genéticos y biométricos con fines sanitarios
- Información sobre discapacidades o alergias
- Notas clínicas y evolución del paciente
La clasificación como categoría especial implica que cualquier incumplimiento en su tratamiento puede conllevar sanciones agravadas por parte de la Agencia Española de Protección de Datos (AEPD), con multas que pueden alcanzar los 20 millones de euros o el 4 % de la facturación global anual.
Bases jurídicas para el tratamiento
Un centro sanitario puede tratar datos de salud apoyándose en las siguientes bases jurídicas:
| Base jurídica | Artículo RGPD | Ejemplo de aplicación |
|---|---|---|
| Prestación de asistencia sanitaria | Art. 9.2.h | Consultas médicas, tratamientos, seguimiento clínico |
| Interés vital del interesado | Art. 9.2.c | Urgencias donde el paciente no puede dar consentimiento |
| Obligación legal | Art. 9.2.i | Enfermedades de declaración obligatoria, salud pública |
| Consentimiento explícito | Art. 9.2.a | Tratamientos estéticos, ensayos clínicos, cesión a terceros |
Es importante señalar que el consentimiento no es la base jurídica principal para la atención sanitaria ordinaria. La base habitual es la prestación de asistencia sanitaria (art. 9.2.h), complementada con la Ley 41/2002 de autonomía del paciente. El consentimiento explícito se reserva para tratamientos no estrictamente necesarios o para la cesión de datos a terceros fuera del ámbito asistencial.
Obligaciones del centro sanitario
Todo centro que trate datos de salud debe cumplir, como mínimo, las siguientes obligaciones:
- Registro de actividades de tratamiento (artículo 30 RGPD): documentar todos los tratamientos de datos que se realizan, incluyendo finalidad, categorías de datos, destinatarios y plazos de conservación.
- Medidas de seguridad técnicas y organizativas (artículo 32): cifrado de datos, control de accesos por roles, copias de seguridad, y protocolos ante brechas de seguridad.
- Evaluación de impacto (artículo 35): obligatoria cuando el tratamiento entraña un alto riesgo, como el uso de historias clínicas digitales a gran escala.
- Designación de un Delegado de Protección de Datos (DPD): obligatorio para centros sanitarios según el artículo 34.1.l de la LOPDGDD.
- Información al paciente: comunicar de forma clara qué datos se recogen, con qué finalidad, durante cuánto tiempo y qué derechos tiene el paciente (acceso, rectificación, supresión, portabilidad).
- Notificación de brechas de seguridad: en caso de violación de datos que afecte a datos de salud, el centro debe notificar a la AEPD en un plazo máximo de 72 horas.
Impacto en la gestión clínica digital
La adopción de software de gestión clínica facilita el cumplimiento del RGPD sanitario siempre que la solución incorpore las medidas adecuadas: cifrado de datos en reposo y en tránsito, gestión de permisos por roles, registro de accesos al historial del paciente y herramientas para atender los derechos de los interesados. Un sistema bien diseñado convierte el cumplimiento normativo en un proceso integrado en la operativa diaria, en lugar de una carga administrativa adicional.