RGPD en clínicas dentales: guía práctica para cumplir

Una clínica dental trata, cada día, datos de salud: alergias, medicación, radiografías, diagnósticos, tratamientos. Son datos de categoría especial para el Reglamento General de Protección de Datos (RGPD), con un régimen más exigente que el de un comercio o una gestoría. La buena noticia es que atender a un paciente no requiere pedirle consentimiento para tratar su historia clínica: el propio reglamento ampara ese tratamiento. La mala es que la clínica sí está obligada a hacer muchas más cosas de las que suele recordar: informar, documentar, limitar accesos, firmar contratos con sus proveedores y saber qué hacer si algo se filtra.

Esta guía recorre las obligaciones principales con el orden con el que se aplican en la práctica, con ejemplos propios de una clínica dental y una lista de comprobación final.

El marco legal en tres normas

• Reglamento (UE) 2016/679 (RGPD): la norma europea, directamente aplicable en España desde mayo de 2018.
• Ley Orgánica 3/2018 (LOPDGDD): la ley española que completa el reglamento. Tiene reglas específicas sobre datos de salud, delegados de protección de datos, menores y bloqueo de datos.
• Ley 41/2002: la ley de autonomía del paciente, que regula la historia clínica, su contenido, su acceso y su conservación. Las tres se leen juntas: la ley sanitaria dice qué hay que documentar y cuánto conservarlo; la de protección de datos, cómo hay que protegerlo.

Además, la Ley 34/2002 (LSSI) regula las comunicaciones comerciales por medios electrónicos, algo que afecta a tus campañas de recordatorio de revisiones o de promociones.

Qué son datos de salud y por qué importan

El RGPD define los datos relativos a la salud como los datos personales relativos a la salud física o mental de una persona, incluida la prestación de servicios de atención sanitaria que revelen información sobre su estado de salud (artículo 4.15). En una clínica dental, son datos de salud:

• La historia clínica, el odontograma, las radiografías y las fotografías intraorales.
• Las alergias, la medicación y los antecedentes médicos de la anamnesis.
• El motivo de la visita, los tratamientos, los presupuestos con diagnóstico y los informes.
• Incluso un dato aparentemente administrativo, como el hecho de que una persona tenga una cita contigo para una ortodoncia o una cirugía, puede revelar información sobre su salud.

El artículo 9.1 del RGPD prohíbe en principio tratar categorías especiales de datos, pero el artículo 9.2 enumera excepciones. La que sostiene tu actividad diaria es la del apartado h: el tratamiento necesario para fines de medicina preventiva o laboral, diagnóstico médico, prestación de asistencia o tratamiento de tipo sanitario, siempre bajo la responsabilidad de un profesional sujeto a la obligación de secreto profesional (artículo 9.3). Por eso no necesitas «el consentimiento del paciente para la historia clínica»; necesitas que el tratamiento se limite a la asistencia, que lo haga quien está sujeto a secreto y que el paciente esté informado.

Base jurídica: cuándo hace falta consentimiento y cuándo no

Conviene distinguir las finalidades, porque cada una tiene su base:

Un matiz que se olvida: el consentimiento a una intervención (consentimiento informado de la Ley 41/2002) y el consentimiento al tratamiento de datos (RGPD) son cosas distintas. Del primero hablamos en nuestro artículo sobre consentimiento informado en odontología; no lo sustituye ni lo suple el segundo.

En cuanto a menores, el artículo 7 de la LOPDGDD fija en 14 años la edad desde la que el menor puede consentir por sí mismo el tratamiento de sus datos cuando la base sea el consentimiento (por ejemplo, para marketing). Para la asistencia sanitaria rigen las reglas propias de la Ley 41/2002 sobre capacidad y representación.

Deber de información: la cláusula que sí o sí tiene que estar

El artículo 13 del RGPD obliga a informar al paciente en el momento de recoger sus datos. La LOPDGDD (artículo 11) admite hacerlo por capas: una primera capa breve y visible, con lo esencial, y una segunda con el detalle. La información mínima incluye:

1. Identidad y datos de contacto del responsable (la clínica o el profesional titular).
2. Datos de contacto del delegado de protección de datos, si existe.
3. Finalidades del tratamiento y base jurídica.
4. Destinatarios o categorías de destinatarios (laboratorios, aseguradoras, proveedores de software).
5. Transferencias internacionales, si las hay.
6. Plazo de conservación o criterios para determinarlo.
7. Derechos del paciente y cómo ejercerlos, incluido el derecho a reclamar ante la AEPD.
8. Origen de los datos si no vienen del propio paciente.

Se suele entregar en el formulario de primera visita, en la web y en un cartel visible en recepción. La mejor práctica es dejar constancia de que se entregó, por ejemplo, con una casilla firmada o un documento archivado en la ficha.

Registro de actividades de tratamiento

El artículo 30 del RGPD obliga a llevar un registro de las actividades de tratamiento. La exención para organizaciones de menos de 250 empleados no te sirve: no se aplica cuando el tratamiento no es ocasional o incluye categorías especiales de datos, que es tu caso. El registro es un documento interno, no hay que presentarlo ante la AEPD, pero debe poder mostrarse si la autoridad lo pide. Cada actividad (gestión de pacientes, historia clínica, facturación, agenda y citas, marketing, recursos humanos, videovigilancia si la hay) debería recoger:

• Finalidad y base jurídica.
• Categorías de interesados y de datos.
• Destinatarios y transferencias.
• Plazos previstos de conservación.
• Descripción general de las medidas de seguridad.

Un buen registro sirve de mapa: al hacerlo descubres cuántos programas, hojas de cálculo y grupos de mensajería manejan datos de pacientes sin que nadie los haya contado.

Delegado de protección de datos y evaluación de impacto

¿Hace falta un delegado de protección de datos?

La LOPDGDD (artículo 34) enumera los responsables obligados a designarlo, y entre ellos están los centros sanitarios legalmente obligados al mantenimiento de las historias clínicas de los pacientes. Se exceptúan los profesionales de la salud que, aun estando obligados a mantener las historias, ejerzan su actividad a título individual. En una clínica con forma societaria, con varios profesionales, hay que analizar con cuidado si encaja en la obligación; ante la duda, consúltalo con un especialista, porque designarlo cuando no era obligatorio no causa problema, y no designarlo cuando sí lo era, sí.

¿Y la evaluación de impacto (EIPD)?

El artículo 35 del RGPD la exige cuando un tratamiento pueda entrañar un alto riesgo para los derechos y libertades, y menciona expresamente el tratamiento a gran escala de categorías especiales de datos. El considerando 91 aclara que el tratamiento de datos de pacientes por un médico individual no se considera a gran escala. Una clínica pequeña o mediana, por sí sola, normalmente no llega a esa escala, pero la AEPD publica una lista de tipos de tratamiento que sí requieren EIPD (por ejemplo, combinaciones de criterios como datos de salud con tecnologías novedosas o perfilado). Si vas a incorporar sistemas de inteligencia artificial que analicen datos de pacientes, o a conectar la clínica con otras entidades para compartir historias, haz el análisis previo y guárdalo por escrito, aunque concluyas que no hace falta.

Encargados del tratamiento: tus proveedores también cuentan

Cuando un proveedor trata datos de tus pacientes por cuenta de la clínica, es un encargado del tratamiento (artículo 28 del RGPD) y debes firmar con él un contrato o acto jurídico que incluya, como mínimo: objeto y duración, tipo de datos, instrucciones del responsable, deber de confidencialidad, medidas de seguridad, subencargados, asistencia para atender derechos y brechas, y devolución o supresión de los datos al terminar.

Ejemplos habituales en una clínica dental:

• El programa de gestión de la clínica y el alojamiento donde residen los datos.
• La asesoría o gestoría que accede a facturas con datos de pacientes.
• Los servicios de mensajería, correo o telefonía que usas para contactar con pacientes.
• El servicio de mantenimiento informático que puede acceder a los equipos.
• Los proveedores de inteligencia artificial si procesan conversaciones o grabaciones.
• El laboratorio de prótesis, que recibe datos para fabricar un trabajo; su calificación (encargado, responsable propio) depende del caso y conviene analizarla con un asesor.

Pregunta siempre dónde se almacenan los datos y si hay transferencias fuera del Espacio Económico Europeo (capítulo V del RGPD). No des por hecho nada: pídelo por escrito. Y desconfía de cualquier proveedor que prometa «cumplimiento RGPD garantizado»: el cumplimiento es de la clínica, el proveedor solo aporta herramientas y garantías.

Seguridad: medidas proporcionales al riesgo

El artículo 32 del RGPD exige medidas técnicas y organizativas apropiadas, teniendo en cuenta el riesgo. No hay un catálogo cerrado para una clínica privada, pero lo razonable incluye:

Medidas organizativas

• Perfiles de acceso por funciones: no todo el personal necesita ver lo mismo (véase roles y permisos).
• Cláusulas de confidencialidad firmadas por todo el personal, becarios y colaboradores.
• Formación breve y periódica, con ejemplos reales: phishing, hablar de pacientes en sala de espera, fotos con el móvil personal.
• Política de puesto limpio: sin historias abiertas ni papeles a la vista.
• Procedimiento de altas y bajas del personal (retirar accesos el mismo día).

Medidas técnicas

• Usuario y contraseña individuales; autenticación en dos pasos cuando el sistema lo permita.
• Cifrado de equipos portátiles y de las copias de seguridad.
• Copias de seguridad probadas y almacenadas fuera del puesto de trabajo.
• Antivirus y actualizaciones al día, también en el equipo de radiología.
• Registro de accesos y de cambios en la historia clínica cuando la herramienta lo ofrezca.
• Wi-Fi de pacientes separada de la red de la clínica.
• Destrucción segura de papel y de soportes que contengan datos.

Y una práctica muy extendida que merece mención aparte: el WhatsApp personal del odontólogo. Compartir radiografías o datos de pacientes por el móvil personal, o por grupos de mensajería sin control, mezcla datos de salud con un entorno que la clínica no gobierna. Si la comunicación con pacientes pasa por mensajería, hazlo desde un canal corporativo y con reglas claras.

Derechos de los pacientes

Los artículos 15 a 22 del RGPD reconocen los derechos de acceso, rectificación, supresión, limitación, portabilidad y oposición. La clínica debe responder en el plazo de un mes desde la recepción (ampliable en casos complejos, con aviso) y facilitar el ejercicio de forma gratuita, salvo solicitudes manifiestamente infundadas o excesivas. En una clínica dental los casos más frecuentes son:

• Acceso y copia de la historia: se entrega, con las limitaciones de la Ley 41/2002 sobre anotaciones subjetivas y datos de terceros.
• Supresión: no procede mientras la ley obligue a conservar la historia clínica; se explica al paciente y se bloquean los datos al vencer el plazo, según el artículo 32 de la LOPDGDD. Hablamos de plazos en nuestro artículo sobre qué debe contener la historia clínica y cuánto conservarla.
• Rectificación: se corrige dejando constancia del cambio, sin borrar el dato original de la historia.
• Oposición al marketing: se atiende de inmediato y se excluye al paciente de futuras campañas.

Conviene tener un procedimiento escrito, una dirección de contacto para solicitudes y un registro de las que se reciben y de las respuestas dadas.

Brechas de seguridad: las 72 horas

Una brecha de seguridad es cualquier incidente que provoque la destrucción, pérdida, alteración, comunicación o acceso no autorizado a datos personales (artículo 4.12 del RGPD). Ejemplos reales de una clínica: un portátil robado con historias sin cifrar, un correo con radiografías enviado al paciente equivocado, un ataque de ransomware que cifra el servidor, un exempleado que sigue accediendo con sus credenciales.

Qué exige el RGPD:

1. Notificar a la AEPD en un máximo de 72 horas desde que se tiene constancia de la brecha, salvo que sea improbable que suponga un riesgo para los derechos y libertades de las personas (artículo 33). Si se notifica más tarde, hay que explicar el motivo del retraso. La notificación se realiza en la sede electrónica de la AEPD; la agencia ofrece la herramienta Comunica-Brecha RGPD y un asistente para valorar si hay que notificar.
2. Comunicar a los afectados sin dilación indebida cuando el riesgo sea alto (artículo 34). En datos de salud, el riesgo suele ser alto.
3. Documentar todas las brechas, también las que no se notifican, con sus efectos y las medidas adoptadas (artículo 33.5).

Prepara el protocolo antes de necesitarlo: quién decide, a quién se avisa, qué se apaga, cómo se documenta. Un incidente a las nueve de la noche de un viernes no es el momento de averiguar quién tiene la contraseña del servidor.

Sanciones: qué está en juego

El artículo 83 del RGPD distingue dos escalones de multas administrativas: hasta 10 millones de euros o el 2 % de la facturación anual mundial para incumplimientos como los de las obligaciones del responsable y del encargado, y hasta 20 millones o el 4 % para infracciones de los principios básicos del tratamiento y de los derechos de los interesados, aplicándose la cuantía mayor. En la práctica, las sanciones a clínicas pequeñas se gradúan según la gravedad, la intencionalidad y las medidas adoptadas, y a menudo la AEPD hace uso de apercibimientos. Puedes consultar las resoluciones reales en el buscador de resoluciones de la AEPD, donde aparecen casos relacionados con clínicas, con acceso indebido a historias o con la falta de medidas de seguridad. Antes de dejarte llevar por cifras de sanciones que circulan por internet, comprueba siempre la resolución.

Cartelería, web y comunicaciones

• Política de privacidad en la web, con la información del artículo 13 y un formulario de contacto que no recoja más datos de los necesarios.
• Política de cookies conforme a la LSSI y a las guías de la AEPD si la web usa analítica o píxeles de marketing.
• Formularios de contacto y de cita online con la información de primera capa y una casilla separada para el marketing, sin premarcar.
• Videovigilancia, si la hay: cartel informativo y registro, y las cámaras no deben enfocar zonas donde se atiende al paciente.
• Correo electrónico: nunca incluyas datos de salud en el asunto y valora el envío de documentos con enlace protegido o cifrado.

Cómo te puede ayudar tu software de gestión, y dónde acaba su papel

Un programa de gestión no te hace cumplir el RGPD, pero sí te facilita varios de los controles: perfiles diferenciados, registro de quién escribe cada nota, una única ficha para localizar y entregar una copia, y el registro del consentimiento de marketing de cada paciente. En Dentanexa, por ejemplo, hay roles de serie y roles propios con un conjunto amplio de permisos, y el consentimiento de marketing queda registrado en la ficha; además, cada clínica trabaja sobre una instalación con sus datos separados de los de otras clínicas. Lo que el programa no puede hacer por ti es redactar tu política de privacidad, firmar contigo el contrato de encargado ni decidir quién debe ver qué: esas decisiones son de la clínica. Revisa también la historia clínica digital y qué permisos necesita cada perfil para leerla o modificarla.

Errores frecuentes

1. Pensar que RGPD es solo la cláusula de la hoja de firmas. Es un conjunto de obligaciones continuas.
2. Pedir consentimiento para todo. Para la asistencia no se necesita, y pedirlo puede crear la falsa impresión de que el paciente podría retirarlo y que la clínica dejaría de poder tratar su historia.
3. No tener contratos de encargado con la gestoría, el software o el servicio informático.
4. Compartir contraseñas entre el personal.
5. Enviar radiografías por canales personales sin control.
6. No saber qué hacer ante una brecha, y descubrir el plazo de 72 horas cuando ya ha pasado.
7. Dejar al personal que se va con acceso a los sistemas.
8. Usar el consentimiento de marketing sin prueba: sin poder demostrar cuándo y cómo lo dio el paciente, el envío de comunicaciones comerciales es una infracción potencial.
9. Conservar datos para siempre por si acaso, sin plazos definidos.
10. Contratar un servicio de IA o de nube sin saber dónde se tratan los datos.

Lista de comprobación de cumplimiento

• Información de primera capa entregada al paciente y registrada.
• Política de privacidad en la web, con formularios coherentes.
• Registro de actividades de tratamiento actualizado.
• Análisis de si procede delegado de protección de datos, con su resultado por escrito.
• Análisis sobre evaluación de impacto cuando haya tratamientos nuevos o de riesgo.
• Contratos de encargado con cada proveedor que accede a datos de pacientes.
• Consultado el país de almacenamiento y las transferencias internacionales de cada proveedor.
• Perfiles de acceso configurados por funciones; usuarios individuales.
• Compromisos de confidencialidad firmados por todo el personal.
• Copias de seguridad cifradas y probadas.
• Procedimiento de atención de derechos y de gestión de brechas, con responsables designados.
• Consentimientos de marketing y de imágenes registrados y revocables.
• Plazos de conservación definidos conforme a la Ley 41/2002 y a la norma autonómica.
• Formación del equipo al menos una vez al año.

Aviso

Este artículo es informativo y no sustituye el asesoramiento jurídico. El cumplimiento concreto depende de la forma jurídica de tu clínica, de los tratamientos que realices y de la normativa de tu comunidad autónoma. Consulta con un abogado o consultor especializado en protección de datos y sanidad.

Fuentes

• Reglamento (UE) 2016/679, RGPD (EUR-Lex)
• Ley Orgánica 3/2018, de Protección de Datos Personales y garantía de los derechos digitales (BOE)
• Ley 41/2002, básica reguladora de la autonomía del paciente (BOE)
• Ley 34/2002, de servicios de la sociedad de la información y de comercio electrónico (BOE)
• Agencia Española de Protección de Datos (AEPD)
• AEPD: resoluciones
• AEPD: Comunica-Brecha RGPD