RGPD y Datos de Salud: Obligaciones, Sanciones y Checklist de Cumplimiento

Qué dice el RGPD sobre los datos de salud

El Artículo 9 del RGPD clasifica los datos de salud como "categorías especiales" que requieren protección reforzada. Esto incluye historiales clínicos, resultados de pruebas, diagnósticos, tratamientos, datos genéticos y cualquier información relacionada con la salud física o mental de una persona.

Obligaciones específicas para centros sanitarios

• Base jurídica reforzada: No basta el consentimiento genérico. Necesitas consentimiento explícito o justificación por interés vital, salud pública o medicina preventiva.
• Evaluación de Impacto (EIPD): Obligatoria cuando el tratamiento de datos de salud es a gran escala. Todos los hospitales y la mayoría de clínicas deben realizarla.
• Delegado de Protección de Datos (DPD): Obligatorio para todos los centros sanitarios públicos y privados que traten datos de salud a gran escala.
• Registro de actividades: Documentar todos los tratamientos de datos sanitarios con finalidad, base jurídica, destinatarios y plazos de conservación.
• Notificación de brechas: 72 horas para notificar a la AEPD cualquier brecha que afecte a datos de pacientes.

Sanciones reales en el sector sanitario

La AEPD ya ha impuesto sanciones significativas a centros sanitarios españoles:

• Hasta 20 millones de euros o el 4% de la facturación global por infracciones graves.
• Sanciones de 50.000 a 300.000 euros por falta de medidas de seguridad adecuadas en clínicas.
• Apercibimientos a hospitales públicos por accesos no autorizados a historiales clínicos.

Checklist de cumplimiento RGPD sanitario

1. Nombrar un Delegado de Protección de Datos cualificado
2. Realizar la Evaluación de Impacto sobre datos de pacientes
3. Implementar cifrado de datos en reposo y en tránsito
4. Configurar control de acceso basado en roles (médico, enfermería, administrativo)
5. Establecer logs de auditoría de acceso a historiales clínicos
6. Formar al personal sobre protección de datos de pacientes
7. Documentar procedimiento de notificación de brechas en 72h
8. Revisar contratos con proveedores tecnológicos (encargados del tratamiento)
9. Implementar política de retención y destrucción de datos sanitarios
10. Realizar auditorías de cumplimiento al menos anuales

Conclusión

El cumplimiento del RGPD en sanidad no es opcional: es una obligación legal con consecuencias económicas y reputacionales graves. Un enfoque proactivo que combine medidas técnicas y organizativas protege tanto a los pacientes como a tu centro.