La historia clínica de tus pacientes: quién puede verla y qué exige la ley para guardarla.
Datos de salud (categoría especial del Art. 9 RGPD), historia clínica bajo la Ley 41/2002, consentimiento informado, accesos trazables, encargados (laboratorios y software clínico) y protocolos de brecha de alto riesgo. Razonamiento auditable sobre la normativa sanitaria y de protección de datos que de verdad aplica a una clínica.
Ficha en preparación. Todavía no tiene todo lo que pedimos a una ficha completa: cinco casos de sanción comprobados, cinco situaciones, cinco plantillas y la base sectorial del copiloto. Los casos que ves están comprobados uno a uno en su resolución de aepd.es.
- 3 preguntas
- sin registro
- sin tarjeta
Situación por situación, con la norma que la impone.
Esto es lo propio del sector. Lo que te toca por tu tamaño o por lo que haces (web, cámaras, datos de salud…) lo ves en «¿Qué me aplica?», con este sector ya marcado.
-
Situación 01
Acceso a la historia clínica
Qué puede costar si se incumpleSin medidas de seguridad adecuadas, infracción del art. 32 RGPD (art. 83.4 RGPD: hasta 10 M€ o el 2 % del volumen de negocio anual, si es mayor); caso real: 200.000 € a HM Hospitales por las medidas de seguridad de su historia clínica (PS/00351/2023)
- El problema
- Varias personas del centro acceden al programa de gestión. ¿Quién puede ver qué? ¿Hay que registrar los accesos? ¿Y el personal administrativo?
- Qué exige la normativa
- Control de accesos por usuario · principio de necesidad de conocer · registro de accesos a datos de salud · Art. 9 y 32 RGPD · Ley 41/2002.
- Cómo lo resuelve AIM ÆGIS
- El agente analiza tu organización (roles, software, recepción), cita el Art. 9 RGPD y la Ley 41/2002, y genera la política de accesos y el registro mínimo exigible.
-
Situación 02
Consentimiento informado y finalidades
Qué puede costar si se incumpleTratar datos sin base jurídica es infracción del art. 6 RGPD (art. 83.5 RGPD: hasta 20 M€ o el 4 % del volumen de negocio anual, si es mayor); caso real: 20.000 € a un hospital por casillas de consentimiento premarcadas y un derecho de acceso mal atendido (PS/00204/2022)
- El problema
- Recoges datos para asistencia, pero también quieres mandar recordatorios, encuestas o publicidad de servicios. ¿Necesitas consentimientos separados?
- Qué exige la normativa
- Base jurídica de asistencia sanitaria (Art. 9.2.h RGPD) · consentimiento separado para finalidades no asistenciales · información en capas.
- Cómo lo resuelve AIM ÆGIS
- Plantillas de consentimiento y de información al paciente que separan la asistencia de las comunicaciones comerciales, con el texto exacto que exige la AEPD.
-
Situación 03
Brecha de datos de salud
Qué puede costar si se incumpleCaso real: 30.000 € a un centro médico por una brecha con datos de pacientes sin medidas de seguridad adecuadas (PS/00009/2026); no notificarla a tiempo es, además, infracción del art. 33 RGPD (art. 83.4)
- El problema
- Un portátil con historiales se pierde, o el software clínico sufre un ataque. ¿Hay que notificar a la AEPD? ¿A los pacientes?
- Qué exige la normativa
- Datos de salud = alto riesgo · notificación a la AEPD en 72 h (Art. 33) · comunicación a los afectados si hay alto riesgo (Art. 34).
- Cómo lo resuelve AIM ÆGIS
- El flujo guiado de brecha 72h evalúa el riesgo, prepara la notificación a la AEPD y el comunicado a los pacientes, con plazos y registro de la incidencia.
-
Situación 04
Encargados: laboratorio, nube y transcripción
Qué puede costar si se incumpleSin contrato de encargo, infracción del art. 28 RGPD (art. 83.4 RGPD: hasta 10 M€ o el 2 % del volumen de negocio anual, si es mayor)
- El problema
- Mandas muestras a un laboratorio, usas software clínico en la nube y a veces transcripción externa. ¿Qué contratos necesitas?
- Qué exige la normativa
- Contrato de encargado Art. 28 RGPD con cada proveedor · garantías de seguridad · ubicación de los datos · transferencias internacionales si la nube está fuera de la UE.
- Cómo lo resuelve AIM ÆGIS
- Registro de encargados con la clínica + contratos Art. 28 listos y el análisis de transferencias si algún proveedor está fuera del EEE.
-
Situación 05
Videovigilancia en consulta y sala de espera
Qué puede costar si se incumpleGrabar más de lo necesario o sin cartel es infracción de los arts. 5.1.c y 13 RGPD (art. 83.5 RGPD: hasta 20 M€ o el 4 % del volumen de negocio anual, si es mayor)
- El problema
- Hay cámaras en recepción y pasillos. ¿Pueden grabar la sala de espera? ¿Y zonas donde se trata a pacientes?
- Qué exige la normativa
- Proporcionalidad (Art. 5.1.c RGPD) · cartel informativo (Art. 13) · prohibición de grabar zonas de tratamiento o intimidad · conservación de un mes como máximo.
- Cómo lo resuelve AIM ÆGIS
- Análisis de cada cámara, cartelería modelo AEPD y la política de videovigilancia adaptada a un centro sanitario.
Los marcos del catálogo que cubren este sector, con su referencia oficial. Cada uno explica a quién obliga y desde cuándo.
Lo que puede costar no hacerlo.
Cinco procedimientos de la AEPD contra clínicas y centros sanitarios privados, cada uno con su resolución enlazada
Importes que citan las resoluciones: de 20.000 € (PS/00204/2022) a 200.000 € (PS/00351/2023)
-
PS/00351/2023 · HM Hospitales
200.000 €Importe que cita el caso
Tras una denuncia sobre fallos de seguridad de «Doctoris», el sistema de gestión hospitalaria con la historia clínica que usan todos sus centros, la AEPD impuso a HM Hospitales 1989, S.A. 200.000 € por no tener medidas de seguridad adecuadas al riesgo (art. 32 RGPD) en un tratamiento de datos de salud a gran escala.
CausaMedidas de seguridad insuficientes en el sistema de historia clínica (art. 32 RGPD)
-
PS/00317/2022 · Centro Médico Salus Baleares
30.000 €Importe que cita el caso
En la sala de espera de una clínica (Centro Médico Salus Baleares, S.L.) un aparato tomaba la temperatura a los pacientes y dejaba el resultado en pantalla varios segundos, a la vista de los demás. La AEPD le impuso 20.000 € por vulnerar la confidencialidad de un dato de salud (art. 5.1.f RGPD) y 10.000 € por falta de medidas (art. 32).
CausaTemperatura de los pacientes a la vista en la sala de espera (arts. 5.1.f y 32 RGPD)
-
PS/00204/2022 · Hospital Recoletas Ponferrada
20.000 €Importe que cita el caso
En la recepción de una clínica (Hospital Recoletas Ponferrada, S.L.) el formulario de protección de datos de la tableta traía marcadas de antemano las casillas de consentimiento, y además no se atendió bien un derecho de acceso. La AEPD propuso 10.000 € por el art. 6.1 RGPD y 10.000 € por los arts. 12 y 15; la clínica pagó 16.000 € el 31/10/2022 con la reducción por pago voluntario.
CausaCasillas de consentimiento premarcadas y derecho de acceso mal atendido (arts. 6.1 y 15 RGPD)
-
PS/00262/2021 · Cedico
30.000 €Importe que cita el caso
Un centro de diagnóstico por imagen (Cedico, S.L.) hizo una resonancia a una paciente de forma privada y el informe llegó a su mutua laboral sin su consentimiento. La AEPD le abrió procedimiento por vulnerar la confidencialidad (art. 5.1.f RGPD) con una multa de 30.000 €; pagó 18.000 € el 10/09/2021 con las dos reducciones.
CausaInforme de una prueba privada enviado a la mutua (art. 5.1.f RGPD)
-
PS/00009/2026 · ECG Médica
30.000 €Importe que cita el caso
Una clínica (ECG Médica, S.L.) notificó a la AEPD que un desconocido le escribía amenazando con publicar datos detallados de sus pacientes. La AEPD fijó 30.000 € por no tener medidas de seguridad adecuadas al riesgo (art. 32 RGPD); pagó 18.000 € el 10/04/2026 con las dos reducciones.
CausaBrecha con datos de pacientes por falta de medidas de seguridad (art. 32 RGPD)
3 documentos, cada uno con su base legal.
Se generan a partir del caso de cada empresa: documentos editables para que los revises, con la norma que cumplen a la vista.
-
Política de accesos a la historia clínica
Quién accede a qué, con registro de accesos.
Base legal: Art. 9, 32 RGPD + Ley 41/2002PDF + Word editable -
Consentimiento e información al paciente
Asistencia y comunicaciones separadas, en capas.
Base legal: Art. 9.2.h, 13 RGPDPDF + Word editable -
Registro de actividades de tratamiento sanitario
RAT específico de centro sanitario.
Base legal: Art. 30 RGPDPDF + Word editable
¿Llevas clientes de este sector? Ofréceselo con tu marca.
Cada cliente del sector ve qué le obliga y por qué, con su artículo; tú revisas lo que exige criterio profesional y lo facturas como servicio tuyo. Te enseñamos cómo, sin compromiso.
Decenas de miles de centros sanitarios privados en España: clínicas, consultas, fisioterapia, psicología, podología, centros de diagnóstico y consultorios.
Lo que te toca a ti, en tres preguntas.
Tu sector ya viene marcado: di cuántas personas sois y qué haces, y verás cada obligación con su porqué y su norma.
- 3 preguntas
- sin registro
- sin tarjeta