Tu clínica dental: qué te obliga y qué no, con su artículo.
Historia clínica conforme Ley 41/2002, fotos antes/después con consentimiento específico, contrato de encargado (art. 28 RGPD) con tu software de gestión, brechas de seguridad con protocolo 72h y cesión a aseguradoras minimizada. Razonamiento auditable sobre la Guía AEPD sanidad, la doctrina sancionadora dental y el régimen MDR aplicado al software dental que usas.
- 3 preguntas
- sin registro
- sin tarjeta
Situación por situación, con la norma que la impone.
Esto es lo propio del sector. Lo que te toca por tu tamaño o por lo que haces (web, cámaras, datos de salud…) lo ves en «¿Qué me aplica?», con este sector ya marcado.
-
Situación 01
Alta de paciente y apertura de historia clínica
Qué puede costar si se incumplePedir o tratar datos de más es infracción del art. 5.1.c RGPD (art. 83.5 RGPD: hasta 20 M€ o el 4 % del volumen de negocio anual, si es mayor); caso real: 20.000 € a una clínica por exigir copia del DNI para devolver un cobro (PS/00253/2023)
- El problema
- Cada nuevo paciente firma un consentimiento al alta que muchas clínicas usan como cajón de sastre: asistencia, marketing, fotos, cesiones. Cuando llega una inspección AEPD, ese consentimiento genérico no protege nada.
- Qué exige la normativa
- Información Art. 13 RGPD entregada por escrito · base jurídica Art. 6.1.b (contrato) + Art. 9.2.h RGPD (asistencia sanitaria) · consentimientos diferenciados para finalidades secundarias (fotos, marketing, cesiones) · conservación según Ley 41/2002 + autonómica.
- Cómo lo resuelve AIM ÆGIS
- Documento de alta paramétrico: información Art. 13 + consentimientos diferenciados por finalidad concreta · el agente te indica qué consentimientos necesitas según los servicios que ofreces (sedación, ortodoncia, implantes, ortodoncia infantil) y genera el formulario.
-
Situación 02
Fotos antes/después en redes sociales
Qué puede costar si se incumpleUsar la imagen de un paciente sin su consentimiento es infracción de los arts. 6 y 9 RGPD (art. 83.5 RGPD: hasta 20 M€ o el 4 % del volumen de negocio anual, si es mayor)
- El problema
- Tu marketing depende de Instagram, TikTok y la web. Los pacientes firman al alta pero el consentimiento no menciona expresamente difusión publicitaria.
- Qué exige la normativa
- Consentimiento ESPECÍFICO Art. 7 RGPD para finalidad publicitaria · documento separado del consentimiento clínico · información previa: canales (Instagram, TikTok, web), duración, alcance, revocación · registro auditable · menores: consentimiento de la patria potestad.
- Cómo lo resuelve AIM ÆGIS
- Plantilla de consentimiento publicitario separado · registro auditable exportable si AEPD inspecciona · checklist para menores · protocolo de retirada cuando el paciente revoca.
-
Situación 03
Contrato Art. 28 con software dental (Gesden, Klinikare, Odontonet)
Qué puede costar si se incumpleSin contrato de encargo, infracción del art. 28 RGPD (art. 83.4 RGPD: hasta 10 M€ o el 2 % del volumen de negocio anual, si es mayor)
- El problema
- Tu software de gestión aloja la historia clínica de miles de pacientes en sus servidores. Sin contrato formal de encargo Art. 28, la AEPD considera infracción autónoma.
- Qué exige la normativa
- Contrato Art. 28 RGPD con todas las cláusulas: instrucciones documentadas · confidencialidad personal · medidas Art. 32 específicas datos salud · subencargados identificados · transferencias internacionales · asistencia · brechas · destino al finalizar · auditoría.
- Cómo lo resuelve AIM ÆGIS
- Modelo de contrato Art. 28 específico para software sanitario · adaptaciones para los principales proveedores (Gesden, Dental Easy, Klinikare, Odontonet) · verificación de certificaciones (ISO 27001, ENS Alta) · registro de actividades del tratamiento.
-
Situación 04
Brecha de seguridad · ransomware o robo
Qué puede costar si se incumpleCaso real: 20.000 € a una clínica dental por un ransomware sin medidas adecuadas y notificado tarde (PS/00078/2024). Aparte, la responsabilidad civil (art. 82 RGPD)
- El problema
- El ransomware ha golpeado al sector dental con frecuencia creciente. Si te pasa, tienes 72 horas para notificar a la AEPD. Pagar el rescate NO te exime de notificar ni de responsabilidad.
- Qué exige la normativa
- Notificación AEPD < 72h (Art. 33 RGPD) · notificación a pacientes si alto riesgo (Art. 34 RGPD) · activación protocolo continuidad asistencial · evaluación riesgo · coordinación INCIBE-CERT · registro Art. 33.5 · revisión post-incidente.
- Cómo lo resuelve AIM ÆGIS
- Workflow guiado de notificación 72h con borrador AEPD-ready · comunicación tipo a pacientes · checklist de evaluación retrospectiva (¿cifrado? ¿backups? ¿formación?) · protocolo de continuidad asistencial · registro automático del incidente.
-
Situación 05
Cesión de informe a aseguradora (Sanitas, Adeslas, Asisa)
Qué puede costar si se incumpleCeder datos de salud de más es infracción de los arts. 5.1.c y 9 RGPD (art. 83.5 RGPD: hasta 20 M€ o el 4 % del volumen de negocio anual, si es mayor)
- El problema
- La aseguradora pide la historia completa para autorizar un tratamiento. Si la envías íntegra, la AEPD te sanciona por desproporción.
- Qué exige la normativa
- Consentimiento ESPECÍFICO para esa cesión concreta · minimización: solo los datos estrictamente necesarios · base jurídica Art. 6.1.a + Art. 9.2.a RGPD · información previa: qué se cede, a quién, para qué · registro de la cesión auditable.
- Cómo lo resuelve AIM ÆGIS
- Modelo de informe minimizado por tipo de tratamiento (ortodoncia, implantes, periodoncia) · consentimiento específico para cada cesión · registro de cesiones exportable · alerta cuando un consentimiento genérico antiguo no cubre una cesión nueva.
-
Situación 06
Ejercicio de derecho de acceso del paciente
Qué puede costar si se incumpleCaso real: 5.000 € a una clínica que no entregó la historia completa con las radiografías pese al requerimiento de la AEPD (PS/00520/2014, con la ley de 1999); hoy, infracción de los arts. 12 y 15 RGPD (art. 83.5 RGPD: hasta 20 M€ o el 4 % del volumen de negocio anual, si es mayor)
- El problema
- Un paciente pide copia de su historia. Si entregas un resumen sin radiografías ni ortopantomografías, no atiendes bien el derecho de acceso y te expones a sanción (cf. PS/00520/2014: 5.000 € a una clínica que no cumplió el requerimiento de la AEPD de entregar la historia completa con las radiografías).
- Qué exige la normativa
- Entrega íntegra de la historia incluyendo imágenes · plazo máximo 1 mes (Art. 12 RGPD) · formato útil (papel o electrónico estructurado) · excepción: anotaciones subjetivas del facultativo no son objeto del derecho · registro del ejercicio del derecho.
- Cómo lo resuelve AIM ÆGIS
- Workflow paramétrico para atender el derecho: checklist del contenido obligatorio · exportación de historia completa desde Gesden u otros · alerta sobre anotaciones subjetivas exentas · modelo de respuesta al paciente · registro auditable.
-
Situación 07
Software CAD/CAM y planificación de implantes (producto sanitario)
Qué puede costar si se incumpleRégimen sancionador de productos sanitarios + responsabilidad civil
- El problema
- El software que usas para planificar implantes y diseñar prótesis CAD/CAM suele ser producto sanitario: su clase (I, IIa o IIb) la fija el fabricante según su finalidad. ¿Verificas el marcado CE? ¿Tienes registrada la formación del personal? ¿Sabes a quién notificar un incidente grave?
- Qué exige la normativa
- Comprobar el marcado CE como producto sanitario (Reglamento (UE) 2017/745) · usarlo conforme a sus instrucciones y formar al personal · notificar los incidentes graves a la AEMPS por su sede electrónica (art. 35.2 RD 192/2023) · designar un responsable de vigilancia del centro (art. 35.3) · la vigilancia postcomercialización y las acciones correctivas son del fabricante · si fabricas prótesis a medida en la clínica, licencia previa de funcionamiento (art. 10 RD 192/2023).
- Cómo lo resuelve AIM ÆGIS
- Inventario de software dental con marcado CE · checklist de verificación previo a la compra · registro de formación del personal · workflow de notificación de incidentes graves a la AEMPS · designación del responsable de vigilancia.
Los marcos del catálogo que cubren este sector, con su referencia oficial. Cada uno explica a quién obliga y desde cuándo.
Lo que puede costar no hacerlo.
Seis procedimientos de la AEPD contra clínicas dentales, cada uno con su resolución: cámaras en los gabinetes, un ransomware, la historia clínica, la copia del DNI, la publicidad tras pedir la baja y una llamada a la Lista Robinson
Cámaras en gabinetes y puestos de trabajo: 8.000 € (PS/00439/2024) · ransomware notificado tarde: 20.000 € (PS/00078/2024) · copia del DNI y delegado de protección de datos: 30.000 € (PS/00253/2023) · publicidad tras pedir la baja: 7.000 € (PS/00078/2022) · llamada a la Lista Robinson: 5.000 € (PS/00172/2024) · historia clínica no entregada: 5.000 € (PS/00520/2014)
-
PS/00439/2024 · Axarquía Vélez Dental
8.000 €Importe que cita el caso
Una clínica dental (Axarquía Vélez Dental, S.L.) tenía once cámaras, una en cada uno de sus cinco gabinetes, que grababan a los pacientes durante los tratamientos, y otras que captaban en exceso los puestos de trabajo. La AEPD fijó 5.000 € por las de los gabinetes y 3.000 € por las de los puestos de trabajo (minimización, art. 5.1.c RGPD); la clínica pagó 5.400 € (3.000 € y 2.400 €) con las reducciones.
CausaCámaras en los gabinetes y sobre los puestos de trabajo (art. 5.1.c RGPD)
-
PS/00520/2014 · Vitaldent
5.000 €Importe que cita el caso
Precedente (resolución R/00751/2015, con la LOPD de 1999, ya derogada): tras ordenar la AEPD a una clínica dental (Vitadental XXI, S.L., Clínica Vitaldent) que entregara a una paciente su historia clínica completa, incluidas las radiografías panorámicas, la clínica no cumplió el requerimiento y fue sancionada con 5.000 €. Con el RGPD, no atender el derecho de acceso (arts. 12 y 15 RGPD) y no responder a la AEPD (art. 58.1 RGPD) son infracciones del art. 83.5 RGPD.
CausaNo cumplir el requerimiento de la AEPD de entregar la historia clínica (art. 37.1.f LOPD 1999)
-
PS/00078/2024 · Dentalcuadros BCN
20.000 €Importe que cita el caso
Un ransomware cifró el servidor con los datos de los pacientes de una clínica (Dentalcuadros BCN, S.L.P.), que notificó la brecha a la AEPD pasadas con creces las 72 horas. La AEPD fijó 15.000 € por no tener medidas de seguridad adecuadas (art. 32 RGPD) y 5.000 € por notificar tarde (art. 33); la clínica pagó 12.000 € el 01/05/2024 con las dos reducciones.
CausaRansomware sin medidas adecuadas y brecha notificada tarde (arts. 32 y 33 RGPD)
-
PS/00253/2023 · Clínica Dental Sagrada Familia
30.000 €Importe que cita el caso
La sociedad que explota varias clínicas odontológicas (Apollonia Topco, S.L., Clínica Dental Sagrada Familia de Barcelona) exigía copia del DNI para devolver a los pacientes lo cobrado de más. La AEPD le impuso 20.000 € por pedir datos innecesarios (minimización, art. 5.1.c RGPD) y 10.000 € por infringir el art. 38 RGPD (la posición del delegado de protección de datos).
CausaCopia del DNI para devolver un cobro y delegado de protección de datos (arts. 5.1.c y 38 RGPD)
-
PS/00078/2022 · Clínica Dental San Francisco
7.000 €Importe que cita el caso
Una expaciente pidió en 2018 que la dieran de baja y dejaran de enviarle publicidad, y la clínica (Clínica Dental San Francisco, S.L.) le mandó siete mensajes publicitarios más hasta finales de 2021. La AEPD fijó 5.000 € por no atender la supresión (arts. 12 y 17 RGPD) y 2.000 € por las comunicaciones comerciales sin consentimiento (art. 21 LSSI); la clínica pagó 4.200 € con las dos reducciones.
CausaPublicidad tras pedir la baja (arts. 17 RGPD y 21 LSSI)
-
PS/00172/2024 · Dental Comercio 4
5.000 €Importe que cita el caso
Una persona inscrita en la Lista Robinson recibió una llamada en la que le ofrecían tratamientos de una clínica dental (Gerdental). La AEPD fijó 5.000 € a Dental Comercio 4, S.L. por llamar con fines comerciales a quien se había opuesto (art. 48.1.b de la Ley General de Telecomunicaciones y art. 23.4 LOPDGDD); pagó 3.000 € con las dos reducciones.
CausaLlamada comercial a un número inscrito en la Lista Robinson (art. 48.1.b LGT y art. 23.4 LOPDGDD)
8 documentos, cada uno con su base legal.
Se generan a partir del caso de cada empresa: documentos editables para que los revises, con la norma que cumplen a la vista.
-
Documento de alta del paciente · información + consentimientos diferenciados
Información Art. 13 RGPD completa + consentimientos separados para cada finalidad secundaria (fotos marketing, cesiones, recordatorios SMS, encuestas satisfacción). Adaptable por servicios ofrecidos.
Base legal: Art. 13 RGPD + Art. 9.2.h RGPD + Ley 41/2002PDF + Word editable -
Consentimiento fotos antes/después con fines publicitarios
Documento separado del consentimiento clínico. Detalla canales (Instagram, TikTok, web, anuncios), duración, alcance geográfico, revocación. Versión menores.
Base legal: Art. 7 RGPD + Art. 8 LOPDGDD (menores)PDF + Word editable -
Contrato Art. 28 RGPD con proveedor de software dental
Adaptado a software de gestión sanitaria con cláusulas específicas para categoría especial Art. 9 + medidas Art. 32 sectoriales. Versiones para Gesden, Dental Easy, Klinikare, Odontonet y plantilla genérica.
Base legal: Art. 28 RGPD + Guía AEPD historia clínica (Cap. 4)PDF + Word editable -
Protocolo brecha 72h específico clínica dental
Workflow paso a paso desde detección hasta cierre. Borrador AEPD-ready + comunicación a pacientes + coordinación INCIBE-CERT + checklist post-incidente.
Base legal: Arts. 33 + 34 RGPD + Guía AEPD notificación brechasPDF + Word editable -
Modelo de informe minimizado para aseguradora
Plantillas por tipo de tratamiento (ortodoncia, implantes, periodoncia, endodoncia) con solo los datos estrictamente necesarios + consentimiento específico del paciente para esa cesión concreta.
Base legal: Art. 6.1.a + Art. 9.2.a RGPD + Art. 5.1.c RGPDPDF + Word editable -
Atención del derecho de acceso del paciente
Checklist de contenido obligatorio (incluye imágenes), modelo de respuesta al paciente, registro auditable del ejercicio del derecho, plazos del Art. 12 RGPD.
Base legal: Art. 15 RGPD + Art. 18 Ley 41/2002PDF + Word editable -
Inventario de software dental MDR + registro de formación
Plantilla de inventario con marcado CE, versión instalada, fecha de actualización, personal formado, responsable de vigilancia y registro de incidentes graves notificados a la AEMPS.
Base legal: Reglamento (UE) 2017/745 + Art. 35 RD 192/2023PDF + Word editable -
Registro de Actividades de Tratamiento (RAT) · clínica dental
RAT preconfigurado con los 12 tratamientos típicos de una clínica dental (asistencia, gestión citas, facturación, fotos marketing, cesiones aseguradoras, videovigilancia, RRHH, contabilidad, etc.) con base jurídica, conservación y medidas técnicas.
Base legal: Art. 30 RGPDPDF + Word editable
Registro retributivo: qué es y por qué tu empresa probablemente ya lo necesita
El registro retributivo es una de esas obligaciones que muchas empresas desconocen hasta que llega una inspección....
Leer la guía →RGPD para pymes: lo mínimo que tienes que tener en regla
El RGPD no es solo para grandes empresas. Si tratas datos personales de clientes, empleados o proveedores, esto te...
Leer la guía →¿Llevas clientes de este sector? Ofréceselo con tu marca.
Cada cliente del sector ve qué le obliga y por qué, con su artículo; tú revisas lo que exige criterio profesional y lo facturas como servicio tuyo. Te enseñamos cómo, sin compromiso.
Unos 43.700 dentistas colegiados en España (INE, 2025).
Lo que te toca a ti, en tres preguntas.
Tu sector ya viene marcado: di cuántas personas sois y qué haces, y verás cada obligación con su porqué y su norma.
- 3 preguntas
- sin registro
- sin tarjeta