Tu residencia: qué le exige la AEPD, con su artículo.
Consentimiento informado por representación legal acreditado, cesión a familiares solo a personas autorizadas, videovigilancia en zonas comunes con cartel Art. 13, contrato Art. 28 con tu software de gestión, protocolo de brecha en 72h, comunicación al SAAD documentada. Razonamiento auditable sobre la Guía AEPD de residencias, Ley 41/2002 autonomía paciente, Ley 39/2006 dependencia y la doctrina sancionadora real.
- 3 preguntas
- sin registro
- sin tarjeta
Situación por situación, con la norma que la impone.
Esto es lo propio del sector. Lo que te toca por tu tamaño o por lo que haces (web, cámaras, datos de salud…) lo ves en «¿Qué me aplica?», con este sector ya marcado.
-
Situación 01
Cámara en habitación con consentimiento de un familiar sin representación legal
Qué puede costar si se incumpleGrabar a una residente sin una base válida es infracción de los arts. 6 y 9 RGPD (art. 83.5 RGPD: hasta 20 M€ o el 4 % del volumen de negocio anual, si es mayor)
- El problema
- La hija de una residente con Alzheimer avanzada pide instalar una cámara en la habitación para 'controlar que la cuiden bien'. La residente no tiene ninguna medida de apoyo con representación y la hija no es su curadora. ¿Se puede instalar?
- Qué exige la normativa
- RGPD Art. 9 (categoría especial · datos de salud y vida privada) · Art. 22 LOPDGDD videovigilancia · Art. 12.1 LOPDGDD (derechos ejercidos por representante) · Art. 18 CE intimidad. Si la residente puede decidir, decide ella. Si no puede, el mero parentesco no basta: solo puede consentir quien tenga una medida de apoyo con facultades de representación (por ejemplo, una curatela representativa) o un guardador de hecho con autorización judicial para ese acto (arts. 263-264 del Código Civil, tras la Ley 8/2021).
- Cómo lo resuelve AIM ÆGIS
- El agente identifica que el parentesco NO equivale a representación legal, te facilita el texto motivado de la denegación al familiar, te recuerda que hace falta una medida de apoyo con representación o una autorización judicial al guardador de hecho, además de un plan terapéutico documentado, y te sugiere derivar a Inspección autonómica si hay sospecha real de maltrato.
-
Situación 02
Software de gestión SaaS sin contrato Art. 28 firmado
Qué puede costar si se incumpleMulta AEPD potencial hasta 10M € o 2% facturación Art. 83.4.a RGPD.
- El problema
- Llevamos 4 años usando un software de gestión de residencia (planes de cuidados, medicación, registros) sin haber firmado nunca contrato con el proveedor. ¿Es esto un problema serio?
- Qué exige la normativa
- Art. 28 RGPD · contrato escrito entre responsable (la residencia) y encargado (el proveedor SaaS) con todos los elementos del Art. 28.3 (objeto, duración, finalidad, tipo de datos, obligaciones de seguridad, sub-encargados, asistencia, etc.).
- Cómo lo resuelve AIM ÆGIS
- Plantilla DPA-residencia ÆGIS lista con todas las cláusulas Art. 28 incluidas seguridad Art. 32, sub-encargados, transferencias internacionales y SCC si proveedor extracomunitario. Lista de verificación de proveedores típicos del sector (Resiplus, Geriatric, Ekon, ServiSenior).
-
Situación 03
Foto del cumpleaños del residente publicada en Facebook
Qué puede costar si se incumplePublicar la imagen de un residente sin su consentimiento es infracción del art. 6 RGPD (art. 83.5 RGPD: hasta 20 M€ o el 4 % del volumen de negocio anual, si es mayor)
- El problema
- Publicamos fotos del 95º cumpleaños del residente en Facebook alegando que firmó al ingreso una cláusula genérica de 'uso de imagen para actividades del centro'. Su hijo nos reclama.
- Qué exige la normativa
- Art. 7 RGPD · consentimiento libre, específico, informado e inequívoco. Una cláusula genérica de «uso de imagen» en el contrato de ingreso no es un consentimiento válido para publicar fotos en redes (arts. 4.11 y 7 RGPD y Directrices 05/2020 del CEPD): el consentimiento debe pedirse aparte, para cada uso concreto, y poder retirarse en cualquier momento.
- Cómo lo resuelve AIM ÆGIS
- Formulario de consentimiento separado y granular generado por ÆGIS, que distingue: foto/vídeo individual, foto/vídeo grupal, redes sociales internas, redes sociales externas (Facebook, Instagram), página web pública, materiales promocionales. Workflow de validación previa a publicación + protocolo de retirada inmediata.
-
Situación 04
Brecha por extravío de tablet de enfermería
Qué puede costar si se incumpleNo notificar a tiempo es infracción del art. 33 RGPD (art. 83.4 RGPD: hasta 10 M€ o el 2 % del volumen de negocio anual, si es mayor)
- El problema
- La tablet que enfermería usa para registro de medicación ha desaparecido durante el fin de semana. Tenía la sesión del software abierta. Contenía datos de medicación de 47 residentes de los últimos 6 meses.
- Qué exige la normativa
- Art. 33 RGPD · notificación a la AEPD en 72h si hay riesgo. Art. 34 RGPD · comunicación a los interesados sin dilación si hay alto riesgo: con datos de salud sin cifrar suele haberlo, pero la valoración se hace y se documenta caso por caso, y no hace falta si los datos estaban cifrados de forma robusta (Art. 34.3.a). No notificar a tiempo es infracción del art. 33 RGPD.
- Cómo lo resuelve AIM ÆGIS
- Workflow de brecha guiado paso a paso: registro hora conocimiento, bloqueo remoto si MDM, formulario de notificación de brechas de la sede electrónica de la AEPD, carta a residentes/representantes con alto riesgo, plan de contingencia (cifrado, MDM obligatorio en futuros dispositivos).
-
Situación 05
Hermano del residente con capacidad pide su historia clínica
Qué puede costar si se incumpleEntregar la historia sin autorización del residente es infracción de los arts. 5.1.f y 9 RGPD (art. 83.5 RGPD: hasta 20 M€ o el 4 % del volumen de negocio anual, si es mayor)
- El problema
- El hermano de un residente de 72 años con plena capacidad de obrar nos solicita por escrito copia completa de la historia clínica 'por preocupación por su salud'. ¿Se la entregamos?
- Qué exige la normativa
- El titular de la información y del acceso a la historia clínica es el propio residente (arts. 5.1 y 18.1 de la Ley 41/2002). Un familiar solo puede acceder con su autorización o como representante debidamente acreditado (art. 18.2); entregarla sin ella vulnera el deber de confidencialidad y los arts. 5.1.f y 9 RGPD. El art. 18.4 solo se aplica a pacientes fallecidos.
- Cómo lo resuelve AIM ÆGIS
- Plantilla de acuse de recibo + formulario para preguntar al residente con capacidad si autoriza. Si autoriza: plantilla de entrega con verificación de identidad. Si deniega: plantilla de denegación motivada al hermano sin revelar la motivación del residente.
-
Situación 06
Inspección autonómica pide acceso a expedientes de residentes
Qué puede costar si se incumpleNinguna si se atiende correctamente; obstruir la acción de los servicios de inspección es infracción de la Ley de Dependencia (art. 43.b Ley 39/2006), sancionable con multa, cese temporal de la actividad o cierre (art. 45), además de lo que prevea la ley autonómica de servicios sociales
- El problema
- La Inspección de servicios sociales de la CCAA realiza visita ordinaria y pide acceder a expedientes de 10 residentes para revisar planes de cuidados. ¿Tenemos que entregárselos?
- Qué exige la normativa
- Art. 6.1.c RGPD obligación legal (potestad inspectora regulada en ley autonómica) + Art. 9.2.h RGPD (medicina preventiva). La cesión está permitida sin consentimiento, pero hay que verificar identidad y orden, registrar la cesión en el RAT, y NO entregar datos de residentes no incluidos en la solicitud.
- Cómo lo resuelve AIM ÆGIS
- Protocolo guiado de respuesta a inspección: verificación credenciales + orden, plantilla de acta de cesión motivada, registro automático en el RAT de cesiones, recordatorio de minimización (solo lo pedido, no más).
Los marcos del catálogo que cubren este sector, con su referencia oficial. Cada uno explica a quién obliga y desde cuándo.
Lo que puede costar no hacerlo.
Cinco procedimientos de la AEPD en torno a las residencias, cada uno con su resolución: correos a las familias sin copia oculta, una carta de despido en el WhatsApp de la plantilla, el fichaje con huella, una historia clínica no entregada y la farmacia que preparaba la medicación a los residentes
Correos sin copia oculta: 1.000 € (PS/00208/2024) · carta de despido en el WhatsApp de la plantilla: 3.500 € (PS/00216/2022) · SPD y pañales sin base, a la farmacia: 13.000 €, 7.800 € tras reducciones (PS/00139/2025) · huella para fichar e historia clínica no entregada, en residencias públicas: sin multa, por ser administraciones (PS/00545/2023 y PS/00175/2021)
-
PS/00139/2025
13.000 €Importe que cita el caso
Caso real del entorno de las residencias (PS/00139/2025): la AEPD sancionó a la titular de una farmacia que preparaba SPD y dispensaba pañales a residentes de centros geriátricos sin base jurídica ni consentimiento de los afectados y sin informarles: dos infracciones del art. 6.1 RGPD y una del art. 14. Multa total de 13.000 €, que quedó en 7.800 € tras las reducciones por reconocimiento de responsabilidad y pago voluntario. La sancionada fue la farmacia, no la residencia: revisa qué datos de tus residentes compartes con ella y con qué base.
CausaTratamiento sin base jurídica (Art. 6.1 RGPD) + falta de información (Art. 14 RGPD)
-
PS/00208/2024 · Asilo de Ancianos Santo Domingo y Santa Eloísa
1.000 €Importe que cita el caso
Una residencia de ancianos (Asilo de Ancianos Santo Domingo y Santa Eloísa) enviaba sus correos a todos los familiares de los residentes a la vez, con las direcciones y los nombres a la vista de todos. La AEPD fijó 1.000 € por vulnerar la confidencialidad (art. 5.1.f RGPD) y no tener medidas adecuadas (art. 32); pagó 600 € con las dos reducciones y debía acreditar medidas en un mes.
CausaCorreos a las familias sin copia oculta (arts. 5.1.f y 32 RGPD)
-
PS/00216/2022 · Residencias Aita y Ama Barakaldo
3.500 €Importe que cita el caso
Una residencia (Residencias Aita y Ama Barakaldo, S.L.) mandó la carta de despido de una trabajadora al grupo de WhatsApp de la plantilla. La AEPD le impuso 2.000 € por vulnerar la confidencialidad (art. 5.1.f RGPD) y 1.500 € por falta de medidas de seguridad (art. 32), y le requirió medidas para que no se repitiera.
CausaCarta de despido en el WhatsApp de la plantilla (arts. 5.1.f y 32 RGPD)
-
PS/00545/2023 · residencia municipal de Fuentepelayo
La residencia de ancianos San Miguel, del Ayuntamiento de Fuentepelayo (Segovia), obligó a su personal a fichar con la huella dactilar entre 2021 y 2022 sin informar antes ni hacer evaluación de impacto. La AEPD declaró que el Ayuntamiento infringió los arts. 9, 35 y 13 RGPD; a una administración no se le impone multa (art. 77 LOPDGDD).
CausaFichaje con huella en una residencia sin información ni evaluación de impacto (arts. 9, 13 y 35 RGPD)
-
PS/00175/2021 · residencias públicas de Asturias
La hija y tutora de un residente fallecido pidió su historia clínica al organismo que gestiona las residencias públicas de Asturias (ERA). La AEPD le había ordenado en 2016 dar acceso completo o denegarlo motivadamente, y la respuesta llegó incompleta: sancionó a la Consejería de Derechos Sociales y Bienestar con un apercibimiento por no cumplir su resolución (art. 58.2 RGPD, infracción del art. 83.6) y le requirió atender el derecho en quince días.
CausaNo cumplir la orden de la AEPD de dar acceso a una historia clínica (art. 58.2 RGPD)
8 documentos, cada uno con su base legal.
Se generan a partir del caso de cada empresa: documentos editables para que los revises, con la norma que cumplen a la vista.
-
RAT residencia · Art. 30 RGPD
Registro de Actividades de Tratamiento con 11 tratamientos típicos pre-cargados: gestión asistencial, historia clínica, medicación, videovigilancia común, cesión SAAD, cesión sanidad, cesión familiares, imagen, RRHH, brechas, marketing.
Base legal: Art. 30 RGPD · obligatorio para todas las residenciasPDF + Word editable -
Contrato Art. 28 RGPD con software de gestión residencial
Modelo completo de DPA para proveedores tipo Resiplus, Geriatric, Ekon, ServiSenior. Incluye seguridad Art. 32, sub-encargados, transferencias internacionales y SCC.
Base legal: Art. 28 RGPD · contrato escrito con encargadosPDF + Word editable -
Consentimiento granular de imagen del residente
Formulario separado del contrato general con consentimiento granular: foto individual, foto grupal, redes internas, redes externas, página web, marketing. Revocable por escrito.
Base legal: Art. 7 RGPD + Art. 6.b LOPDGDD · consentimiento granularPDF + Word editable -
Protocolo de videovigilancia en residencia
Política completa: zonas comunes con base interés legítimo Art. 6.1.f + cartel Art. 13, habitaciones privadas con consentimiento explícito o necesidad terapéutica documentada, registros de acceso, política de conservación de un mes como máximo.
Base legal: Art. 22 LOPDGDD + Art. 6.1.f RGPD + Art. 18 CEPDF + Word editable -
Protocolo de comunicación de datos a familiares
Formulario al ingreso de personas autorizadas por el residente con capacidad. Procedimiento para residentes sin capacidad con representante legal. Protocolo para urgencia vital. Modelo de respuesta a solicitudes de familiares no autorizados.
Base legal: Ley 41/2002 Art. 5 + Art. 6 RGPD + Art. 8 LOPDGDDPDF + Word editable -
Protocolo de brecha de seguridad · 72h
Workflow paso a paso: registro hora conocimiento, valoración riesgo, formulario de notificación de brechas de la sede electrónica de la AEPD, comunicación a interesados si hay alto riesgo (valorado caso por caso; con datos de salud sin cifrar suele haberlo), comunicación a Inspección autonómica si procede, plan de medidas correctoras.
Base legal: Art. 33 + Art. 34 RGPDPDF + Word editable -
Checklist RGPD al ingreso del residente
Lista de comprobación: cláusula informativa Art. 13, designación de personas autorizadas, consentimientos granulares separados (imagen, marketing, datos terceros), registro testamento vital, identificación representante legal.
Base legal: Art. 13 + Art. 7 RGPD + Ley 41/2002 Art. 11PDF + Word editable -
Modelo de respuesta a ejercicio de derechos RGPD
Plantillas para acceso del residente, acceso de familiar autorizado, acceso post-fallecimiento (Art. 18 Ley 41/2002), rectificación, supresión, oposición, portabilidad. Con plazos y motivación obligatoria de denegaciones.
Base legal: Arts. 15-22 RGPD + Ley 41/2002 Arts. 5 y 18PDF + Word editable
¿Llevas clientes de este sector? Ofréceselo con tu marca.
Cada cliente del sector ve qué le obliga y por qué, con su artículo; tú revisas lo que exige criterio profesional y lo facturas como servicio tuyo. Te enseñamos cómo, sin compromiso.
~5.500 residencias en España · ~390.000 plazas residenciales.
Lo que te toca a ti, en tres preguntas.
Tu sector ya viene marcado: di cuántas personas sois y qué haces, y verás cada obligación con su porqué y su norma.
- 3 preguntas
- sin registro
- sin tarjeta