Los datos de salud son la categoría más protegida del RGPD. El artículo 9 los clasifica como datos especialmente sensibles y prohíbe su tratamiento salvo en una serie de supuestos tasados. Para el sector sanitario, esto no es un obstáculo: la norma reconoce explícitamente que el diagnóstico médico, la prestación de asistencia sanitaria y la gestión de servicios de salud son excepciones legítimas. El problema no es el tratamiento en sí, sino cómo se gestiona.
La base jurídica para tratar datos de salud en el contexto clínico
La base jurídica principal para el tratamiento de datos de salud en el contexto de la asistencia sanitaria es el artículo 9.2.h del RGPD: tratamiento necesario para la prestación de asistencia sanitaria o tratamiento médico, o la gestión de los sistemas y servicios de asistencia sanitaria. Esta base no requiere consentimiento del paciente para el tratamiento clínico ordinario.
Esto significa que una clínica no necesita que el paciente firme un consentimiento específico para RGPD antes de abrir su historia clínica. Lo que sí necesita es informarle del tratamiento conforme al artículo 13 (quién trata sus datos, con qué finalidad, durante cuánto tiempo, con qué derechos) antes o en el momento de la recogida, y tener ese tratamiento registrado correctamente en el RAT.
El consentimiento del artículo 9.2.a, en cambio, es la base adecuada para tratamientos que van más allá de la asistencia directa: enviar la historia clínica a un seguro, participar en un estudio de investigación, incluir datos en una base de datos para formación de personal no clínico.
La Ley de Autonomía del Paciente y su relación con el RGPD
La Ley 41/2002 de Autonomía del Paciente regula específicamente el consentimiento informado en el ámbito sanitario. Este consentimiento es el que autoriza la intervención médica, no el consentimiento del RGPD para el tratamiento de datos. Son dos instrumentos distintos que coexisten.
La historia clínica, bajo la Ley 41/2002, debe conservarse como mínimo cinco años desde la fecha del alta de cada proceso asistencial. La normativa autonómica puede ampliar ese plazo. Bajo el RGPD, el principio de limitación del plazo de conservación exige que los datos no se conserven más tiempo del necesario, pero la obligación legal de conservar la historia clínica durante ese mínimo prevalece como excepción del artículo 17.3.b.
Acceso compartido a la historia clínica entre profesionales
El acceso a la historia clínica por parte de profesionales sanitarios distintos del que la creó está regulado por el artículo 16 de la Ley 41/2002. Pueden acceder los profesionales que participen directamente en el diagnóstico o tratamiento del paciente. No pueden acceder los que no tengan relación asistencial directa con ese episodio, aunque sean de la misma clínica o centro.
Desde la perspectiva del RGPD, el acceso de personal no autorizado a la historia clínica es una brecha de confidencialidad aunque no haya exfiltración externa. La AEPD ha sancionado varios casos de acceso indebido por parte de empleados de centros de salud que consultaron historias sin relación asistencial, incluso en supuestos donde el empleado era también paciente del centro.
Las apps de salud: una capa adicional de complejidad
Las aplicaciones móviles de salud (monitorización de constantes, seguimiento de tratamientos, teleconsulta, apps de bienestar) tratan datos de salud que pueden ser especialmente sensibles. Su régimen bajo el RGPD es exigente.
Si la app es un producto sanitario regulado (marcado CE bajo el Reglamento MDR), las obligaciones son dobles: cumplimiento MDR y cumplimiento RGPD. Si no es un producto sanitario sino una app de bienestar, el RGPD aplica igualmente pero sin la capa MDR. En ambos casos, si la app trata datos de salud, necesita base jurídica del artículo 9 y debe realizar una Evaluación de Impacto obligatoria conforme al artículo 35 del RGPD.
Un aspecto que muchas apps pasan por alto: si el usuario introduce síntomas, medicación o datos biométricos en la app, esos son datos de salud aunque la empresa desarrolladora se denomine “app de bienestar” en sus términos. La categoría no depende del nombre sino del contenido.
Los contratos con encargados del tratamiento en el sector sanitario
Las clínicas y centros sanitarios usan con frecuencia software de gestión de pacientes, sistemas de cita previa online, plataformas de teleconsulta y servicios de almacenamiento en la nube. Todos los proveedores que acceden a datos de pacientes son encargados del tratamiento y necesitan contrato del artículo 28 del RGPD.
El punto específico del sector sanitario es que algunos de esos contratos también deben cumplir condiciones de seguridad adicionales derivadas de la normativa sanitaria autonómica o del ENS si el centro es público o presta servicios al sistema de salud público. La superposición de marcos es la misma que en otros sectores regulados, pero la sensibilidad de los datos hace que las consecuencias de una brecha sean especialmente graves.
Fuentes: Reglamento (UE) 2016/679 (RGPD), artículos 9, 13, 17, 28 y 35; Ley 41/2002 de Autonomía del Paciente, artículos 14-19; Reglamento (UE) 2017/745 (MDR); Ley Orgánica 3/2018 (LOPDGDD), artículo 26.
