El sector sanitario es el entorno en el que la protección de datos presenta mayor complejidad y mayor riesgo reputacional. Los datos de salud reciben la máxima categoría de protección en el ordenamiento europeo: son datos sensibles cuyo tratamiento inadecuado puede desencadenar sanciones significativas, demandas de pacientes y la intervención de la Agencia Española de Protección de Datos (AEPD). En nuestra experiencia asesorando a empresas del sector, la pregunta no es si existe riesgo, sino cuándo se materializa y si la organización está preparada para contenerlo.
El Reglamento General de Protección de Datos (RGPD), aplicable en España junto con la Ley Orgánica de Protección de Datos y garantía de los derechos digitales (LOPDGDD), clasifica los datos relativos a la salud como categoría especial. Eso significa que la empresa no puede tratarlos con el fundamento jurídico ordinario que aplica a datos comunes. Necesita una base habilitante específica: consentimiento explícito, ejecución de un contrato de asistencia sanitaria, interés público en el ámbito de la salud pública, o atención médica y social, entre las principales.
La distinción importa porque determina la validez de todo el tratamiento. Una clínica privada, una empresa de gestión de historiales clínicos, una aseguradora de salud o una empresa de bienestar corporativo que registra métricas de salud de empleados operan sobre bases distintas. Confundir esas bases es el primer error frecuente que hemos observado en nuestras revisiones de compliance.
¿Qué consecuencia tiene tratar datos de salud sin la base jurídica adecuada? La AEPD puede imponer sanciones elevadas. Además, el incumplimiento genera responsabilidad frente a los titulares de los datos y puede comprometer la reputación de la organización ante socios, inversores y aseguradoras.
El argumento de que "con una cláusula de privacidad en la web ya se cumple el RGPD" es el mito más extendido que encontramos al iniciar una auditoría. Una política de privacidad es solo el extremo visible del cumplimiento. Detrás debe existir un sistema documentado, revisado y operativo. Sin ese sistema, la cláusula carece de sustento.
El programa de protección de datos en el sector salud tiene componentes obligatorios que la dirección debe conocer y supervisar. No se trata de una tarea delegable al departamento de IT: es una responsabilidad que afecta al gobierno corporativo.
Las organizaciones que tratan datos de salud a gran escala están obligadas a designar un Delegado de Protección de Datos (DPD). El DPD puede ser interno o externo, pero debe reunir los conocimientos técnicos y jurídicos necesarios. Su función es independiente: informa a la dirección y es el interlocutor ante la AEPD. Designar un DPD sin asignarle recursos ni autoridad efectiva es uno de los incumplimientos más frecuentes que detectamos en auditorías de empresas medianas del sector.
El registro de actividades de tratamiento es el documento central del sistema de compliance en protección de datos. Debe identificar cada operación de tratamiento, su finalidad, la base jurídica, las categorías de datos involucradas, los plazos de conservación y las medidas de seguridad aplicadas. En el sector salud, este registro es más extenso y más sensible que en cualquier otro ámbito, porque los tratamientos son numerosos: historial clínico, gestión de citas, comunicaciones con aseguradoras, investigación clínica, gestión de RRHH con datos de salud laboral.
Puede ampliar la información sobre el registro de actividades de tratamiento en nuestra guía específica sobre este instrumento, donde detallamos su estructura y los errores más habituales en su elaboración.
Cuando el tratamiento de datos de salud presenta un riesgo elevado para los derechos y libertades de los interesados, la normativa exige una Evaluación de Impacto en la Protección de Datos (EIPD). Es obligatoria, por ejemplo, cuando se realiza un tratamiento a gran escala de categorías especiales, cuando se implanta un sistema de videovigilancia en un entorno sanitario o cuando se utiliza inteligencia artificial para apoyar decisiones clínicas. La EIPD no es un formulario: es un análisis de riesgos documentado que debe preceder al inicio del tratamiento, no justificarlo a posteriori.
Las empresas sanitarias raramente operan solas. Usan software de gestión clínica, servicios cloud, plataformas de telemedicina, laboratorios externos y empresas de mantenimiento que acceden a los sistemas. Cada proveedor que trata datos de salud por cuenta de la empresa es un encargado del tratamiento. La normativa exige formalizar esa relación mediante un contrato específico que imponga al proveedor las mismas garantías que la empresa debe cumplir.
En nuestra práctica, la cadena de encargados es la parte del compliance que más frecuentemente se encuentra incompleta. La empresa tiene firmado su política de privacidad, pero ha contratado a su proveedor de software clínico sin cláusula de encargado. Si ese proveedor sufre un incidente, la empresa responsable ante la AEPD es quien tiene la relación con el paciente.
El compliance en protección de datos no es solo una cuestión de documentación. Hay momentos en los que la dirección debe actuar con rapidez y con criterio. Tres escenarios concentran el mayor riesgo operativo.
Una brecha de seguridad de datos de salud es uno de los eventos de mayor impacto para una organización sanitaria. La normativa exige notificar a la AEPD en un plazo de 72 horas desde que la empresa tiene conocimiento de la brecha, siempre que esta entrañe riesgo para los derechos de los afectados. Si el riesgo es alto, además hay que comunicársela a los propios interesados.
Setenta y dos horas es un plazo muy corto. Sin un protocolo predefinido y practicado, la empresa no puede detectar la brecha, evaluar su alcance, escalar la decisión y notificar correctamente en ese tiempo. Las organizaciones que notifican en plazo y de forma completa obtienen un trato significativamente distinto al de las que notifican tarde o de manera incompleta.
El plan de respuesta a brechas debe incluir: quién detecta, quién evalúa el riesgo, quién toma la decisión de notificar, quién redacta la notificación a la AEPD y quién comunica a los afectados. Ese protocolo debe estar aprobado por la dirección y revisado al menos anualmente.
Los pacientes y empleados cuyos datos trata la organización son titulares de derechos de acceso, rectificación, supresión, oposición, limitación del tratamiento y portabilidad. La empresa dispone de un mes para responder a cada solicitud de ejercicio de derechos, plazo que puede prorrogarse dos meses adicionales en casos complejos, siempre que se informe al solicitante dentro del primer mes.
En la práctica, el problema es doble. Primero, muchas organizaciones no tienen un buzón o canal de recepción de solicitudes claramente identificado, con lo que los plazos empiezan a correr sin que nadie lo sepa. Segundo, los datos de salud generan solicitudes de supresión complejas, porque pueden entrar en conflicto con obligaciones legales de conservación de la historia clínica. Saber cuándo se puede y cuándo no se puede atender una solicitud de supresión requiere criterio jurídico, no solo informático.
La AEPD puede actuar de oficio o a instancia de denuncia. El sector salud concentra un porcentaje elevado de las investigaciones que la agencia abre cada año. En nuestra experiencia, las organizaciones que afrontan una inspección sin un programa de compliance documentado tienen una posición muy desfavorable desde el primer momento.
La documentación no solo sirve para acreditar el cumplimiento: también modula la sanción. La normativa reconoce como circunstancia atenuante la adopción de medidas proactivas y la colaboración activa con la autoridad de control. Una empresa que llega a la inspección con su registro de tratamientos actualizado, su EIPD realizada y su protocolo de brechas documentado parte de una posición radicalmente distinta a la de quien improvisa la respuesta.
Para un análisis más detallado del impacto económico de las sanciones de la AEPD y cómo las empresas las han afrontado, puede consultar nuestro análisis sobre la AEPD y el coste del incumplimiento.
La implantación de un programa de protección de datos no es un proyecto de una sola vez. Es un ciclo de mejora continua. Pero tiene una estructura de base que toda organización sanitaria debe completar antes de poder hablar de cumplimiento genuino.
El punto de partida es siempre el mismo: conocer con exactitud qué datos se tratan, con qué finalidad, dónde se almacenan, quién accede a ellos y durante cuánto tiempo. En una clínica o empresa sanitaria mediana, este mapa puede revelar tratamientos que nadie había documentado: registros de acceso biométrico de empleados, grabaciones de llamadas al servicio de atención al paciente, perfiles de comportamiento generados por la app corporativa de salud.
El diagnóstico también identifica las bases jurídicas actuales y las brechas: tratamientos sin base, consentimientos mal recabados, información opaca para el paciente. Este es el insumo que alimenta el registro de actividades de tratamiento.
Con el mapa elaborado, se estructura el sistema documental: registro de tratamientos, políticas internas, procedimientos de respuesta a derechos, protocolo de brechas, cláusulas con encargados del tratamiento y, donde corresponda, las evaluaciones de impacto. La documentación no es un ejercicio burocrático: es el único medio de demostrar el cumplimiento ante una inspección.
El compliance en protección de datos fracasa cuando queda en el papel. El personal que trata datos de salud – médicos, enfermeras, personal de admisión, técnicos de IT, responsables de RRHH – debe conocer las reglas básicas: qué pueden hacer con los datos, qué no, cómo detectan una brecha, a quién lo comunican. La formación no es opcional: la AEPD la valora como elemento del modelo de cumplimiento.
El compliance en protección de datos envejece. Las operaciones cambian, se incorporan nuevos proveedores, se lanzan nuevas funcionalidades digitales, se modifican las condiciones de uso de plataformas cloud. El programa debe revisarse con una cadencia mínima anual y de forma extraordinaria cuando se producen cambios relevantes en los tratamientos o en la normativa.
La protección de datos en el sector salud no puede analizarse de forma aislada. Se conecta directamente con otros dos pilares del compliance empresarial: el canal de denuncias y el compliance penal.
La normativa española obliga a las empresas con más de cincuenta empleados a disponer de un canal de denuncias interno. Las comunicaciones que recibe ese canal con frecuencia incluyen alertas sobre tratamientos indebidos de datos de empleados o pacientes. El canal debe diseñarse de manera que garantice la confidencialidad del denunciante y el anonimato cuando así lo solicite, lo que implica una gestión de datos del denunciante que también debe cumplir el RGPD.
Por otra parte, el compliance penal en el sector salud tiene dimensión propia. El acceso no autorizado a datos de salud, la revelación de secretos o la utilización indebida de información médica pueden constituir delitos. El modelo de prevención penal corporativa debe mapear estos riesgos e incluir controles específicos que cubran los sistemas de información sanitaria.
El vínculo entre el canal de denuncias, el compliance penal y la protección de datos exige que la empresa los trate como un sistema integrado, no como compartimentos separados. Hemos implantado programas de protección de datos y compliance en empresas tecnológicas, industriales y de salud, y en todos los casos la integración de estas tres capas es lo que determina la solidez real del programa.
Conviene ser preciso sobre los riesgos, porque en ocasiones la dirección los percibe como abstractos hasta que se materializan.
El primer riesgo es la sanción administrativa. La AEPD tiene potestad para imponer sanciones que pueden ser muy significativas en función de la gravedad del incumplimiento, la naturaleza de los datos afectados, el número de personas implicadas y la posición de la empresa. El sector salud concentra casos de sanciones relevantes en la actividad supervisora de la agencia.
El segundo riesgo es la reclamación de los afectados. Un paciente cuyos datos han sido accedidos de manera no autorizada, o que no ha podido ejercer su derecho de supresión, puede presentar una reclamación ante la AEPD y, en paralelo, exigir responsabilidad civil. La acumulación de ambas vías es cada vez más frecuente.
El tercer riesgo es el contractual. Los clientes corporativos – aseguradoras, empresas que contratan servicios de salud laboral, hospitales concertados – exigen cada vez con mayor frecuencia que sus proveedores acrediten el cumplimiento del RGPD como condición contractual. La ausencia de compliance puede suponer la pérdida de contratos o la imposibilidad de acceder a ciertos clientes.
El cuarto riesgo es el reputacional. Una brecha de datos de salud que se hace pública, o una sanción de la AEPD que aparece en el Boletín Oficial del Estado, genera un daño reputacional que ninguna empresa del sector puede permitirse minimizar.
Una empresa que opera sin un programa de cumplimiento y se expone a sanciones y a una brecha sin protocolo no tiene solo un problema regulatorio: tiene un problema de gestión del riesgo corporativo. El asesoramiento temprano, antes de que se produzca el incidente, siempre es más económico y más eficaz que la gestión de la crisis.
Los siguientes elementos constituyen el núcleo mínimo que toda organización del sector sanitario debe tener implantado y documentado:
Puede encontrar información adicional sobre la estructura global del programa de compliance en protección de datos en nuestra área de protección de datos y compliance, donde abordamos la adaptación al RGPD en distintos sectores y tipologías de empresa.
La protección de datos en el sector salud se integra con frecuencia con necesidades de compliance laboral – especialmente en la gestión de datos de salud de empleados en el contexto de la vigilancia de la salud y la prevención de riesgos – y con la estructuración jurídica de plataformas de telemedicina y tecnología sanitaria, donde intervienen también consideraciones de propiedad intelectual y contratos de desarrollo de software. Nuestro equipo aborda estos proyectos de forma integrada, coordinando las distintas áreas de práctica cuando la naturaleza del asunto lo requiere.
Para una primera valoración, escríbanos a info@velardevidal.com.
Plantear mi casoEste contenido es informativo y no constituye asesoramiento jurídico. Para un análisis de su situación, contacte con info@velardevidal.com.