Accesos a la historia clínica
Cada perfil ve solo lo necesario: recepción no necesita diagnósticos. Accesos registrados y revisados.
RGPD art. 32; Ley 41/2002 art. 16Sector
Protección de datos en clínicas y centros sanitarios
Actualizado el 30 de octubre de 2026 · Pietro Cravero, delegado de protección de datos con certificación italiana IDcert
Los centros sanitarios obligados a llevar historia clínica deben nombrar un delegado de protección de datos, aunque sean pequeños (art. 34.1.l LOPDGDD). La excepción es el profesional sanitario que ejerce a título individual. La historia clínica se conserva, como mínimo, cinco años desde cada alta (art. 17.1 Ley 41/2002).
Los puntos que más fallan en este sector
Mensajería con pacientes
Enviar citas, resultados y fotos desde el móvil personal es uno de los riesgos más frecuentes.
RGPD arts. 5.1.f y 32Encargados del tratamiento
Software clínico, laboratorio externo, empresa de limpieza con acceso a consultas: contratos del art. 28.
RGPD art. 28Conservación
Mínimo cinco años desde el alta; las comunidades autónomas pueden fijar plazos más largos.
Ley 41/2002 art. 17.1Brechas
Un correo con resultados al paciente equivocado puede tener que notificarse a la AEPD en 72 horas.
RGPD arts. 33 y 34Caso típico
Un día en la recepción
- 1
Una paciente pide por teléfono el resultado de su análisis: se verifica la identidad antes de dar datos.
- 2
Un familiar pregunta por un ingreso: solo se informa a quien el paciente haya autorizado.
- 3
Se escanea un informe externo: se incorpora a la historia, no a una carpeta compartida.
- 4
Un técnico del software entra en remoto: acceso limitado, registrado y previsto en el contrato.
Preguntas frecuentes
¿Una consulta con un solo médico necesita DPD?
No, si el profesional ejerce a título individual: la LOPDGDD lo excluye expresamente. Sigue teniendo que cumplir el RGPD, incluido el registro de actividades y la seguridad.
¿Y una clínica dental con tres odontólogos?
Si es un centro sanitario obligado a llevar historia clínica, sí: el art. 34.1.l no fija un mínimo de tamaño.
¿Puede el DPD ser externo?
Sí. El art. 37.6 RGPD permite que el delegado actúe mediante un contrato de servicios.
Guías relacionadas: DPD: cuándo es obligatorioBrechas de datos y plazo de 72 horas
Otros sectores: Colegios y centros educativosAyuntamientos y entidades localesHoteles y alojamientos turísticosTiendas online y comercio electrónicoEmpresas de software y SaaS
Información general, no asesoramiento sobre un caso concreto. Actualizado el 30 de octubre de 2026.
¿Quieres una valoración de tu caso?
La primera evaluación es gratuita y por escrito.