Las actuaciones de la autoridad de control rara vez empiezan de la nada. Casi siempre hay antes una reclamación: un paciente que cree que alguien miró su historial sin motivo, un exempleado, una campaña de correo que llegó a quien no la había pedido. A partir de ahí, lo que se pide es documentación, y la documentación no se fabrica en tres días.
Prepararse para una inspección AEPD clínica consiste, sobre todo, en poder demostrar con papeles y con registros lo que ya se estaba haciendo bien. Si hay que reconstruirlo cuando llega el requerimiento, ya se ha perdido la mitad de la partida.
¿Qué puede pedir exactamente la autoridad de control?
Bastante más de lo que la mayoría imagina. El artículo 58, apartado 1, del Reglamento general de protección de datos le reconoce poderes de investigación que incluyen ordenar que se facilite cualquier información necesaria, llevar a cabo investigaciones en forma de auditorías de protección de datos, obtener acceso a todos los datos personales y a toda la información precisa para su función, y obtener acceso a los locales del responsable, incluidos los equipos y medios de tratamiento. No es una petición de cortesía: es una potestad.
De dónde salen estos poderes
Reglamento (UE) 2016/679, artículo 58, apartado 1, letras a) a f): poderes de investigación de cada autoridad de control, entre ellos las auditorías de protección de datos y el acceso a los locales y a los medios de tratamiento. El artículo 30, apartado 1, impone llevar un registro de las actividades de tratamiento con un contenido tasado. Comprobado en boe.es el 31 de julio de 2026 sobre el texto publicado con la referencia DOUE-L-2016-80807. Ningún software, por sí solo, hace cumplir el Reglamento: aporta evidencia y ordena el trabajo, pero las decisiones y la responsabilidad siguen siendo del centro.
La carpeta que conviene tener cerrada antes de la inspección
- Registro de actividades de tratamientoCon fines, categorías de interesados y de datos, destinatarios, plazos previstos de supresión y medidas de seguridad. Es el primer documento que se pide.
- Contratos con cada encargadoProveedor de software, laboratorio externo, gestoría, empresa de destrucción documental, servicio de mensajería clínica. Todos.
- Evaluaciones de impactoPara los tratamientos que lo requieran, con su análisis de riesgo y, si el riesgo residual es alto, la consulta previa documentada.
- Registro de accesos a la historiaQuién entró, cuándo y en qué expediente. Es la evidencia que responde a la reclamación más frecuente en un centro sanitario.
- Registro de brechasIncluidas las que se valoraron y no se notificaron, con el razonamiento por escrito de por qué no se notificaron.
- Formación del personalFechas, contenidos y asistentes. Una formación sin registro de asistencia, a efectos de prueba, no ha existido.
La diferencia entre tener una política y poder probarla
Una política de accesos escrita en un documento dice lo que la clínica pretende hacer. Un registro de accesos dice lo que la clínica hizo. Ante una reclamación por acceso indebido, lo primero no sirve de mucho y lo segundo lo decide todo. Por eso importa que ese registro no sea un fichero de texto que cualquiera con permisos pueda editar: si se puede modificar, su valor como prueba se desploma justo cuando hace falta.
En Sanagest cada evento se encadena por hash al anterior y la escritura sobre el registro de auditoría está bloqueada en la propia base de datos, con el permiso revocado para el rol de la aplicación: un fallo de código no podría reescribir el historial aunque lo intentara. La verificación de integridad distingue además entre hueco, hash roto y rotura del encadenado, y el registro se puede exportar para el sistema de vigilancia que use el centro.
Ordena la evidencia antes de necesitarla
El panel de gobernanza con el registro de actividades, las evaluaciones de impacto y las brechas; y la guía general de cumplimiento del RGPD en una clínica.
¿Y si el requerimiento ya ha llegado?
Lo primero es leer con calma qué se pide exactamente y en qué plazo, porque los requerimientos son concretos y responder de más también tiene coste. Lo segundo, congelar la evidencia: no reorganizar carpetas, no depurar registros, no borrar nada, aunque parezca que así queda más ordenado. Y lo tercero, contestar por escrito lo que se pregunta, aportando lo que se tenga y explicando con honestidad lo que no se tenga. Una laguna reconocida y con plan de corrección se sostiene mucho mejor que una respuesta que aparenta perfección y se cae al primer contraste.
Preguntas frecuentes sobre una inspección de protección de datos
¿Necesita mi clínica un delegado de protección de datos?
Depende del tipo y la escala del tratamiento. El tratamiento a gran escala de datos de categoría especial, entre los que están los de salud, es uno de los supuestos que activan la obligación, y muchos centros lo designan aunque no estén seguros de alcanzarla. La decisión conviene tomarla con asesoramiento y, sobre todo, dejarla razonada por escrito para poder explicarla después.
¿Sirve el registro de accesos si se puede editar?
Su valor probatorio se reduce mucho. Si el registro es un fichero que un administrador puede modificar, cualquier parte puede sostener que se alteró. Un registro encadenado, con la escritura bloqueada en la base de datos y verificación de integridad, resiste ese argumento porque una modificación rompería la cadena y quedaría detectada al verificarla.
¿Qué pasa si detecto una brecha y decido no notificarla?
No toda brecha se notifica, pero toda brecha se documenta, incluida la valoración de por qué no se notificó. Esa documentación es precisamente lo que se revisa después. Una decisión razonada y registrada en el momento se defiende; una brecha de la que no queda rastro escrito se interpreta, con razón, como una brecha que nadie evaluó.
¿Un software con todo esto me deja cumpliendo el RGPD?
No, y desconfía de quien lo prometa. Un producto puede ordenar el registro de actividades, sostener la trazabilidad, calcular plazos y facilitar la evidencia, y eso ahorra muchísimo trabajo. Pero el responsable del tratamiento sigue siendo la clínica: las decisiones sobre licitud, conservación, cesiones y personal no las toma un programa.
Sigue por aquí
La cadena de auditoría que sostiene la evidencia, y la política de plazos que una inspección pide por escrito: qué se conserva, cuánto tiempo y con qué criterio se expurga.