RGPD en una clínica: guía práctica de cumplimiento

RGPD clínica no es una casilla que se marca una vez y se olvida: es un conjunto de obligaciones concretas —registro de actividades, evaluación de impacto, plazo de notificación de una brecha, derechos del paciente sobre sus propios datos— que hay que sostener todos los días. Esta guía repasa qué exige de verdad la norma y qué parte de ese trabajo puede apoyarse en el software de gestión, sin prometer que un programa cumple por ti.

¿Qué exige el RGPD a una clínica, en concreto?

Una clínica trata datos de salud, que el Reglamento (UE) 2016/679 clasifica como categoría especial de datos personales en su artículo 9: requieren una base legal reforzada y medidas de seguridad acordes al riesgo. En la práctica, eso se traduce en cuatro obligaciones que no admiten atajos: llevar un registro de qué tratamientos se hacen y con qué finalidad, evaluar el riesgo antes de un tratamiento nuevo si es de alto impacto, notificar una brecha de seguridad en plazo, y resolver los derechos que el paciente ejerza sobre sus propios datos.

Registro de actividades y evaluación de impacto (RAT y DPIA)

El registro de actividades de tratamiento (RAT, artículo 30) documenta qué se trata, con qué base legal y quién más interviene, distinguiendo si la clínica actúa como responsable o como encargado. La evaluación de impacto (DPIA, artículo 35) entra en juego cuando el tratamiento es de alto riesgo, y en Sanagest esa evaluación no se puede aprobar si el riesgo residual sigue siendo alto sin una consulta previa a la AEPD documentada: no es un formulario que se rellena y se archiva, es un bloqueo real.

• Registro de actividades enlazado a la DPIACada actividad de tratamiento queda enlazada a su evaluación de impacto y a los subencargados que intervienen, sin fichas sueltas por un lado y por otro.
• DPIA que bloquea si hace faltaSi el riesgo residual es alto sin consulta previa a la AEPD documentada, el sistema impide aprobar la evaluación.
• Brechas con el reloj de las 72 horasEl plazo del artículo 33 se calcula desde el momento detectado, y la severidad se deriva automáticamente si hay datos de categoría especial.
• Bandeja de derechos con plazo visibleAcceso, rectificación, supresión, oposición, limitación y portabilidad, con el plazo de un mes a la vista para cada solicitud.

Brechas de seguridad: el reloj de las 72 horas

El artículo 33 obliga a notificar una violación de seguridad a la autoridad de control sin dilación indebida y, en la mayoría de los casos, en un plazo de 72 horas desde que se detecta; el artículo 34 añade que, si el riesgo para el paciente es alto, hay que informarle también a él. Sanagest calcula ese plazo desde el momento en que se detecta el incidente, no desde que alguien se acuerda de mirarlo, y deriva automáticamente la severidad si los datos afectados son de categoría especial.

¿Qué pasa con los derechos del paciente sobre sus datos?

Los artículos 12 a 22 reconocen al paciente derecho de acceso, rectificación, supresión, oposición, limitación y portabilidad sobre sus propios datos, con un plazo general de un mes para resolver la solicitud. No todos se resuelven igual: acceso y portabilidad pueden generar una copia con hash de integridad de forma prácticamente automática, pero rectificación, supresión, oposición y limitación exigen decisión humana, porque la historia clínica es de tracto sucesivo por ley y no se puede simplemente borrar un dato de salud porque el paciente lo pida.

Seguridad de acceso: quién ve qué y por qué

El RGPD no exige un producto concreto, exige que las medidas de seguridad sean acordes al riesgo. En la práctica eso significa permisos granulares por recurso (no solo un rol grueso de «todo o nada»), delegación de permisos acotada —nadie puede delegar más de lo que tiene— y verificación reforzada para cambiar el acceso a la historia clínica. Ninguna de estas piezas sustituye la decisión de la clínica sobre quién debe ver qué: el software aplica la regla que la clínica configura, no la decide por ella.