Una clínica dental, un centro de fisioterapia, una consulta de psicología o un hospital privado comparten un mismo desafío: tratan información que, por su propia naturaleza, requiere un nivel de protección superior al de otros datos personales. Los datos de salud revelan aspectos íntimos de la vida de una persona y su uso indebido puede tener consecuencias graves, desde la discriminación hasta el daño reputacional o emocional.
Este artículo analiza qué obligaciones legales afectan a los centros sanitarios y profesionales de la salud en España, qué papel juega el delegado de protección de datos, cuándo es necesaria una Evaluación de Impacto, qué implicaciones tiene la incorporación de inteligencia artificial en el diagnóstico o la gestión clínica, y qué medidas de seguridad resultan razonables para proteger historiales clínicos, informes y pruebas diagnósticas.
Contexto y funcionamiento
En un centro sanitario intervienen distintos actores: el responsable del tratamiento (la clínica, el hospital o el profesional autónomo), posibles encargados del tratamiento (proveedores de software de gestión clínica, laboratorios externos, empresas de facturación, plataformas de telemedicina, proveedores de almacenamiento en la nube), y los pacientes, como interesados titulares de los datos.
Los datos tratados incluyen habitualmente identificación del paciente, historia clínica, resultados de pruebas diagnósticas, tratamientos prescritos, alergias, antecedentes familiares, imágenes médicas y, en determinados servicios, datos genéticos o biométricos. Todos ellos constituyen categorías especiales de datos conforme al RGPD, lo que exige una base jurídica reforzada y medidas de seguridad adicionales.
Los flujos de información pueden ser numerosos: derivaciones entre profesionales, comunicación de resultados a laboratorios externos, facturación a aseguradoras, uso de sistemas de cita previa en línea, y, en un número creciente de casos, herramientas de apoyo diagnóstico basadas en inteligencia artificial que analizan imágenes médicas o historiales para sugerir posibles diagnósticos o priorizar casos.
Beneficios y oportunidades
Un tratamiento de datos de salud bien gestionado, con las garantías adecuadas, puede aportar beneficios relevantes:
- Mejora de la calidad asistencial gracias a historiales clínicos completos, accesibles y correctamente actualizados.
- Reducción de errores médicos cuando la información del paciente está centralizada y es coherente entre profesionales.
- Mayor eficiencia operativa en la gestión de citas, derivaciones y facturación.
- Apoyo a la toma de decisiones clínicas mediante herramientas de inteligencia artificial, siempre que exista supervisión humana efectiva.
- Refuerzo de la confianza del paciente cuando el centro puede acreditar de forma transparente cómo protege su información.
- Facilitación de la investigación clínica y la mejora continua de la calidad asistencial, cuando los datos se anonimizan o seudonimizan adecuadamente.
Estos beneficios dependen de que exista una base jurídica identificada para cada tratamiento, de que el personal esté formado en confidencialidad, y de que los sistemas empleados cuenten con medidas de seguridad proporcionadas a la sensibilidad de los datos.
Riesgos
El tratamiento de datos de salud presenta riesgos específicos que merecen un análisis diferenciado:
- Acceso indebido a historiales clínicos por personal no autorizado dentro del propio centro.
- Filtración o exfiltración de datos de salud en caso de ciberataque o vulnerabilidad no corregida.
- Uso de la información para finalidades distintas de la asistencia sanitaria sin base jurídica adecuada (por ejemplo, fines comerciales).
- Falta de transparencia sobre el uso de sistemas de inteligencia artificial en el proceso diagnóstico.
- Decisiones automatizadas sin supervisión humana suficiente en contextos clínicos.
- Transferencias internacionales no controladas cuando el proveedor de software clínico o de almacenamiento opera fuera del Espacio Económico Europeo.
- Dependencia excesiva de proveedores tecnológicos sin garantías contractuales claras sobre seguridad y confidencialidad.
- Riesgos reputacionales y de confianza del paciente ante cualquier incidente de seguridad conocido públicamente.
- Riesgos específicos para colectivos vulnerables, como menores, personas con discapacidad o pacientes de salud mental, cuya información puede requerir salvaguardas adicionales.
Riesgo | Probabilidad | Impacto | Afectados | Mitigación |
Acceso interno indebido a historiales | Media | Alta | Pacientes | Control de accesos por rol y registro de auditoría |
Ciberataque con exfiltración de datos de salud | Media | Alta | Pacientes, centro sanitario | Cifrado, copias de seguridad, gestión de vulnerabilidades |
Uso de IA diagnóstica sin supervisión humana | Media | Alta | Pacientes | Validación clínica humana de cada resultado automatizado |
Transferencia a proveedor fuera del EEE sin garantías | Baja | Alta | Pacientes | Mecanismos de transferencia internacional adecuados |
Falta de EIPD en tratamientos de alto riesgo | Media | Media | Centro sanitario (frente a inspección) | Realizar EIPD antes de implantar el tratamiento |
Estas valoraciones son estimaciones generales orientativas; deben adaptarse al tipo de centro, volumen de pacientes y tecnologías concretas empleadas.
Análisis jurídico aplicable
RGPD y LOPDGDD
Los datos de salud constituyen una categoría especial de datos conforme al artículo 9 del RGPD, cuyo tratamiento está prohibido salvo que concurra una excepción expresamente prevista, como el consentimiento explícito del paciente, la necesidad para fines de medicina preventiva o asistencial, el diagnóstico, la prestación de asistencia sanitaria o la gestión de sistemas de salud. En la práctica clínica, la base jurídica más habitual no suele ser el consentimiento aislado, sino la necesidad del tratamiento para la prestación asistencial, complementada cuando corresponda por obligaciones legales sanitarias.
El deber de información exige explicar al paciente, de forma clara, quién trata sus datos, con qué finalidad, durante cuánto tiempo y con quién pueden compartirse. La minimización de datos implica no solicitar ni conservar información de salud que no resulte necesaria para la finalidad asistencial concreta. Los plazos de conservación de la historia clínica vienen determinados en gran medida por la normativa sanitaria sectorial, que puede variar según el tipo de documentación y el ámbito territorial, por lo que conviene verificar los plazos aplicables en cada caso concreto.
La seguridad del tratamiento exige medidas reforzadas dada la sensibilidad de los datos: cifrado, control de accesos basado en el rol profesional, registro de auditoría de accesos a la historia clínica y procedimientos de respuesta ante incidentes. El registro de actividades de tratamiento debe reflejar los tratamientos de datos de salud realizados, y los contratos con encargados del tratamiento (proveedores de software clínico, laboratorios, plataformas de telemedicina) deben ajustarse al artículo 28 del RGPD.
La designación de un delegado de protección de datos resulta obligatoria quando el tratamiento a gran escala de categorías especiales de datos constituye la actividad principal del centro, lo que suele concurrir en hospitales y clínicas de cierto tamaño, aunque la determinación exacta depende del volumen y la naturaleza de la actividad de cada organización concreta.
Evaluación de Impacto relativa a la Protección de Datos
El tratamiento de datos de salud a gran escala se encuentra entre los supuestos que la normativa y los criterios de las autoridades de control identifican habitualmente como generadores de alto riesgo, por lo que la Evaluación de Impacto relativa a la Protección de Datos (EIPD) suele resultar claramente recomendable, y en muchos casos obligatoria, especialmente cuando concurre alguno de los siguientes factores: tratamiento sistemático y a gran escala de categorías especiales de datos, uso de tecnologías innovadoras como sistemas de inteligencia artificial para apoyo diagnóstico, elaboración de perfiles de riesgo de salud, o combinación de historiales clínicos con otras fuentes de datos.
En centros pequeños o consultas individuales con un volumen reducido de pacientes y sin uso de tecnologías innovadoras, la obligatoriedad de la EIPD puede resultar menos clara y dependerá de un análisis caso por caso. Cuando el resultado de la EIPD revele un riesgo residual alto que no pueda mitigarse con medidas razonables, puede resultar necesaria una consulta previa a la autoridad de control antes de iniciar el tratamiento.
Reglamento Europeo de Inteligencia Artificial
Los sistemas de inteligencia artificial empleados en el ámbito sanitario para apoyo al diagnóstico, priorización de pacientes o predicción de riesgos clínicos pueden encajar en la categoría de sistemas de alto riesgo cuando se destinan a fines médicos con impacto directo en la salud de las personas, lo que exige valorar cuidadosamente la clasificación del sistema conforme al Reglamento Europeo de Inteligencia Artificial, la documentación técnica exigible, la gestión de riesgos, la calidad de los datos de entrenamiento y la supervisión humana efectiva sobre cada resultado generado por el sistema.
El centro sanitario que despliega estas herramientas actúa habitualmente como responsable del despliegue, con obligaciones de transparencia hacia el paciente, alfabetización en IA del personal clínico que las utiliza, y supervisión humana que impida que una recomendación automatizada sustituya, sin más, el criterio médico. No es posible clasificar de forma genérica cualquier herramienta de apoyo clínico sin conocer su finalidad concreta, su nivel de autonomía y el marco de supervisión previsto por el centro.
NIS2, ENS y ciberseguridad
El sector sanitario figura habitualmente entre los sectores considerados críticos o esenciales a efectos de ciberseguridad, por lo que hospitales y determinados centros sanitarios de cierto tamaño podrían quedar comprendidos en el ámbito de la Directiva NIS2. En España, a fecha de este documento, la transposición completa de NIS2 sigue en tramitación parlamentaria mediante el anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad, tras una transposición parcial mediante normativa de urgencia; conviene comprobar el estado de tramitación antes de dar por aplicables plazos u obligaciones concretas derivadas de esta ley.
Con independencia de la aplicación estricta de NIS2, la gestión de riesgos de ciberseguridad, el cifrado de historiales clínicos, la autenticación reforzada para el acceso a sistemas clínicos, la gestión de vulnerabilidades y la existencia de un plan de continuidad asistencial ante incidentes constituyen buenas prácticas ampliamente recomendadas para cualquier centro sanitario, especialmente cuando trata datos de salud a gran escala. Los centros públicos o que prestan servicios a la administración sanitaria pueden verse además sujetos al Esquema Nacional de Seguridad (ENS).
Otras normas relevantes
La normativa sanitaria sectorial regula aspectos como el contenido mínimo de la historia clínica, el derecho de acceso del paciente a su propia documentación y los plazos de conservación aplicables, y debe analizarse de forma coordinada con el RGPD y la LOPDGDD. La normativa laboral resulta relevante cuando se trata de la vigilancia de la salud de los propios trabajadores del centro. La normativa de consumidores y usuarios puede aplicarse a determinados servicios sanitarios prestados a particulares, y la propiedad intelectual puede resultar relevante en relación con el software clínico y los algoritmos de apoyo diagnóstico empleados.
Proporcionalidad y necesidad
Antes de incorporar nuevas tecnologías de tratamiento de datos de salud, como sistemas de inteligencia artificial de apoyo diagnóstico o plataformas de telemedicina, conviene valorar si la finalidad perseguida —mejorar la calidad asistencial o la eficiencia operativa— puede alcanzarse con medidas menos intrusivas, y si el beneficio esperado compensa el riesgo adicional que introduce la nueva tecnología.
Alternativa | Ventajas | Limitaciones | Intrusión | Cuándo elegirla |
Historia clínica digital con control de accesos por rol | Trazabilidad y acceso rápido a la información | Requiere inversión en seguridad y formación | Media | Centros con varios profesionales y necesidad de coordinación |
IA de apoyo diagnóstico con supervisión humana total | Mejora la detección sin sustituir el criterio médico | Exige validación de cada resultado, lo que puede ralentizar el proceso | Media | Diagnósticos complejos donde el apoyo tecnológico aporta valor claro |
Historia clínica en papel con acceso restringido físico | Menor superficie de ataque cibernético | Menor trazabilidad y dificultad de coordinación entre profesionales | Baja | Consultas muy pequeñas con bajo volumen de pacientes |
Medidas recomendadas
Inmediatas
- Identificar y documentar la base jurídica de cada tratamiento de datos de salud realizado en el centro.
- Implantar control de accesos a la historia clínica basado en el rol profesional, con registro de auditoría.
- Revisar los contratos con proveedores de software clínico y laboratorios externos para verificar que actúan como encargados del tratamiento.
Corto plazo
- Realizar o actualizar la Evaluación de Impacto relativa a la Protección de Datos para los tratamientos de mayor riesgo, incluido el uso de inteligencia artificial diagnóstica.
- Formalizar un procedimiento de supervisión humana sobre cualquier resultado generado por sistemas automatizados de apoyo clínico.
- Cifrar los historiales clínicos almacenados y en tránsito, y reforzar la autenticación de acceso a los sistemas clínicos.
Medio plazo
- Formar periódicamente al personal sanitario y administrativo en confidencialidad y protección de datos de salud.
- Auditar de forma periódica los accesos a la historia clínica y el cumplimiento de los plazos de conservación.
- Revisar el plan de continuidad asistencial ante incidentes de ciberseguridad y actualizarlo conforme evolucione la normativa de ciberseguridad aplicable.
Escenarios
Escenario | Supuestos | Riesgos | Obligaciones | Señales de alerta | Decisión |
A. Bajo riesgo | Consulta individual pequeña, historia clínica en papel o digital básica, sin IA | Bajo, si existe control de acceso físico o digital | Base jurídica identificada; medidas de seguridad proporcionadas | Ausencia de control de acceso a la historia clínica | Mantener el procedimiento y revisarlo periódicamente |
B. Riesgo medio | Clínica con varios profesionales, historia clínica digital, sin IA diagnóstica | Acceso interno indebido; falta de trazabilidad | Control de accesos por rol; contratos de encargado con proveedores | Ausencia de registro de auditoría de accesos | Reforzar controles de acceso y formalizar contratos pendientes |
C. Alto riesgo | Hospital o centro con IA diagnóstica, gran volumen de pacientes, datos genéticos o de salud mental | Violación de seguridad grave; decisiones automatizadas sin supervisión adecuada | EIPD obligatoria o claramente recomendable; DPO designado; supervisión humana de la IA | Ausencia de EIPD; falta de supervisión humana documentada | Revisión inmediata del tratamiento antes de continuar su uso |
La incorporación de nuevas tecnologías, el aumento del volumen de pacientes o el tratamiento de nuevas categorías de datos de salud pueden desplazar la organización de un escenario a otro y obligar a revisar la conclusión inicial.
Lista de comprobación
- ¿Está identificada la base jurídica de cada tratamiento de datos de salud realizado?
- ¿Se ha informado a los pacientes de forma clara sobre el tratamiento de sus datos?
- ¿Existe control de accesos a la historia clínica basado en el rol profesional?
- ¿Se registra y audita el acceso a los historiales clínicos?
- ¿Se ha realizado una Evaluación de Impacto para los tratamientos de mayor riesgo?
- ¿Existen contratos de encargado del tratamiento con proveedores de software clínico y laboratorios?
- ¿Se ha designado un delegado de protección de datos, si resulta obligatorio o recomendable?
- ¿Se emplea algún sistema de inteligencia artificial en el proceso diagnóstico o clínico?
- ¿Existe supervisión humana efectiva sobre los resultados generados por sistemas automatizados?
- ¿Se cifran los historiales clínicos almacenados y en tránsito?
- ¿Se ha verificado el mecanismo de transferencia internacional si algún proveedor opera fuera del Espacio Económico Europeo?
- ¿Se conocen los plazos de conservación aplicables a la documentación clínica?
- ¿Se forma periódicamente al personal en confidencialidad y protección de datos de salud?
- ¿Existe un procedimiento de respuesta ante incidentes de seguridad que afecten a datos de salud?
- ¿Se ha valorado la aplicabilidad de la normativa de ciberseguridad NIS2 o del Esquema Nacional de Seguridad al centro?
Conclusión
Desde el punto de vista jurídico, el tratamiento de datos de salud exige una base jurídica claramente identificada, medidas de seguridad reforzadas y, en la mayoría de los centros con volumen relevante de pacientes, una Evaluación de Impacto relativa a la Protección de Datos actualizada. Desde el punto de vista técnico, el riesgo principal reside en el acceso interno indebido a la historia clínica y en la falta de supervisión humana sobre sistemas de inteligencia artificial de apoyo diagnóstico.
La medida prioritaria es implantar un control de accesos basado en el rol profesional, con registro de auditoría, junto con una supervisión humana documentada de cualquier sistema automatizado empleado en el proceso clínico. Antes de tomar decisiones definitivas sobre tecnologías concretas, conviene obtener información adicional sobre el volumen de pacientes, las categorías exactas de datos de salud tratadas y el nivel de autonomía real de los sistemas de inteligencia artificial que se estén considerando.
