Protección de datos en una clínica: 22 comprobaciones

Cómo funciona una inspección de la AEPD: contexto previo

La AEPD puede actuar sobre una clínica por tres vías principales:

• Reclamación de un paciente: por ejemplo, por derechos no atendidos (acceso, supresión), una brecha de seguridad o un envío comercial que no había autorizado. Antes de decidir si la admite a trámite, la AEPD puede trasladarla al delegado de protección de datos o, si no hay delegado ni adhesión a un mecanismo de resolución extrajudicial de conflictos, al propio responsable, que dispone de un mes para responder (arts. 64 y 65 LOPDGDD).
• Auditoría preventiva de un sector: la presidencia de la AEPD puede acordar planes de auditoría preventiva sobre los tratamientos de un sector concreto de actividad, con actuaciones de investigación sobre entidades de ese sector (art. 54 LOPDGDD).
• Notificación propia de una brecha: si estás obligado a notificar (art. 33 RGPD, de ser posible en 72 h desde que tienes constancia), la AEPD puede pedirte después información adicional sobre la brecha y el tratamiento afectado. Según su guía, notificar con diligencia no implica necesariamente una sanción, pero no notificar cuando corresponde sí es una infracción.

El RGPD no fija una sanción por tipo de clínica, sino importes máximos: hasta 10.000.000 € o, tratándose de una empresa, el 2 % del volumen de negocio total anual global del ejercicio anterior (la cuantía que sea mayor) para las infracciones de, entre otros, los arts. 25 a 39 (seguridad, registro de actividades, brechas, evaluación de impacto, delegado y encargados), y hasta 20.000.000 € o el 4 % para las de, entre otros, los principios básicos, el consentimiento, los derechos de los interesados y las transferencias internacionales (art. 83, apartados 4 y 5).

La cuantía de cada caso depende de sus circunstancias (art. 83.2 RGPD): la naturaleza, la gravedad y la duración de la infracción, la intencionalidad o la negligencia, las medidas técnicas y organizativas que habías aplicado, las categorías de datos afectadas, tu cooperación con la autoridad y la forma en que esta tuvo conocimiento de la infracción, por ejemplo si notificaste tú la brecha. La AEPD puede, además, limitarse a dirigir un apercibimiento y ordenar medidas correctivas en un plazo, o imponer una multa en lugar de esas medidas o además de ellas (arts. 58.2 y 83.2 RGPD; art. 64.3 LOPDGDD). Las medidas técnicas y organizativas que ya tengas aplicadas, como las de esta lista, se tienen en cuenta al graduar la sanción (art. 83.2.d).

La LOPDGDD clasifica las infracciones en muy graves (prescriben a los tres años), graves (a los dos años) y leves (al año), en sus arts. 72 a 74. Varias comprobaciones de esta lista están tipificadas de forma expresa: no disponer del registro de actividades de tratamiento (grave, art. 73.n), no designar al delegado de protección de datos cuando es exigible (grave, art. 73.v), encargar un tratamiento sin el contrato del art. 28.3 RGPD (grave, art. 73.k) o no notificar una brecha cuando corresponde (grave, art. 73.r). Un registro de actividades incompleto, o no dar toda la información que exigen los arts. 13 y 14 RGPD, son infracciones leves (art. 74.l y 74.a).

Bloque 1: documentación organizativa (puntos 1 a 6)

1. Registro de actividades de tratamiento (RAT)

Base legal: art. 30 RGPD. Obligatorio para cualquier clínica, sin importar su tamaño (la excepción para organizaciones de menos de 250 personas no se aplica a los datos de salud, que son una categoría especial según el art. 9).

• Un documento por escrito, en papel o en formato electrónico (una hoja de cálculo o un documento de texto sirven), con las actividades de tratamiento y, como mínimo, lo que enumera el art. 30.1: responsable (y delegado, si lo hay), finalidades, categorías de interesados y de datos, categorías de destinatarios, transferencias a terceros países y, cuando sea posible, plazos de supresión y medidas de seguridad. La AEPD añade en su modelo la base de legitimación de cada actividad.
• Ejemplos de actividades típicas en una clínica: gestión de pacientes, historia clínica, facturación, marketing, web y cookies, videovigilancia, WhatsApp, recordatorios y gestión de recursos humanos. Ajusta la lista a lo que haces de verdad.
• Qué conviene comprobar: que refleje los tratamientos reales, que lo actualices cuando cambie uno y que puedas ponerlo a disposición de la AEPD cuando lo pida (art. 30.4). El art. 30 no exige firma ni número de versión, pero la fecha y la versión te ayudan a demostrar que está al día.

2. Designación del DPO o justificación

Base legal: art. 37 RGPD y art. 34.1.l LOPDGDD. Los centros sanitarios obligados a conservar las historias clínicas de sus pacientes deben designar en todo caso un delegado de protección de datos (DPO), sin ningún umbral de pacientes. Solo se exceptúa al profesional sanitario que ejerce su actividad a título individual.

• Si tienes DPO, publica su contacto en la web (correo electrónico o formulario) y comunica su designación, su nombramiento o su cese a la AEPD en el plazo de diez días, a través de su sede electrónica (art. 37.7 RGPD y art. 34.3 LOPDGDD). No publicar o no comunicar esos datos es una infracción leve (art. 74.p).
• Si ejerces a título individual no estás obligado a designarlo, pero puedes hacerlo de forma voluntaria (art. 34.2 LOPDGDD). Si no lo designas, escribe un documento de una página que lo justifique: sin DPO formal, pero con un responsable interno designado.
• La guía de la AEPD para el sector sanitario distingue entre los centros sanitarios privados, que deben tener delegado, y los profesionales de la salud que ejercen en privado a título individual, que quedan exonerados. Si tu clínica tiene varios profesionales, es un centro; ante la duda, lo prudente es designarlo.

3. Política de privacidad pública

Base legal: arts. 12 y 13 RGPD y art. 11 LOPDGDD. La información se da en el momento en que se obtienen los datos.

• En la web, en el formulario de contacto, en el formulario de cita y en tu página de WhatsApp.
• Debe incluir: identidad y contacto del responsable, contacto del DPO si lo hay, finalidades y base jurídica, destinatarios, transferencias internacionales y sus garantías, plazo de conservación (o los criterios para fijarlo), derechos y forma de ejercerlos, y derecho a reclamar ante la AEPD (art. 13.1 y 13.2).
• Fecha de la última actualización visible, y revisión cada vez que cambie un tratamiento, un proveedor o una finalidad: una política que ya no describe lo que haces no cumple su función de informar.

4. Cláusulas informativas en los formularios

• Información por capas (art. 11 LOPDGDD): en cada formulario (cita, contacto, autorización de WhatsApp, web), la información básica visible, con la identidad del responsable, la finalidad y la posibilidad de ejercer los derechos, y un enlace a la política completa con el resto.
• Una casilla sin marcar de antemano por cada finalidad que se base en el consentimiento, como el marketing: el silencio y las casillas ya marcadas no son consentimiento (considerando 32 RGPD). El tratamiento necesario para la asistencia no se apoya en el consentimiento, según la guía de la AEPD para el sector sanitario: ahí basta con informar.

5. Contrato laboral con cláusula de confidencialidad

Base legal: art. 5 LOPDGDD y art. 16.6 de la Ley 41/2002. El deber de confidencialidad y de secreto ya existe por ley para quien interviene en el tratamiento y para el personal que accede a la historia clínica.

• Recomendable: que todo el personal con acceso a la historia clínica firme una cláusula específica, más allá de la genérica del contrato. La ley no exige la firma, pero te permite acreditar que cada persona conoce su deber y las instrucciones que sigue (art. 32.4 RGPD).
• Incluye que el deber se mantiene cuando termina la relación con la clínica (art. 5.3 LOPDGDD) y las consecuencias internas de incumplirlo.

6. Política interna de protección de datos

• Un documento breve con normas internas: contraseñas, bloqueo de pantalla, uso de memorias USB, correo electrónico, WhatsApp personal frente a profesional y manejo del papel.
• Entrégalo a todo el personal y guarda constancia de que lo ha recibido. Revísalo cuando cambie algo en la forma de trabajar.

Bloque 2: contratos con terceros (puntos 7 a 9)

7. Contrato de encargo del tratamiento (DPA) con cada encargado

Base legal: art. 28 RGPD. Cuando un proveedor trata datos de pacientes por cuenta de tu clínica (es decir, es encargado del tratamiento), necesitas un contrato de encargo del tratamiento (DPA, por sus siglas en inglés) por escrito, que puede ser electrónico. Encargar un tratamiento sin ese contrato es una infracción grave (art. 73.k LOPDGDD).

• Repasa cada proveedor que toque datos de pacientes y averigua su papel: si trata los datos por tu cuenta es encargado y necesita este contrato; si decide por su cuenta los fines y los medios del tratamiento es responsable (art. 4.7, 4.8 y 28.10 RGPD) y la relación se regula de otra forma. Proveedores típicos de una clínica que conviene revisar: software de gestión, alojamiento web, correo y almacenamiento en la nube, agenda en línea, marketing por correo electrónico, proveedor oficial de WhatsApp (BSP), pasarela de pago y TPV, gestoría laboral y laboratorio o fabricante de prótesis.
• Qué conviene comprobar: firma o aceptación de ambas partes, fecha y que recoja lo que exige el art. 28.3 (instrucciones documentadas, confidencialidad, seguridad, subencargados, ayuda con los derechos y las brechas, devolución o supresión de los datos y auditorías), con cláusulas contractuales tipo (SCC) cuando haya transferencias internacionales.

8. Análisis de transferencias internacionales

Base legal: arts. 44 a 49 RGPD. Sin decisión de adecuación, solo puedes transferir datos si hay garantías adecuadas, como las cláusulas contractuales tipo (art. 46), salvo las excepciones puntuales del art. 49.

Inventario de encargados y de sus transferencias fuera del Espacio Económico Europeo (EEE): el registro de actividades debe recoger las transferencias a terceros países (art. 30.1.e). Ejemplos que conviene mirar con el contrato en la mano:

• OpenAI: para clientes del EEE, el contrato de tratamiento de datos se celebra con OpenAI Ireland Ltd. y las transferencias fuera del EEE se hacen con cláusulas contractuales tipo o con una decisión de adecuación (apartado 4.1 de su DPA, en vigor desde el 1 de enero de 2026). Ese DPA indica que no se pretende transferir datos sensibles salvo que se incluyan de forma inesperada: si tu uso implica datos de salud, valora si esa cobertura te basta.
• Meta WhatsApp: los términos de tratamiento de datos de WhatsApp Business (actualizados el 22 de agosto de 2025) regulan el encargo. Cuando el contratante es WhatsApp Ireland Limited, su adenda de transferencias (del 16 de febrero de 2024) se apoya en el Marco de Privacidad de Datos UE-EE. UU. Esos términos describen como datos tratados la información de contacto de los clientes: tenlo en cuenta si piensas usar el canal con datos de salud (punto 22).
• Google Workspace: su contrato de tratamiento de datos (modificado por última vez el 8 de junio de 2026) prevé, para las transferencias restringidas, una solución alternativa de transferencia o, si no la hay, cláusulas contractuales tipo. Google informa de que desde el 1 de septiembre de 2023 aplica esa solución a las transferencias de datos del EEE a EE. UU. y de que Google LLC está certificada en el Marco de Privacidad de Datos UE-EE. UU.
• Stripe: su DPA (actualizado el 28 de septiembre de 2026) prevé transferencias de datos personales a Stripe, LLC en EE. UU. y remite a un anexo de transferencias de datos. No lo des por resuelto sin revisar el anexo que se aplique a tu caso.

Cláusulas contractuales tipo: si la transferencia se apoya en ellas, las partes deben documentar la evaluación del Derecho y las prácticas del país de destino y ponerla a disposición de la autoridad de control competente si la pide (cláusula 14, letras b y d, de la Decisión de Ejecución (UE) 2021/914). En la práctica se la llama evaluación del impacto de la transferencia (TIA, por sus siglas en inglés): guárdala por cada transferencia que se apoye en esas cláusulas.

Marco de Privacidad de Datos: si el destinatario de EE. UU. figura en la lista del Marco de Privacidad de Datos UE-EE. UU., la Decisión de Ejecución (UE) 2023/1795 reconoce que EE. UU. garantiza un nivel de protección adecuado para esas entidades (art. 1). Comprueba que tu proveedor figura en la lista y que la decisión sigue en vigor.

9. Registro de subencargados del tratamiento

• Pide a cada encargado la lista actualizada de sus subencargados, con su país y su finalidad. Un encargado no puede recurrir a otro sin tu autorización previa por escrito, específica o general; si es general, debe informarte de cualquier cambio previsto para que puedas oponerte (art. 28.2 RGPD).
• Guarda esa autorización y los avisos de cambios junto al contrato. Que un encargado contrate a otro sin tu autorización previa o sin informarte de los cambios es una infracción grave (art. 73.l LOPDGDD).

Bloque 3: datos y seguridad técnica (puntos 10 a 15)

10. Cifrado en reposo y en tránsito

Base legal: art. 32.1.a RGPD, que cita el cifrado entre las medidas posibles según el riesgo.

• Pregunta a tu proveedor del software de gestión cómo cifra la historia clínica en el servidor, con qué algoritmo y longitud de clave, y guarda su respuesta por escrito.
• Conexiones cifradas en todo el tráfico web y de aplicaciones, con TLS 1.2 como mínimo: el RFC 8996 (marzo de 2021) retira TLS 1.0 y 1.1 y establece que no deben usarse.
• Copias de seguridad cifradas y guardadas en un lugar diferente de aquel donde están los equipos que tratan los datos (esto último es un ejemplo de medida de la guía de la AEPD para el sector sanitario). Cifra también los dispositivos portátiles fuera de las instalaciones y los datos que viajan por redes electrónicas, por ejemplo por correo electrónico.

11. Política de accesos: principio de mínimo privilegio

Base legal: art. 16 de la Ley 41/2002 y art. 5.1.c RGPD (minimización de datos).

• Cada empleado accede solo a lo que necesita para su puesto. La Ley 41/2002 limita al personal de administración y gestión a los datos de la historia clínica relacionados con sus propias funciones (art. 16.4): recepción no necesita ver historiales clínicos completos. Aplica el mismo criterio a los datos económicos.
• Roles documentados, matriz de accesos y revisión periódica de quién tiene acceso a qué.
• Registro de accesos a la historia clínica: quién la consultó y cuándo. La AEPD da como ejemplo de medida guardar, de cada intento de acceso, el usuario, la fecha y la hora, el fichero accedido, el tipo de acceso y si fue autorizado o denegado, y la Ley 41/2002 deja a las comunidades autónomas regular cómo se deja constancia del acceso (art. 16.7). Define cuánto tiempo conservas ese registro y anótalo en tu registro de actividades.

12. Política de contraseñas

• Política escrita de contraseñas (longitud mínima, complejidad y que no se compartan). Recomendable: autenticación multifactor (MFA) en los sistemas críticos (software de gestión, correo de la empresa, administración de la web).
• La guía de la AEPD para el sector sanitario da como ejemplo de medida cambiar las contraseñas como mínimo una vez al año y guardarlas de forma confidencial, con ayuda de un gestor de contraseñas, y pide evitar compartir claves y dejar el ordenador accesible a cualquiera. Bloquea la pantalla de forma automática tras un periodo corto de inactividad y cambia las contraseñas tras un incidente.

13. Borrado seguro y conservación

• Política de conservación por tipo de dato. Historia clínica: como mínimo cinco años desde la fecha del alta de cada proceso asistencial (art. 17.1 de la Ley 41/2002); también se conserva a efectos judiciales (art. 17.2) y el plazo puede ser mayor según tu comunidad autónoma: Cataluña, por ejemplo, fijó quince años para la documentación más relevante (Ley 16/2010). Contabilidad y justificantes, entre ellos las facturas: seis años desde el último asiento (art. 30 del Código de Comercio), salvo lo que dispongan otras normas. Marketing y conversaciones de WhatsApp: el plazo que fijes y justifiques por su finalidad.
• Procedimiento documentado de borrado al vencer el plazo y de borrado seguro al deshacerte de equipos.

14. Copias de seguridad probadas

• Copias con una frecuencia y un plazo de conservación fijados por escrito según los datos que puedas permitirte perder (por ejemplo, copias diarias), guardadas en un lugar diferente de aquel donde están los equipos que tratan los datos.
• Además: una prueba de restauración periódica y documentada. El art. 32.1.c y d RGPD pide poder restaurar la disponibilidad y el acceso a los datos de forma rápida tras un incidente y verificar con regularidad la eficacia de las medidas. Una copia de seguridad que no has probado no es una copia de seguridad.

15. Evaluación de impacto (EIPD) cuando aplica

Base legal: art. 35 RGPD. Obligatoria, antes de empezar a tratar los datos, si es probable que el tratamiento entrañe un alto riesgo para los derechos y libertades de las personas. El art. 35.3 la exige en particular para el tratamiento a gran escala de categorías especiales de datos (como los de salud), para la elaboración de perfiles con decisiones que afecten significativamente y para la observación sistemática a gran escala de zonas de acceso público. Además, la AEPD publica una lista orientativa de 11 criterios: si un tratamiento reúne dos o más, en la mayoría de los casos la evaluación es necesaria.

Ojo con la «gran escala»: el RGPD aclara que no se considera a gran escala el tratamiento de datos de pacientes por un solo médico u otro profesional de la salud (considerando 91), y la AEPD precisa que la consulta particular de un profesional nunca lo es. En una clínica con varios profesionales, valóralo con los criterios de la AEPD.

Ejemplos que reúnen varios criterios de la lista de la AEPD y suelen exigir una evaluación de impacto:

• Un asistente automatizado por WhatsApp con IA que trata datos de salud: categorías especiales de datos (criterio 4) y uso de nuevas tecnologías (criterio 10).
• Cámaras de videovigilancia con reconocimiento facial: datos biométricos para identificar de forma única (criterio 5) y observación sistemática (criterio 3).
• Marketing comportamental (cookies y publicidad de reimpacto, o remarketing, dirigida a pacientes): perfilado (criterio 1), seguimiento sistemático (criterio 3) e información deducible sobre su salud (criterio 4).

Tratar datos sin haber hecho la evaluación de impacto cuando es exigible es una infracción grave (art. 73.t LOPDGDD).

Bloque 4: procedimientos operativos (puntos 16 a 20)

16. Procedimiento de derechos del RGPD

Base legal: arts. 12 a 22 RGPD. Debes responder a las peticiones de acceso, rectificación, supresión, oposición, portabilidad y limitación en el plazo de un mes desde que recibes la solicitud. Ese plazo se puede prorrogar otros dos meses si es necesario por la complejidad o el número de solicitudes, pero debes avisar al interesado de la prórroga, con los motivos, dentro del primer mes (art. 12.3).

• Procedimiento interno documentado: quién recibe, quién verifica la identidad, quién ejecuta y quién responde.
• Registro de peticiones (fecha, solicitante, derecho, respuesta y plazo).
• Correo electrónico o canal específico publicado (privacidad@tuclinica.es). Los medios deben ser fácilmente accesibles y no puedes rechazar una petición porque el paciente haya usado otro canal (art. 12.2 LOPDGDD).
• La supresión de datos de la historia clínica está muy restringida: la ley obliga a conservarla y es el profesional sanitario quien decide si un dato puede suprimirse, según su trascendencia clínica (guía de la AEPD para el sector sanitario).

17. Procedimiento ante brechas de seguridad

Base legal: arts. 33 y 34 RGPD. Notificar a la AEPD sin dilación indebida y, de ser posible, a más tardar 72 h después de tener constancia de la brecha, salvo que sea improbable que suponga un riesgo para los derechos y libertades de las personas; si no llegas a tiempo, la notificación debe indicar los motivos del retraso. Comunicarlo a los interesados sin dilación indebida si es probable un alto riesgo. Según la guía de la AEPD, las 72 h cuentan también los fines de semana y los festivos.

• Datos del art. 33.3 preparados para notificar a la AEPD mediante el formulario de su sede electrónica; si no los tienes todos a tiempo, pueden darse por fases (art. 33.4).
• Procedimiento interno: detección, evaluación del riesgo, contención, notificación interna, notificación externa, comunicación a los afectados y análisis posterior.
• Tus encargados deben avisarte sin dilación indebida de cualquier brecha de la que tengan conocimiento (art. 33.2): fija el plazo en el contrato.
• Registro histórico de brechas: el art. 33.5 obliga a documentar cualquier brecha, con sus hechos, sus efectos y las medidas correctivas, aunque no requiera notificación. No documentarla es una infracción leve (art. 74.n LOPDGDD).

18. Formación documentada del personal

• Formación continua, con firma de asistencia (la AEPD la incluye entre las medidas de seguridad de su guía para el sector sanitario) y contenido sobre RGPD básico, procedimiento ante brechas, derechos de los pacientes, suplantación de identidad o phishing y contraseñas.
• Formación específica de incorporación para el personal nuevo, antes de darle accesos.

19. Consentimiento explícito para datos de salud

Base legal: art. 9.2.h RGPD y art. 9.2 LOPDGDD para la asistencia sanitaria y, para las finalidades adicionales, la base que corresponda a cada una (normalmente el consentimiento explícito del art. 9.2.a RGPD). Según la guía de la AEPD para el sector sanitario, los datos de salud necesarios para la asistencia se tratan sin necesidad de consentimiento, aunque hay que informar al paciente. Una finalidad adicional que no encaje en otra base prevista por la ley necesita su propia base: en las fotos de antes y después será normalmente el consentimiento explícito, y para enviar publicidad a un paciente la misma guía admite el consentimiento o el interés legítimo de la clínica, este último solo si le has informado, entra en sus expectativas razonables y puede oponerse en cualquier momento. Aun así, para la publicidad lo prudente es pedir el consentimiento.

• Marketing, recordatorios o campañas de carácter comercial y uso de fotos de antes y después: una casilla aparte, sin marcar de antemano e informada, que se distinga claramente de otros asuntos (art. 7.2 RGPD). Si el envío es una comunicación comercial por correo electrónico u otro medio electrónico equivalente, el art. 21 de la LSSI exige además que el destinatario la haya solicitado o autorizado expresamente, con la excepción limitada del art. 21.2 para clientes con una relación contractual previa.
• Investigación: tiene reglas propias en la disposición adicional decimoséptima de la LOPDGDD; no la mezcles con el resto de las finalidades.
• Registro de consentimientos: debes poder demostrar que el paciente consintió (art. 7.1 RGPD). Guarda la fecha, el texto aceptado y la versión de la política y, si es en línea, un dato técnico como la dirección IP.

20. Aviso de cookies conforme

Base legal: art. 22.2 de la LSSI y guía sobre el uso de las cookies de la AEPD, actualizada en julio de 2023.

• Rechazar debe poder hacerse en la misma capa, al mismo tiempo y con la misma visibilidad que aceptar, con un mecanismo similar (si hay un botón para aceptar, otro para rechazar). Seguir navegando no es una forma válida de consentir y no se admiten opciones premarcadas a favor de aceptar.
• Ninguna cookie que no esté exenta antes del consentimiento. Las cookies técnicas necesarias para prestar el servicio que pide el usuario están exentas, pero las de análisis o medición y las de publicidad comportamental no lo están: las herramientas de analítica y los píxeles de publicidad deben esperar a que el usuario acepte.
• Agrupa las cookies al menos por finalidad (por ejemplo, analíticas y publicitarias comportamentales), para que el usuario pueda aceptar unas y rechazar otras.

Bloque 5: específico de la clínica (puntos 21 y 22)

21. Videovigilancia conforme a la AEPD

Base legal: arts. 22 y 89 LOPDGDD y fichas prácticas de videovigilancia de la AEPD.

• Cartel informativo suficientemente visible en los accesos a las zonas videovigiladas (modelo de la AEPD), que indique la existencia del tratamiento, la identidad del responsable y cómo ejercer los derechos (art. 22.4), con el resto de la información a disposición de quien la pida.
• Nunca en baños, vestuarios o lugares análogos (AEPD), ni en lugares de descanso del personal (art. 89.2). Dentro de las consultas, lo prudente es no grabar a los pacientes mientras reciben asistencia: capta solo lo necesario para la seguridad de personas y bienes (art. 22.1 LOPDGDD y art. 5.1.c RGPD).
• Sin grabar sonido, salvo que lo justifiquen riesgos relevantes para la seguridad y siempre con proporcionalidad e intervención mínima (art. 89.3).
• Las imágenes se suprimen en el plazo máximo de un mes desde su captación, salvo que deban conservarse para acreditar actos que atenten contra personas, bienes o instalaciones: en ese caso, se ponen a disposición de la autoridad competente en un máximo de 72 h desde que conoces la grabación (art. 22.3).
• Si usas las imágenes para controlar al personal, infórmale antes, a él y a sus representantes, de forma expresa, clara y concisa (art. 89.1).

22. WhatsApp y mensajería: marco específico

• Para la asistencia, la AEPD admite usar el teléfono que el paciente facilitó para avisarle o recordarle una cita, sea cual sea la aplicación, siempre que el mensaje llegue solo al paciente (nunca a un grupo en el que esté) y ofreciendo siempre medios alternativos de comunicación. Informa al paciente de este canal en tu política de privacidad.
• Permiso previo del paciente para escribirle por WhatsApp. La política de mensajería de WhatsApp Business (versión del 23 de septiembre de 2026) solo permite contactar a quien te ha dado su número y su permiso para recibir tus mensajes, y te hace responsable de cómo lo obtienes: no lo des por hecho porque el paciente haya facilitado su número en la historia.
• Separar el canal asistencial (historia clínica, pruebas, diagnóstico) del canal logístico (citas, recordatorios, facturación). La AEPD pide aplicar la minimización de datos y advierte de que probablemente no sea aconsejable usar la mensajería instantánea con el paciente, sobre todo con datos sensibles. La política de WhatsApp Business prohíbe además usarlo para telemedicina o para enviar o pedir información de salud cuando la normativa aplicable prohíba distribuirla a sistemas que no cumplan requisitos reforzados. Por eso, no envíes datos clínicos por este canal salvo excepciones que hayas valorado y documentado.
• Contrato de encargo del tratamiento con Meta (si usas la API oficial de WhatsApp Business, la Cloud API): los términos de tratamiento de datos de WhatsApp Business se aplican en la medida en que las condiciones del servicio dicen que WhatsApp trata los datos como tu encargado. Archívalos con la fecha en que los aceptaste y comprueba que cubren el uso que haces.
• Política de conservación de las conversaciones, con un plazo escrito y justificado por su finalidad.
• Si una conversación forma parte de la asistencia, lo clínicamente relevante se incorpora a la historia clínica, que debe recoger la información trascendental para conocer el estado de salud del paciente (art. 15.1 de la Ley 41/2002).

¿Se puntúa una clínica en una inspección de la AEPD?

No. Ni el RGPD ni la LOPDGDD prevén una puntuación ni una ponderación por bloques: cada procedimiento se resuelve por las infracciones concretas que se acrediten, con los criterios del art. 83 RGPD y la clasificación de los arts. 71 a 74 LOPDGDD. Por eso no tiene sentido repartir pesos entre bloques. Ten en cuenta que la lista mezcla obligaciones legales, que llevan su base legal, y buenas prácticas para acreditarlas: empieza por las primeras.

Empieza por la documentación organizativa y los contratos (puntos 1 a 9), que son lo primero que puedes acreditar, y cierra los huecos de seguridad técnica con un plan de adecuación con fechas y responsables.

Plan de acción de 30 días

• Días 1 a 5: audita lo que tienes y marca en rojo, ámbar o verde los 22 puntos.
• Días 6 a 15: cierra los rojos críticos (registro de actividades, política de privacidad, contratos de encargo principales, aviso de cookies).
• Días 16 a 25: cierra los ámbar (evaluación de impacto si aplica, procedimientos, formación).
• Días 26 a 30: prueba la restauración de las copias de seguridad, ensaya un simulacro de brecha y haz una revisión final con un asesor legal.