Protección de datos de empleados en clínica dental · obligaciones RGPD 2026

El 90% de las clínicas pequeñas en España aplican RGPD a pacientes · pero olvidan que sus empleados también son titulares de datos personales · con derechos casi idénticos. Doctores · auxiliares · recepción · administrativos · todos. Esta es la guía honesta sobre qué obligaciones reales tienes como clínica · qué dejar documentado · y cómo manejar la salida de un empleado sin abrir agujero de cumplimiento.

Por qué empleados son datos personales

Cuando contratas a un auxiliar dental · ya estás procesando sus datos como responsable de tratamiento (Art. 6 RGPD). Datos típicos clínica recopila de empleados:

• Identificativos: nombre · DNI · NIE · dirección · email · teléfono
• Laborales: contrato · nómina · IRPF · Seguridad Social · titulación profesional
• Salud (sensibles · Art. 9 RGPD):reconocimientos médicos vigilancia salud · bajas laborales · enfermedades profesionales · accidentes laborales
• Biométricos: control horario huella · reconocimiento facial entrada · fichaje móvil con GPS
• Económicos: cuenta bancaria · embargos · pensiones alimenticias
• Comunicaciones laborales: emails corporativos · WhatsApp grupo trabajo · llamadas trabajo

Todos estos datos requieren base legal · finalidad declarada · retención limitada · y derechos del empleado garantizados.

Finalidades válidas · qué puedes procesar y por qué

Finalidad 1 · Gestión laboral

Base legal: Art. 6.1.b RGPD (ejecución contrato laboral) + Estatuto de los Trabajadores.

• Datos identificativos para contrato · alta SS · nómina · comunicaciones laborales
• Titulación profesional (obligatoria para auxiliares y doctores · colegiación COE)
• Histórico salarial · IRPF · cotizaciones (legalmente obligatorio retener)

Finalidad 2 · Vigilancia salud laboral

Base legal: Art. 9.2.h RGPD + Ley 31/1995 Prevención Riesgos Laborales Art. 22.

• Reconocimiento médico inicial + anuales · obligado clínicas con personal expuesto (radiación dental · agentes biológicos)
• Datos médicos los recibe servicio prevención ajeno · no la clínica directamente. Clínica solo recibe "apto" / "no apto".
• Si empleado declara enfermedad relacionada con trabajo (lesión espalda · contagio paciente) · puedes procesar pero con cautela y consentimiento expreso adicional

Finalidad 3 · Control horario

Base legal: Art. 6.1.c RGPD (obligación legal) + RD-ley 8/2019 + Estatuto Trabajadores Art. 34.9.

• Obligatorio registrar jornada laboral diaria desde 2019
• Sistemas válidos: hoja firmada · app móvil · biométrico (huella · facial)
• Biométrico requiere DPIA (Art. 35 RGPD) y comunicación expresa empleado · no puede ser único sistema sin alternativa

Finalidad 4 · Evaluación desempeño

Base legal: Art. 6.1.f RGPD (interés legítimo empleador).

• Evaluaciones internas trimestrales · objetivos · feedback · CR conversión doctor · etc.
• Empleado debe conocer criterios evaluación y poder consultar su histórico (derecho acceso Art. 15)

Accesos · principio "need to know"

Uno de los principios más ignorados. No todos los empleados de tu clínica necesitan ver todos los datos:

• Doctor: necesita ver datos clínicos pacientes · NO necesita ver nóminas otros doctores · contratos del resto · ni datos personales no clínicos de compañeros
• Recepción: necesita ver agendas · contactos pacientes · facturación. NO necesita ver historia clínica completa pacientes · ni nóminas equipo.
• Auxiliar dental: necesita ver historia clínica del paciente que está atendiendo en silla · NO necesita acceso histórico de otros doctores.
• Administrativo/RRHH: necesita ver datos laborales empleados · NO necesita ver historia clínica pacientes salvo facturación específica.
• Doctor titular/Director: acceso amplio · pero documentado · con log si el sistema lo permite.

Esto se traduce a configurar roles en tu software clínico (Dentalink · Klinikare · etc.) · y revisar quién tiene qué privilegio cada 6 meses. AEPD audita esto en inspección.

Retención · cuánto guardar y cuándo borrar

Datos laborales generales

• Contratos · nóminas · IRPF · Seguridad Social:4 años desde fin contrato (Art. 21 Real Decreto Legislativo 5/2000)
• Prevención riesgos · accidentes laborales:5 años mínimo (Ley 31/1995)
• Comunicaciones laborales (emails · WhatsApp trabajo): mientras vínculo laboral activo + 1 año máximo post-salida (a no ser que haya litigio en curso)

Datos biométricos

• Huella · facial: 10 años desde último fichaje (LOPDGDD Art. 9 + interpretación AEPD)
• En la práctica · al fin contrato laboral · biométrico debe borrarse o anonimizarse en 30 días salvo proceso judicial en curso

Datos vigilancia salud

• Historia médica laboral: 30 años post-cese (Ley 31/1995 Art. 22.2 para agentes cancerígenos · 5 años resto)
• Custodiada por servicio prevención · no por clínica directamente. Clínica conserva solo certificado aptitud.

Cesión de datos · cuándo SÍ y cuándo NO

Cesiones obligatorias (no necesitan consentimiento)

• Seguridad Social · Hacienda · Inspección Trabajo
• Mutua accidentes laborales
• Bancos para pago nómina
• Tribunales en proceso judicial

Cesiones que SÍ necesitan consentimiento

• Referencias a empresas que llaman pidiendo info ex-empleado. Sin consentimiento explícito previo · solo puedes confirmar fecha trabajó y puesto.
• Datos a entidades grupo empresarial (otra clínica del mismo doctor titular)
• Publicación foto/nombre en web clínica (consent expreso · revocable)
• Cesión a proveedor tercero (gestoría · software RRHH) · requiere contrato Art. 28 RGPD (encargado tratamiento)

Cesiones prohibidas

• Vender datos empleados a terceros
• Compartir datos médicos empleado con su familia sin consentimiento explícito del empleado
• Difundir motivo despido a otros empleados o clientes

Monitorización empleados · línea roja

Permitido (con condiciones)

• Videovigilancia zonas comunes:recepción · pasillos · cartel obligatorio "zona videovigilada" · finalidad seguridad · retención máx 30 días salvo incidente
• Control acceso software clínico: log quién accedió a qué historia clínica · cuándo · informado empleado al firmar contrato
• Email corporativo: empleado debe saber que email corporativo puede revisarse (NO emails personales) · política uso comunicada y firmada
• WhatsApp trabajo: solo móvil empresa o número exclusivo trabajo · empleado informado · no obligado a usar WhatsApp personal

NO permitido

• Cámaras en vestuarios · baños · áreas descanso
• Audio en videovigilancia (salvo casos excepcionales y muy justificados · típicamente prohibido)
• Geolocalización GPS de empleados fuera horario laboral
• Revisar móvil personal del empleado · ni WhatsApp personal
• Espiar conversaciones empleado-paciente sin causa justificada (auditoría calidad sí · monitorización generalizada no)

Ex-empleados · checklist salida

El momento más delicado RGPD en clínica. Ex-empleado resentido puede causar agujero seguridad masivo. Protocolo obligatorio:

Día de salida

• Acceso software clínico revocado mismo día (Dentalink · Klinikare · Doctoralia · Cal.com · Stripe · Slack interno · Google Workspace clínica)
• Email corporativo desactivado o redirigido (no eliminado · 4 años retención)
• Devolver tarjeta acceso · llaves · equipo trabajo
• Cifrar y precintar equipos físicos retornados (portátil · móvil empresa)
• Cambiar contraseñas compartidas (WhatsApp Business · cuenta GMB · si las hubo)

Primeros 30 días

• Auditoría acceso · revisar logs últimos 30 días pre-salida · detectar descargas masivas datos pacientes
• Si descargas sospechosas · proceso burofax + investigación + posible denuncia LOPDGDD (sanción ex-empleado por exfiltración)
• Comunicar a pacientes solo si se confirma brecha · siguiendo procedimiento AEPD (72h notificación si afecta >1 paciente)

Datos biométricos · borrado 30 días

• Eliminar huella · datos faciales del sistema control horario pasados 30 días salvo litigio
• Documentar borrado · log con fecha · responsable · método

Datos laborales · retener 4 años

• Contrato · nóminas · IRPF · cotizaciones · 4 años desde fin contrato (obligación legal)
• Tras 4 años · borrar o anonimizar

Documentación obligatoria · registro tratamiento

• Registro de Actividades del Tratamiento (RAT):obligatorio · incluye finalidad "gestión empleados" con detalle base legal · retención · cesiones · medidas seguridad
• Política de privacidad empleados: documento específico para empleados (no la genérica de pacientes) · firmado al entrar
• Política uso equipos: ordenadores · móvil · email · WhatsApp trabajo · firmado por empleado
• DPIA biométrico: si usas huella o facial · evaluación impacto datos firmada por DPO
• Plan de actuación brecha datos: protocolo ante incidente · cadena responsable · plazo 72h notificación AEPD

Errores típicos · qué evitar

• WhatsApp grupo trabajo con número personal doctores: mezcla datos personales con corporativos · riesgo alto. Solución: número exclusivo empresa.
• Compartir contraseña software clínico equipo:pierdes trazabilidad acceso · imposible defender ante AEPD.
• No formalizar política privacidad empleados:asumes que firma genérica al pasar contrato cubre todo. No.
• No revocar accesos mismo día salida: 3 días después ex-empleado descargó base pacientes · brecha grave.
• Vigilancia con audio sin justificación:sanción casi automática AEPD si denuncia ex-empleado.
• Pedir analítica sangre/orina drogas sin marco legal: generalmente prohibido salvo trabajos específicos justificados.

Sanciones · qué juega la AEPD

• Falta leve: hasta €40k (no haber formalizado política privacidad empleado · no retener correctamente)
• Falta grave: hasta €300k (ceder datos sin consentimiento · monitorización ilegal · brecha sin notificar)
• Falta muy grave: hasta €20M o 4% facturación (procesamiento ilegal masivo · cesión a terceros sin consentimiento sistemática)

En clínica pequeña típica · sanciones reales se mueven en €10-50k cuando ocurren · pero coste reputacional + cierre temporal son peores.

Cómo AI Empire encaja

• Number exclusivo WhatsApp Business clínica · separado móviles personales · log conversaciones · audit trail preservado
• Acceso al portal AI Empire con roles diferenciados · doctor · recepción · admin · cada uno solo ve lo necesario
• Revocación accesos en <15 minutos al darse baja empleado (panel admin)
• Logs acceso a historia clínica pacientes con timestamp + empleado · disponibles para auditoría AEPD

Disclaimer:este artículo es general · no sustituye asesoramiento jurídico-laboral · ni servicio DPO. Cada clínica con >10 empleados habitualmente o con tratamiento masivo datos salud debe designar DPO formalmente (Art. 37 RGPD). Consulta con abogado laboralista + DPO acreditado AEPD antes de implantar políticas. AI Empire no ofrece servicio jurídico ni de consultoría laboral.