Checklist RGPD para
despachos y clínicas

Sí, casi siempre, aunque el registro en sí no es un trámite ante nadie sino un documento interno. El RGPD exime de tenerlo a las organizaciones más pequeñas, pero esa excepción no se aplica cuando el tratamiento no es ocasional o cuando incluye categorías especiales de datos. Una clínica trata datos de salud por definición, y un despacho trata de forma habitual y no ocasional los datos de sus clientes, así que ambos quedan fuera de la excepción por tamaño. En la práctica el registro tiene que enumerar qué datos se tratan, con qué finalidad, con qué base jurídica, a quién se ceden si se ceden, y cuánto tiempo se conservan. No hace falta presentarlo a nadie salvo que lo pida la autoridad de control en una inspección, pero sin él no hay forma de demostrar que el resto del cumplimiento tiene una base ordenada detrás.

En clínicas, con frecuencia sí. La normativa española lo exige a los centros sanitarios legalmente obligados a mantener historias clínicas, con una excepción expresa para el profesional sanitario que ejerce a título individual sin estructura detrás. En despachos de abogados, gestorías o asesorías no suele ser obligatorio por lista cerrada, aunque puede serlo si el volumen o el tipo de tratamiento lo justifica: no es lo mismo un despacho unipersonal que una gestoría con decenas de clientes y varios empleados accediendo a sus datos. Esta es exactamente la pregunta que conviene llevar al asesor jurídico y no al proveedor informático: nosotros podemos decirte si tus sistemas cumplen las condiciones técnicas para que alguien ejerza esa función, pero si la figura es obligatoria en tu caso concreto, y quién debe asumirla, es una valoración legal que depende de cómo esté organizada la actividad.

Sí: el contrato de encargado del tratamiento que exige el artículo 28 del RGPD, además del contrato de servicio habitual. Si alguien accede a vuestros sistemas y por tanto a datos de pacientes o clientes, tiene que estar regulado qué puede hacer con esos datos, con qué finalidad, qué confidencialidad se exige a su personal y qué pasa si termina la relación. Esto no aplica solo al proveedor de informática: vale igual para el hosting donde vive la web o el correo, para el programa de gestión en la nube que usáis a diario, para la gestoría si lleva también otros datos, y para la empresa que destruye documentación en papel. Cualquiera de ellos que toque datos personales necesita ese contrato firmado. Es habitual encontrar despachos con toda la parte jurídica en orden y sin un solo contrato de este tipo firmado con quien más acceso técnico tiene a sus sistemas.

La normativa estatal fija un mínimo de cinco años desde el alta de cada proceso asistencial, y las comunidades autónomas pueden ampliar ese plazo: en Cataluña los periodos de conservación son más largos, así que conviene confirmarlos con vuestro asesor jurídico antes de destruir cualquier historia clínica, y no fiarse de una cifra genérica encontrada en internet. Pero desde el lado informático el problema real casi nunca es el que preocupa: casi nadie borra de más ni destruye antes de tiempo. Lo habitual es lo contrario, guardar indefinidamente porque el disco tiene espacio y nadie fijó nunca un plazo ni un procedimiento para aplicarlo. Eso también es un incumplimiento, aunque no lo parezca: conservar datos de salud más tiempo del que corresponde amplía sin necesidad la cantidad de información sensible que hay que proteger y que se puede perder si algo falla en el sistema.

Para avisar de que la cita es a las cinco, con moderación y sin mencionar el motivo de la consulta, mucha gente lo usa sin mayor problema. Para enviar informes, analíticas, escrituras o cualquier documentación del expediente, no es un canal adecuado: acaba en un móvil personal, se copia automáticamente a una nube que la empresa no controla, y queda en el historial de un dispositivo que se presta, se cambia o se pierde sin que nadie lo borre antes. Si un paciente o cliente pide que se le envíe documentación, tiene que ir por un canal que la empresa pueda controlar y del que quede constancia de quién lo envió y cuándo: un correo corporativo, el propio programa de gestión si tiene mensajería, o un enlace de descarga con caducidad. La comodidad de un móvil personal no compensa perder el control sobre dónde acaba esa información delicada.

Documentarla siempre, sea cual sea su gravedad, y notificarla a la AEPD dentro de las 72 horas si es probable que suponga un riesgo para los derechos de las personas afectadas. Un correo enviado con copia visible a treinta pacientes es una brecha aunque nadie haya hecho nada con esos datos después; un portátil perdido sin cifrar, también, incluso si aparece al día siguiente sin abrir. Lo que hunde a la mayoría de despachos y clínicas no es tanto la brecha en sí como descubrir, ya en el momento del susto, que nadie tenía claro quién decide si se notifica, quién redacta el aviso y a quién hay que avisar primero. Tener eso escrito de antemano, aunque sea en una sola página, es lo que marca la diferencia entre resolverlo en un día y pasar una semana sin saber ni siquiera si hay que llamar a alguien.

No, y apoyarse solo en el consentimiento es un error frecuente que además complica las cosas. La asistencia sanitaria tiene su propia base jurídica en el RGPD, y buena parte del tratamiento de datos en un despacho se sostiene en la obligación legal o en la relación contractual con el cliente, no en un consentimiento que haya que pedir. El consentimiento hace falta específicamente para lo que queda fuera de esas bases: enviar comunicaciones comerciales, publicar una fotografía, ceder datos a un tercero que no interviene en la propia prestación del servicio. Pedirlo para todo, incluida la propia asistencia, no añade protección: diluye el consentimiento real entre firmas rutinarias que nadie lee, y eso hace más difícil demostrar que el consentimiento que sí importa, cuando hace falta, se dio de forma libre e informada.

No. El deber de información —el cartel en la sala de espera, la cláusula en el formulario, el párrafo al pie del correo— es el punto más visible y también el más fácil de cumplir, precisamente porque no exige cambiar nada en cómo funciona el día a día. Es solo una comprobación entre varias. Lo que revisa la AEPD cuando llega una reclamación real son los accesos de quién pudo ver un dato concreto, la trazabilidad de esos accesos, si existen los contratos con los proveedores que tocan los sistemas, y si las copias de seguridad existen de verdad y se pueden restaurar. Un cartel impecable en la entrada con la contraseña del programa de gestión pegada en un pósit sobre el monitor de recepción no protege nada: cumple la parte que se ve y falla la que realmente importa cuando algo sale mal.