Una radiografía panorámica enviada por WhatsApp al paciente, un historial clínico guardado en un ordenador sin contraseña, Google Analytics activo en la web de la clínica sin el consentimiento del visitante: tres situaciones cotidianas en muchas clínicas dentales de Valencia que han dado lugar a expedientes sancionadores de la AEPD. Los datos odontológicos son datos de salud y, como tales, reciben la máxima protección bajo el RGPD. Ignorarlo puede costar desde 7.000 hasta 20.000 euros en una sola resolución.
Por qué los datos dentales son especialmente sensibles
El artículo 9 del RGPD incluye los datos relativos a la salud entre las categorías especiales de datos personales, que requieren un tratamiento reforzado y una base legal específica. En el caso de las clínicas dentales, prácticamente toda la información que gestionan cae en esta categoría:
- Historiales clínicos con diagnósticos, tratamientos y medicación
- Radiografías y ortopantomografías
- Fotografías intraorales y extraorales
- Presupuestos que revelan el estado de salud oral del paciente
- Datos de contacto asociados a un historial médico
Además, las clínicas están sujetas a la normativa sanitaria específica de la Comunitat Valenciana en materia de conservación de historiales clínicos, lo que añade una capa adicional de obligaciones.
Los errores más frecuentes y sus consecuencias reales
1. Enviar radiografías y documentación clínica por WhatsApp
WhatsApp es la vía de comunicación más cómoda, pero no cumple con los requisitos de seguridad para el intercambio de datos de salud. Los metadatos, el almacenamiento en servidores de Meta fuera del Espacio Económico Europeo sin garantías adecuadas y la posibilidad de que el mensaje llegue a un dispositivo equivocado o sea accedido por terceros hacen de esta plataforma una opción incompatible con el RGPD para el envío de documentación clínica.
Caso real: clínica dental multada con 20.000€ por enviar radiografías por WhatsApp
La AEPD sancionó a una clínica dental con 20.000 euros tras la denuncia de un paciente que recibió por error las radiografías de otra persona a través de WhatsApp. La resolución determinó que la clínica no había implementado medidas técnicas y organizativas adecuadas para garantizar la seguridad en el intercambio de datos de salud, y que el uso de una aplicación de mensajería sin cifrado de extremo a extremo controlado por la entidad era incompatible con el nivel de protección exigido para datos de categoría especial.
2. Google Analytics en la web de la clínica sin consentimiento
Muchas clínicas dentales tienen una página web con Google Analytics instalado que entra en funcionamiento desde el primer instante en que el visitante accarga la página, sin pedirle ningún tipo de consentimiento. Esto es una infracción de la normativa de cookies de la AEPD y del RGPD, ya que la dirección IP es un dato personal y Google Analytics la transfiere a servidores en Estados Unidos.
Caso real: clínica dental sancionada con 7.000€ por Google Analytics sin consentimiento
Una clínica dental fue sancionada con 7.000 euros por la AEPD por tener Google Analytics activo en su página web sin mostrar un banner de cookies conforme a la normativa, sin obtener el consentimiento previo e informado del usuario para la instalación de cookies de seguimiento y sin contar con las salvaguardias adecuadas para la transferencia internacional de datos a Google LLC. La resolución también señaló la ausencia de una política de privacidad que informara correctamente sobre el uso de herramientas de analítica web.
3. No eliminar historiales clínicos transcurrido el plazo legal
La normativa sanitaria española establece que los historiales clínicos deben conservarse un mínimo de cinco años desde la última asistencia (aunque algunas comunidades autónomas amplían este plazo). Una vez superado ese período y en ausencia de otras razones de conservación, mantener los datos supone una violación del principio de limitación del plazo de conservación del RGPD.
Caso real: clínica multada con 15.000€ por no eliminar historiales tras 5 años
Una clínica dental fue sancionada con 15.000 euros por conservar en su sistema los historiales clínicos completos —incluyendo radiografías, diagnósticos y datos de contacto— de pacientes que no habían acudido a la clínica en más de diez años, sin haber establecido ningún procedimiento de revisión y supresión periódica. La AEPD determinó que la retención indefinida de datos de salud sin justificación es una infracción grave del principio de minimización y limitación del plazo de conservación.
Plazos de conservación de historiales dentales: lo que dice la ley
La Ley 41/2002, de autonomía del paciente, establece un plazo mínimo de conservación de cinco años para la documentación clínica. La Comunitat Valenciana no amplía este plazo por norma autonómica específica para odontología, aunque algunas especialidades pueden tener plazos distintos.
Conservar más tiempo del necesario es una infracción. No conservar el tiempo mínimo también puede generar responsabilidades. La clave es tener una política documentada y un procedimiento automático de revisión y supresión.
Otras obligaciones específicas para clínicas dentales
- Registro de actividades de tratamiento: obligatorio para cualquier clínica que no sea un autónomo con menos de 250 empleados que solo trate datos ocasionalmente (lo que excluye a la mayoría de clínicas)
- Cláusulas de confidencialidad para todo el personal con acceso a historiales
- Contratos de encargo del tratamiento con el software de gestión de pacientes, el servicio de radiología digital y cualquier proveedor que acceda a datos clínicos
- Política de gestión de brechas de seguridad: ante un incidente (pérdida de datos, acceso no autorizado), la clínica tiene 72 horas para notificar a la AEPD si hay riesgo para los pacientes
Checklist de protección de datos para clínicas dentales
- Tengo una política de privacidad actualizada en la web y en el mostrador de la clínica
- El banner de cookies de mi web cumple con los requisitos de la AEPD y no activa cookies sin consentimiento
- No envío radiografías ni documentación clínica por WhatsApp ni correo no cifrado
- Utilizo un canal seguro (portal del paciente, email cifrado, plataforma homologada) para compartir información clínica
- He establecido plazos de conservación para los historiales y un procedimiento de supresión periódica
- Todo el personal ha firmado un compromiso de confidencialidad
- Tengo contrato de encargo del tratamiento con el software de gestión de pacientes
- Los ordenadores de la clínica tienen contraseña y cifrado de disco activado
- Cuento con un procedimiento documentado para responder a solicitudes de derechos de pacientes
- Tengo un protocolo de gestión de brechas de seguridad con notificación a la AEPD en 72 horas
Los datos de salud de tus pacientes son los más sensibles que existen y las sanciones por su mal manejo están entre las más cuantiosas que impone la AEPD. En Protección de Datos Valencia llevamos a clínicas dentales y sanitarias de la Comunitat Valenciana hacia el pleno cumplimiento del RGPD con soluciones prácticas y adaptadas al entorno clínico. Solicita una consulta gratuita a través de nuestro formulario de contacto y analizamos sin compromiso la situación de tu clínica.
Fuentes: Reglamento General de Protección de Datos (UE) 2016/679, Arts. 9 y 17 | Ley 41/2002, de 14 de noviembre, básica reguladora de la autonomía del paciente | AEPD – Resolución PS/00251/2022 (WhatsApp y radiografías, 20.000€) | AEPD – Resolución PS/00078/2023 (Google Analytics sin consentimiento, 7.000€) | AEPD – Resolución PS/00194/2021 (historiales sin suprimir, 15.000€) | AEPD – Guía sobre protección de datos en el ámbito sanitario | Ley Orgánica 3/2018 (LOPDGDD)
¿Necesitas cumplir con el RGPD?
Habla con nuestros expertos en protección de datos en Valencia. Consulta gratuita y sin compromiso.