Si tienes una clínica dental, una consulta de fisioterapia, una óptica, un centro de estética con tratamientos médicos o cualquier otro negocio que maneje datos de salud en Valencia, este artículo te afecta directamente.
El sector sanitario registró un incremento del 278 % en expedientes sancionadores en 2024-2025. La sanción media para clínicas privadas se sitúa en torno a los 18.000 euros. Y la razón principal es siempre la misma: los datos de salud son una categoría especialmente protegida que requiere medidas que van mucho más allá de lo que se exige a una empresa normal.
Por qué los datos de salud merecen protección especial
El artículo 9 del RGPD clasifica los datos de salud como categoría especial, junto con los datos biométricos, los de origen racial, las creencias religiosas o la orientación sexual. El motivo es sencillo: su exposición puede causar daños graves y difícilmente reparables a las personas.
Una filtración de datos bancarios es grave. Una filtración de datos médicos puede destruir una relación laboral, una familia o la salud mental de una persona.
Por eso, las obligaciones son mayores y las sanciones, proporcionalmente, también.
Las infracciones más frecuentes en el sector sanitario
La AEPD ha tramitado más de 180 expedientes sancionadores al sector salud en los últimos dos años. Estas son las infracciones que aparecen con más frecuencia:
1. Acceso indebido a historiales clínicos
Es el motivo más frecuente (38 % de los expedientes). Puede ocurrir de múltiples formas:
- Un trabajador accede al historial de un conocido o familiar sin necesidad clínica.
- El sistema informático no tiene control de accesos y cualquier empleado puede ver cualquier expediente.
- Un médico que ya no trabaja en la clínica sigue teniendo acceso a los datos.
En todos estos casos, la responsabilidad recae sobre la clínica como responsable del tratamiento, aunque el acceso lo haya realizado un empleado de forma individual.
2. Compartir datos con terceros sin autorización
Una clínica fue sancionada con 7.000 euros por usar un plugin de Google Analytics que transmitía datos de los pacientes que interactuaban con el formulario de contacto a servidores de Google, sin informar de ello ni obtener consentimiento. La AEPD lo consideró una vulneración del principio de confidencialidad.
Este caso es especialmente relevante porque muchas clínicas tienen formularios de contacto en su web que, sin saberlo, comparten datos con plataformas de analítica o publicidad.
3. Imágenes de pacientes sin consentimiento explícito
Una clínica dental fue sancionada con más de 20.000 euros por publicar en redes sociales fotografías del antes/después de tratamientos de pacientes. La clínica afirmaba tener el consentimiento de los pacientes, pero ese consentimiento era genérico (dentro del contrato de prestación de servicios) y no específico para el uso de imágenes con fines comerciales.
Lo que exige la AEPD: Para publicar imágenes de pacientes (especialmente si muestran resultados de tratamientos médicos), necesitas:
- Consentimiento explícito y específico para ese uso concreto.
- Consentimiento separado del de la prestación del servicio sanitario.
- Posibilidad de revocar el consentimiento en cualquier momento.
4. Comunicaciones masivas exponiendo datos de pacientes
Una residencia geriátrica fue sancionada por enviar correos electrónicos a múltiples destinatarios con todas las direcciones visibles en el campo "Para:" en lugar de usar la copia oculta (CCO). Los destinatarios —familiares de residentes— pudieron ver los correos de todos los demás.
Este error, aparentemente menor, implicó la exposición de datos que permitían deducir quiénes eran pacientes del centro.
5. Notificación tardía de brechas de seguridad
Un hospital privado de Madrid fue sancionado con 70.000 euros tras una brecha de seguridad que afectó a 40.000 pacientes. La sanción no fue únicamente por la brecha en sí, sino por notificarla a la AEPD fuera del plazo legal de 72 horas.
La regla de las 72 horas: Cuando se produce una brecha de seguridad que afecta a datos personales, el responsable tiene 72 horas para notificarlo a la AEPD (si existe riesgo para los derechos de las personas) y, en ciertos casos, también debe notificarlo directamente a los afectados. El plazo empieza desde que se detecta la brecha, no desde que se confirma.
Obligaciones específicas de las clínicas y consultas
Más allá de las obligaciones generales del RGPD, los centros sanitarios tienen requisitos adicionales:
Historia clínica y acceso por parte de terceros
La Ley 41/2002 de Autonomía del Paciente regula el acceso a la historia clínica. El paciente es el titular de sus datos y tiene derecho a:
- Acceder a su historia clínica completa.
- Solicitar la portabilidad de sus datos a otro centro.
- Solicitar la rectificación de datos erróneos.
- En ciertos casos, solicitar la supresión (con matices en el entorno sanitario).
La clínica debe garantizar estos derechos y tener un procedimiento para atenderlos en los plazos legales.
Plazo de conservación de historiales
En el sector sanitario, la historia clínica debe conservarse durante un mínimo de 5 años desde la última asistencia (en la normativa estatal; algunas comunidades autónomas establecen plazos superiores). No puedes eliminarla antes, pero tampoco puedes conservarla indefinidamente.
Contrato de encargo con el software de gestión
Si usas un software de gestión clínica (cualquiera que sea: gestión de citas, historial, facturación), el proveedor de ese software tiene acceso a los datos de tus pacientes. Eso lo convierte en encargado del tratamiento y necesitas un contrato específico que regule ese acceso.
Sin ese contrato, la cesión de datos al proveedor carece de base legal, lo que es una infracción en sí misma.
Evaluación de Impacto (EIPD)
Para ciertos tratamientos de datos de salud —especialmente si usas herramientas digitales avanzadas, inteligencia artificial para diagnóstico o procesas datos a gran escala— es obligatorio realizar una Evaluación de Impacto en Protección de Datos antes de empezar a tratar esos datos.
El checklist básico para clínicas y consultas en Valencia
- Tienes un Registro de Actividades de Tratamiento actualizado con todas las categorías de datos que tratas.
- Los consentimientos para el tratamiento de datos de salud son explícitos y documentados por escrito.
- Los consentimientos para publicar imágenes son independientes del consentimiento asistencial.
- Tu software de gestión clínica tiene un contrato de encargo del tratamiento firmado.
- El acceso al historial clínico está restringido por roles y registrado.
- Tienes un protocolo de brechas de seguridad que incluye el plazo de 72 horas.
- Los formularios de tu web no comparten datos de forma encubierta con plataformas de terceros.
- Has informado a tus empleados sobre protección de datos y conservas evidencia de esa formación.
- Tienes la Política de Privacidad actualizada y visible en tu web.
¿Qué pasa si un empleado accede a datos sin autorización?
Una pregunta frecuente de los responsables de clínicas: si un empleado mío accede a datos de pacientes de forma no autorizada, ¿la sanción es para él o para la clínica?
La respuesta corta: para la clínica.
El RGPD establece responsabilidades sobre el responsable del tratamiento (la clínica) por haber permitido ese acceso, aunque sea por negligencia del empleado. Si tuvieras los controles de acceso adecuados, ese empleado no habría podido acceder. La falta de controles es responsabilidad tuya, no de él.
Esto no exime al empleado de responsabilidades disciplinarias internas, pero la sanción de la AEPD recaerá sobre la organización.
Protección de datos en clínicas: inversión, no gasto
Cumplir con la normativa de protección de datos en el sector sanitario no es una burocracia arbitraria. Es una garantía para tus pacientes de que sus datos más sensibles están en manos responsables, y es una protección para tu negocio frente a sanciones que pueden alcanzar decenas de miles de euros.
En Protección de Datos Valencia trabajamos con clínicas, consultas y centros de salud de toda la Comunitat Valenciana. Conocemos la normativa específica del sector y te ayudamos a cumplir de forma práctica y sin papeleo innecesario.
Solicita una consulta gratuita y en 30 minutos te decimos exactamente en qué situación está tu clínica y qué necesitas hacer.
Fuentes: Artículo 9 RGPD, Ley 41/2002 de Autonomía del Paciente, Memoria AEPD 2025, resoluciones públicas aepd.es, Legiscope.com (Sanciones AEPD sanidad y salud 2026)
¿Necesitas cumplir con el RGPD?
Habla con nuestros expertos en protección de datos en Valencia. Consulta gratuita y sin compromiso.