LOPD para clínicas: qué es y qué debes tener en orden
Última actualización: abril 23, 2026
Tabla de contenidos
Si tienes una clínica o consulta médica, los datos que manejas cada día no son datos cualquiera. Los historiales clínicos, los diagnósticos, los tratamientos o las notas de sesión de tus pacientes son datos de categoría especial según la ley. Y eso significa que el nivel de protección que debes aplicarles va mucho más allá de lo que se le exige a una tienda online o a un autónomo de cualquier otro sector.
El problema es que la mayoría de los profesionales sanitarios saben que existe la LOPD, saben que «hay que cumplirla», pero no tienen claro exactamente qué implica en su caso concreto. Este artículo responde a eso.
Qué es la LOPD y cómo se relaciona con el RGPD
La LOPD es la Ley Orgánica de Protección de Datos y Garantía de los Derechos Digitales, aprobada en España en 2018. Su función es adaptar a la legislación española el RGPD (Reglamento General de Protección de Datos), que es la normativa europea que regula el tratamiento de datos personales en toda la Unión Europea.
En la práctica, cuando hablamos de LOPD en el ámbito sanitario, estamos hablando de las dos normas a la vez. El RGPD establece el marco general europeo; la LOPD lo concreta para el contexto español y añade obligaciones específicas en materias como la videovigilancia, los datos de menores o los recursos humanos.
¿Qué dice esa normativa en esencia? Que toda persona tiene derecho a saber qué datos suyos están siendo tratados, por quién, con qué finalidad y durante cuánto tiempo. Y que quien trata esos datos tiene la obligación de protegerlos, gestionarlos correctamente y poder demostrar en todo momento que lo está haciendo.
→ Referencia oficial: texto completo del RGPD en EUR-Lex (https://eur-lex.europa.eu/legal-content/ES/TXT/?uri=CELEX%3A32016R0679) → Portal de la Agencia Española de Protección de Datos (AEPD): (https://www.aepd.es)
Por qué las clínicas tienen una responsabilidad mayor que otros negocios
Aquí está la clave que muchos profesionales sanitarios no conocen bien: el RGPD clasifica los datos de salud como datos de categoría especial.
Los datos de categoría especial son aquellos que, si se filtran o se usan de forma indebida, pueden causar un daño especialmente grave a la persona. En esta categoría entran los datos de salud física y mental, el origen étnico, las creencias religiosas, la orientación sexual o los datos genéticos.
Para este tipo de datos, la normativa exige:
- Un nivel de protección técnica más elevado (cifrado, control de acceso)
- Una base legal más robusta para poder tratarlos
- Documentación específica más detallada
- Medidas de seguridad adicionales en caso de brecha
Esto significa que una clínica de fisioterapia, una consulta de psicología o un centro dental están sujetos a obligaciones que no tiene, por ejemplo, una asesoría fiscal. Y que las sanciones por incumplimiento son proporcionalmente más severas.
Qué obligaciones concretas tiene tu clínica
Registro de Actividades de Tratamiento (RAT)
Todo responsable del tratamiento de datos debe mantener un documento interno que recoja, para cada tipo de dato que maneja: qué datos se tratan, con qué finalidad, quién tiene acceso, durante cuánto tiempo se conservan y qué medidas de seguridad se aplican.
En el caso de una clínica, los tratamientos habituales incluyen la gestión de historiales clínicos, la facturación, la comunicación con pacientes (recordatorios, citas), y en algunos casos la gestión de nóminas del personal o la comunicación con aseguradoras.
El RAT no es un formulario que se entrega a nadie. Es un documento interno, pero debe estar actualizado y disponible si la AEPD lo solicita.
Análisis de Riesgos y Evaluación de Impacto (EIPD)
Dado que los datos de salud son de categoría especial, es muy probable que tu clínica necesite realizar una Evaluación de Impacto relativa a la Protección de Datos (EIPD). Este análisis evalúa los riesgos que implica
el tratamiento de datos que realizas y las medidas que aplicas para mitigarlos.
En términos prácticos, esto significa revisar: ¿quién tiene acceso a los historiales clínicos?, ¿Están cifrados los dispositivos donde se almacenan?, ¿Qué ocurre si un ordenador de la clínica se pierde o es robado?
Consentimientos informados correctamente firmados
El consentimiento del paciente para que sus datos sean tratados debe ser libre, específico, informado e inequívoco. No basta con que el paciente firme un papel sin leerlo. Debe entender qué datos se van a tratar, para qué, si se van a ceder a terceros (como aseguradoras), y cuáles son sus derechos.
Este punto es crítico en la práctica clínica porque en muchos centros el consentimiento informado clínico —el que el paciente firma para autorizar se confunde con el consentimiento de protección de datos. Son documentos distintos con finalidades distintas.
Dicho esto, el artículo 9.2 del RGPD establece casos concretos en los que se puede tratar datos de salud sin necesidad de consentimiento expreso.
Es importante conocerlos porque muchos profesionales piden consentimiento en situaciones donde no es obligatorio, y en otras donde sí lo es no lo formalizan correctamente:
- Cuando el paciente no puede dar su consentimiento (incapacidad física o jurídica) y el tratamiento de los datos es necesario para proteger sus intereses vitales.
- Cuando los datos se tratan con fines de medicina preventiva o laboral, evaluación de la capacidad laboral o gestión de sistemas sanitarios, siempre que exista una norma legal que lo ampare y el tratamiento lo realice un profesional sujeto a secreto profesional.
- Cuando es necesario por razones de interés público en el ámbito de la salud pública (por ejemplo, durante una emergencia sanitaria).
En la práctica clínica habitual —consulta individual, gestión de historial, facturación a aseguradoras— el consentimiento expreso del paciente sigue siendo la base legal más común y la más recomendable para documentar correctamente el cumplimiento.
Cláusulas informativas y política de privacidad
Cualquier formulario con el que recojas datos de pacientes —ya sea físico o digital— debe incluir una cláusula informativa que explique: quién es el responsable del tratamiento, con qué finalidad se recogen los datos, durante cuánto tiempo se conservarán y cómo puede ejercer el paciente sus derechos.
Tu web también debe tener una política de privacidad accesible y actualizada.
Contratos con encargados de tratamiento
Si usas proveedores externos que acceden a datos de tus pacientes —un software de gestión clínica en la nube, un servicio de SMS para recordatorios, una plataforma de videoconsulta— esos proveedores son lo que la normativa llama encargados del tratamiento. Y debes tener firmado con cada uno un contrato que regule cómo pueden tratar esos datos.
Este es uno de los puntos que más frecuentemente se pasa por alto, especialmente cuando la clínica usa herramientas genéricas —WhatsApp para comunicarse con pacientes, Google Drive para almacenar documentos— que no están adaptadas al marco legal del sector sanitario.
Protocolo ante brechas de seguridad
Si en tu clínica se produce una brecha de seguridad que afecta a datos de pacientes —desde un acceso no autorizado hasta la pérdida de un dispositivo con información clínica— tienes la obligación de notificarlo a la AEPD en un plazo máximo de 72 horas desde que tienes conocimiento del incidente.
Si la brecha puede afectar significativamente a los derechos de los afectados, también debes comunicárselo directamente a los pacientes.
Ejemplo práctico: un ordenador de recepción que contiene fichas de pacientes es robado un viernes por la tarde. El lunes a primera hora ya has superado las 72 horas. Sin un protocolo predefinido —quién notifica, cómo, qué información incluye— es muy difícil actuar con esa rapidez.
Tener el procedimiento escrito de antemano es la diferencia entre una gestión ordenada y una crisis.
Gestión de los derechos de los pacientes
Tus pacientes tienen una serie de derechos reconocidos por la normativa que debes estar en condiciones de gestionar:
- Acceso: pueden solicitar ver qué datos tienes sobre ellos.
- Rectificación: pueden pedir que corrijas datos erróneos.
- Supresión: pueden pedir que elimines sus datos (con excepciones para la historia clínica, que tiene plazos de conservación obligatorios)
- Portabilidad: pueden recibir sus datos en un formato que puedan llevar a otro proveedor.
- Oposición: pueden oponerse a ciertos usos de sus datos.
Ejemplo práctico: un paciente que dejó de venir hace dos años escribe un email pidiendo que borres todos sus datos. Tienes un mes para responder. Si no tienes un procedimiento definido ni sabes qué datos puedes borrar y cuáles debes conservar por obligación legal (la historia clínica debe guardarse un mínimo de 5 años en la mayoría de comunidades autónomas), es muy probable que gestiones mal esa solicitud.
Las sanciones: qué puede pasar si no cumples
La AEPD puede imponer sanciones de hasta 20 millones de euros o el 4% de la facturación anual global, según el RGPD. En la práctica, las sanciones a clínicas y consultas individuales son proporcionales al tamaño del negocio, pero no son anecdóticas.
Algunos ejemplos de infracciones que la AEPD ha sancionado en el sector sanitario:
- Acceso a historiales clínicos por personal no autorizado
- Envío de datos de pacientes por canales no seguros (correo sin cifrar, WhatsApp)
- Falta de consentimiento informado adecuado
- No atender correctamente las solicitudes de ejercicio de derechos
Más allá de la sanción económica, una brecha de datos en una clínica puede tener consecuencias reputacionales graves. Un paciente que descubre que su historial fue accedido por alguien no autorizado no va a volver, y probablemente va a contárselo a otros.
→ Puedes consultar resoluciones reales de la AEPD en su buscador público: (https://www.aepd.es/resoluciones)
Lo que en la práctica más falla en las clínicas
Hay ciertos puntos donde el incumplimiento es más frecuente, independientemente del tamaño o la especialidad del centro.
Usar herramientas no adaptadas al sector sanitario. WhatsApp para enviar recordatorios, Google Drive para almacenar historiales, Trello para coordinar el equipo. Ninguna de estas herramientas tiene los contratos de encargado del tratamiento adaptados al ámbito sanitario español, ni las medidas de seguridad que exige la normativa para datos de categoría especial.
Confundir el consentimiento clínico con el de protección de datos. Son documentos distintos. El primero autoriza al profesional a aplicar un tratamiento médico. El segundo regula cómo se van a tratar los datos personales del paciente.
No actualizar los documentos cuando cambia el contexto. Si incorporas un nuevo software, empiezas a trabajar con una aseguradora nueva, o añades una especialidad a la clínica, tienes que revisar tu documentación.
No tener un sistema de control de acceso. Que todo el equipo tenga acceso a todos los historiales es una práctica habitual que la normativa no permite. El acceso debe estar limitado al personal que lo necesita para ejercer sus funciones.
Cómo un software clínico bien diseñado simplifica el cumplimiento
Una parte importante del cumplimiento de la LOPD en clínicas tiene que ver con cómo se almacenan, acceden y protegen los datos de los pacientes. Y eso está directamente relacionado con las herramientas que usas cada día.
Un software clínico diseñado para el sector sanitario debe ofrecerte:
- Almacenamiento de datos en servidores seguros dentro de la UE, con cifrado en reposo y en tránsito
- Control de acceso por usuario y rol: el fisioterapeuta solo ve sus pacientes, la administrativa ve la agenda pero no el historial completo, la dirección tiene visión global
- Firma digital de consentimientos directamente en la plataforma, con registro del momento y el dispositivo desde el que se firmó
- Contrato de encargado del tratamiento firmado con el proveedor, en cumplimiento del RGPD
- Trazabilidad de accesos: quién ha accedido a qué expediente y cuándo
Cuando tu software cumple con estos requisitos, una parte relevante del trabajo de cumplimiento normativo queda integrada en tu operativa diaria, sin que tengas que dedicar tiempo adicional a ello.
Preguntas frecuentes sobre LOPD en clínicas
¿Es obligatoria la LOPD para una consulta médica unipersonal?
Sí. La normativa de protección de datos se aplica a cualquier profesional que trate datos de terceros, independientemente de si trabaja solo o tiene un equipo. Un autónomo sanitario con 20 pacientes tiene las mismas obligaciones de base que una clínica con 10 profesionales, aunque la complejidad de su documentación sea proporcionalmente menor.
¿Qué diferencia hay entre la LOPD y el RGPD para una clínica?
El RGPD es la normativa europea que establece el marco general de protección de datos. La LOPD es la ley española que lo desarrolla y concreta para determinadas materias. En la práctica, una clínica debe cumplir con ambas: el RGPD fija los principios, derechos y obligaciones generales; la LOPD añade especificidades del contexto español como los
plazos de conservación de la historia clínica o el tratamiento de datos de menores.
¿Cuánto tiempo debe conservarse la historia clínica?
La Ley 41/2002 de autonomía del paciente establece un mínimo de 5 años desde la última asistencia. Sin embargo, varias comunidades autónomas tienen normativa propia que amplía ese plazo (en algunas hasta 10 años o indefinidamente para ciertos documentos). Es importante revisar la normativa de la comunidad autónoma donde opera la clínica, y tenerlo reflejado en el Registro de Actividades de Tratamiento.
¿Puedo usar WhatsApp para comunicarme con mis pacientes?
El uso de WhatsApp para comunicaciones con pacientes presenta problemas desde el punto de vista de la protección de datos: Meta (empresa propietaria de WhatsApp) accede a metadatos de las comunicaciones y no ofrece un contrato de encargado del tratamiento adaptado al marco legal sanitario español. Si se usa, debe limitarse a comunicaciones no sensibles (como confirmar una cita), nunca para compartir información clínica, y el paciente debe haber dado su consentimiento explícito para ese canal.
¿Tu software clínico cumple con lo que la LOPD exige para datos de salud?
Docfav incluye almacenamiento seguro en la UE, firma digital de consentimientos,
control de acceso por rol y contrato de encargado del tratamiento adaptado al
sector sanitario. Sin configuraciones adicionales, sin coste extra.