Proteger los datos de un paciente exige organizar la atención, los accesos al expediente y la entrega de resultados. Una firma en admisiones no autoriza cualquier uso posterior. Hospitales, clínicas y laboratorios deben determinar qué información necesitan, qué condiciones legales permiten usarla y cómo impedir que llegue a una persona no autorizada.
El consentimiento médico y el tratamiento de datos son distintos
El consentimiento informado para un procedimiento médico aborda la intervención sanitaria. La legitimación para recoger, conservar, consultar o comunicar información personal exige su propio análisis conforme a la LOPDP y a la regulación sanitaria aplicable.
Los datos de salud son una categoría especial. Su tratamiento puede tener bases y condiciones específicas vinculadas a la asistencia, obligaciones legales o protección de intereses vitales, según el caso. La institución debe documentarlas por finalidad: prestar atención no equivale a autorizar una campaña publicitaria con el diagnóstico del paciente.
Cuándo debe designarse un DPD
La Resolución 2025-0028-R incluye a los actores del sistema de salud legalmente obligados a mantener historias clínicas y a las actividades farmacéuticas y laboratorios enumerados. Su artículo 10.7 exceptúa del supuesto allí descrito a los profesionales que ejercen particularmente. Esa excepción debe analizarse junto con los demás supuestos, no entenderse como una exención general.
La norma de gran escala de 2026 contempla calificación directa de tratamientos de salud y otras categorías especiales. Por eso la evaluación de un profesional particular requiere revisar también esa normativa y las características de su operación. Para instituciones comprendidas, el DPD es una obligación jurídica; puede organizarse de forma interna o externa, con independencia. Consulte la guía de nombramiento del delegado.
Clasifique a los terceros antes de contratar
| Interviniente | Pregunta que define la relación |
|---|---|
| Plataforma de historias clínicas | ¿Procesa solo por instrucciones o reutiliza información para fines propios? |
| Laboratorio de referencia | ¿Actúa por cuenta de la institución o desarrolla una prestación con responsabilidades propias? |
| Aseguradora | ¿Necesita datos para evaluar cobertura, gestionar el seguro u otra finalidad propia? |
| Profesional sanitario | ¿Cómo se organiza su intervención y qué decisiones adopta sobre la información? |
No todas esas relaciones se resuelven con un contrato de encargo. Si el tercero actúa como responsable independiente, deben analizarse las condiciones de la comunicación. Si es encargado, se documentan instrucciones, seguridad y obligaciones correspondientes. Un encargo genuino a un proveedor extranjero no constituye por sí mismo transferencia o comunicación según el artículo 23 de la norma de 2026; siguen existiendo deberes de protección. Amplíe en proveedores extranjeros y transferencias.
Cómo entregar resultados sin exponer al paciente
- Verifique identidad y autorización del destinatario.
- Confirme el correo, número o portal elegido antes del primer envío.
- Limite el documento a la información pertinente para ese envío.
- Use un canal acorde con el riesgo y evite grupos de mensajería abiertos.
- Registre la entrega y la atención de solicitudes posteriores.
La biometría para abrir una puerta tiene una finalidad diferente de la asistencia clínica y necesita una evaluación propia. No debe presentarse toda biometría como información de salud.
Ejemplo: un resultado llega al correo equivocado
Supuesto hipotético: recepción detecta que envió un resultado a una dirección ajena. Debe avisar al equipo designado, preservar la evidencia, intentar contener la exposición y evaluar el riesgo para el paciente. Solicitar que el destinatario borre el mensaje puede ayudar, pero no elimina el incidente. La institución analiza las notificaciones exigibles y documenta las decisiones, con asesoramiento del DPD. La guía de respuesta a incidentes explica plazos y destinatarios.
Pacientes y personal necesitan un canal comprensible para acceso, rectificación, actualización y demás derechos. La conservación debe ajustarse a las obligaciones sanitarias aplicables; no se fija un único plazo para todo documento o servicio.
Fuentes oficiales
- Ley Orgánica de Protección de Datos Personales
- Reglamento del Delegado de Protección de Datos, Resolución 2025-0028-R
- Norma de tratamiento a gran escala, Resolución 2026-0005-R
- Reglamento General de la LOPDP
- Norma de transferencias de datos, Resolución 2026-0004-R
Revisión normativa: 12 de octubre de 2026.