Delegado de Protección de Datos en clínicas: cuándo es obligatorio

La mayoría de clínicas pequeñas asumen que no necesitan Delegado de Protección de Datos, pero el criterio no es el tamaño sino el tipo de tratamiento de datos que realizan. Esta confusión ha llevado a muchos centros médicos a exponerse a sanciones evitables o, al contrario, a contratar servicios innecesarios.

Cuando empecé a digitalizar mi consulta y posteriormente a desarrollar DriCloud, una de las primeras sorpresas fue descubrir que la obligación de nombrar un Delegado de Protección de Datos (DPO, por sus siglas en inglés) no depende del número de pacientes que atiendes. He visto clínicas de dos traumatólogos convencidas de que estaban exentas y policlínicas de diez especialistas que contrataron un DPO externo sin necesitarlo realmente. La normativa europea es clara, pero su interpretación en el contexto sanitario genera dudas legítimas.

Qué dice exactamente el RGPD sobre el DPO obligatorio

El Reglamento General de Protección de Datos, en vigor desde mayo de 2018, establece en su artículo 37 tres supuestos en los que designar un Delegado de Protección de Datos es obligatorio. Para clínicas y centros médicos, el más relevante es el apartado b: cuando las actividades principales del responsable consistan en tratamientos que requieran una observación habitual y sistemática de interesados a gran escala, o cuando se traten categorías especiales de datos a gran escala.

Aquí viene el primer matiz que muchos desconocen: los datos de salud son categorías especiales de datos según el artículo 9 del RGPD, lo que significa que cualquier clínica, por pequeña que sea, maneja información sensible. La clave está en esa expresión "a gran escala", que el propio reglamento no define con un número concreto de pacientes.

El criterio de "gran escala" en la práctica sanitaria

La Agencia Española de Protección de Datos (AEPD) ha emitido varias guías que ayudan a interpretar este concepto. En su documento sobre el Delegado de Protección de Datos, la AEPD señala que deben considerarse factores como el número de interesados afectados, el volumen de datos tratados, la duración de la actividad de tratamiento y el ámbito geográfico.

Por experiencia, puedo decir que una consulta individual de traumatología que atiende 20-30 pacientes semanales con historia clínica electrónica difícilmente entraría en el concepto de "gran escala". Sin embargo, una clínica multidisciplinar con varios especialistas, fisioterapeutas, y que gestiona cientos de historiales activos mensualmente, empieza a acercarse al umbral.

Lo que he observado en consulta con colegas es que el verdadero punto de inflexión no está tanto en el número absoluto como en la complejidad del tratamiento. Si tu clínica realiza análisis de datos agregados, estudios retrospectivos con pacientes, o comparte información con múltiples centros (como sucede en redes de clínicas o grupos hospitalarios), la probabilidad de necesitar un DPO aumenta considerablemente.

Casos especiales que obligan a designar DPO

Hay situaciones donde la obligación es más clara. Si tu centro participa en ensayos clínicos, aunque sean pequeños, estás tratando datos de salud de forma sistemática con fines que van más allá de la mera asistencia clínica. Lo mismo sucede si ofreces servicios de telemedicina a gran escala o si tu software medico incluye funcionalidades de big data o análisis predictivo.

Un caso que me encontré personalmente: una clínica de tres médicos que había firmado un convenio con una mutua para atender a todos sus asegurados en la provincia. Aunque el centro era pequeño, el volumen de datos que trataban (más de 5.000 pacientes anuales de esa mutua, además de sus pacientes habituales) los situaba claramente en el ámbito de "gran escala". Necesitaban DPO y no lo sabían.

DPO interno versus DPO externo

Suponiendo que tu clínica sí necesita Delegado de Protección de Datos, la siguiente pregunta es si debe ser alguien de la plantilla o un servicio externo. El RGPD permite ambas opciones, pero hay requisitos importantes.

El DPO debe tener conocimientos especializados en Derecho y práctica de protección de datos, y debe poder desempeñar sus funciones con independencia. En la práctica, esto significa que si designas a tu secretaria o a un médico de la clínica como DPO, deben tener formación específica certificable y dedicar tiempo real a estas tareas. No puede ser un cargo honorífico.

Mi recomendación, tras haber pasado por este proceso, es que clínicas de menos de 10-15 profesionales que necesiten DPO opten por servicios externos especializados. Los costes suelen oscilar entre 600 y 1.500 euros anuales, dependiendo de la complejidad, y te ahorras la formación continua y la actualización normativa. Para centros más grandes, un DPO interno puede tener sentido económico, pero requiere dedicación parcial o completa según el volumen.

Errores comunes que veo en clínicas

El primer error es confundir el DPO con el responsable de seguridad informática. Son roles diferentes: el DPO supervisa el cumplimiento global del RGPD (incluidos derechos de los pacientes, base legal de los tratamientos, evaluaciones de impacto), mientras que el responsable de seguridad se centra en medidas técnicas. Pueden ser la misma persona, pero las funciones no son intercambiables.

El segundo error es designar un DPO "por si acaso" sin evaluar realmente si es obligatorio. He conocido consultas pequeñas que pagan servicios de DPO externo cuando lo que realmente necesitan es un buen asesoramiento puntual para implementar el RGPD correctamente. Ese dinero estaría mejor invertido en formación del personal o en mejorar el comparativa de software médico para elegir uno que facilite el cumplimiento normativo.

El tercer error, y probablemente el más grave, es no designar DPO cuando sí es obligatorio. Las sanciones de la AEPD por incumplimientos en este ámbito pueden alcanzar los 10 millones de euros o el 2% del volumen de negocio anual, según el artículo 83 del RGPD. Aunque en clínicas pequeñas las multas suelen ser proporcionadas, he visto sanciones de varios miles de euros que hubieran sido evitables.

Cómo evaluar si tu clínica necesita DPO

Te propongo un ejercicio práctico que hago cuando algún colega me pregunta. Responde a estas preguntas:

• ¿Tratas datos de salud de más de 300-500 pacientes diferentes al año de forma activa?
• ¿Compartes historiales clínicos regularmente con otros centros, laboratorios o especialistas externos?
• ¿Realizas algún tipo de análisis estadístico, estudio o investigación con datos de pacientes?
• ¿Ofreces servicios de telemedicina, app móvil o portal del paciente con acceso a datos clínicos?
• ¿Tienes más de 5 profesionales sanitarios trabajando en el centro?
• ¿Gestionas datos de menores de edad de forma habitual (pediatría, ortodoncia infantil)?

Si has respondido afirmativamente a tres o más preguntas, probablemente estés en zona de riesgo y deberías considerar seriamente la designación de un DPO, aunque no sea estrictamente obligatorio. Si has dicho sí a las preguntas sobre análisis de datos o telemedicina a gran escala, la obligación es casi segura.

La ventaja de tener DPO aunque no sea obligatorio

Aquí viene una reflexión personal: incluso cuando no es obligatorio, contar con un DPO (o al menos con asesoramiento regular especializado) puede ser una ventaja competitiva. Los pacientes son cada vez más conscientes de sus derechos sobre datos personales. Poder decir que tu clínica tiene un Delegado de Protección de Datos transmite seriedad y profesionalidad.

Además, el DPO sirve como punto de contacto con la autoridad de control. Si algún paciente presenta una reclamación ante la AEPD o si hay una inspección, tener un DPO que haya documentado correctamente todos los tratamientos de datos y las medidas de seguridad puede marcar la diferencia entre una simple advertencia y una sanción económica.

Preguntas frecuentes sobre el DPO en clínicas

¿Puede el propio médico titular ser el DPO de su clínica?

Sí, legalmente es posible, pero debe cumplir dos condiciones: tener formación acreditable en protección de datos (no basta con un curso online de 4 horas) y no existir conflicto de intereses. Como el DPO debe supervisar decisiones del responsable del tratamiento, si eres tú mismo quien toma esas decisiones y quien las supervisa, existe un conflicto. En la práctica, funciona mejor en clínicas donde hay socios o varios médicos y uno de ellos asume este rol específico con formación adecuada.

¿Qué pasa si designo un DPO y luego mi clínica deja de necesitarlo?

Puedes revocar la designación, pero debes notificarlo a la AEPD y documentar las razones del cambio. Por ejemplo, si tu clínica reducía actividad y ya no trata datos a gran escala, es legítimo prescindir del DPO. Lo importante es no hacerlo de forma arbitraria: debe responder a un cambio real en las circunstancias del tratamiento de datos. Y aunque revoques la designación formal, seguirás teniendo obligaciones de cumplimiento del RGPD que alguien debe supervisar.

¿El DPO tiene acceso a todas las historias clínicas de los pacientes?

No necesariamente. El DPO necesita acceso a la información necesaria para desempeñar sus funciones de supervisión, pero esto no significa acceso indiscriminado a contenidos clínicos. En la práctica, el DPO debe poder auditar que los sistemas cumplen el RGPD, verificar logs de acceso, revisar procedimientos de consentimiento y evaluar medidas de seguridad, pero no necesita leer diagnósticos o tratamientos específicos salvo en investigaciones concretas de incidencias. Es un matiz importante que a veces genera recelo entre médicos: el DPO supervisa procesos, no contenidos clínicos.

Conclusión: mejor prevenir que remediar

Después de años lidiando con la normativa de protección de datos, tanto en mi consulta como en el desarrollo de software sanitario, mi consejo es claro: si tienes dudas razonables sobre si necesitas DPO, busca una consultoría especializada en sanidad para que evalúe tu caso concreto. Una auditoría inicial cuesta entre 300 y 800 euros y te da certeza.

Si resulta que sí necesitas DPO, no lo veas como un gasto sino como una inversión en seguridad jurídica. Y si no lo necesitas, al menos habrás documentado por qué, lo cual es valioso en caso de inspección. En protección de datos, la ignorancia nunca es excusa ante la AEPD, pero la diligencia debida sí cuenta a tu favor.