Delegado de Protección de Datos: cuándo es obligatorio

La mayoría de clínicas pequeñas creen erróneamente que necesitan contratar un Delegado de Protección de Datos externo, cuando en muchos casos pueden designar a alguien del equipo o incluso asumir la función el propio titular. La clave está en entender qué dice realmente el RGPD sobre tratamientos a gran escala y datos especialmente sensibles en el ámbito sanitario.

Desde que el Reglamento General de Protección de Datos entró en vigor en 2018, he visto mucha confusión entre colegas sobre la obligación de designar un Delegado de Protección de Datos (DPO, por sus siglas en inglés). Unos contratan servicios externos por 200-300 euros al mes sin saber si realmente lo necesitan, otros asumen que por ser clínica pequeña están exentos y descuidan completamente el aspecto, y ambos extremos pueden traer problemas.

La respuesta correcta está, como casi siempre en temas legales, en los matices. Y entenderlos bien puede ahorrarte desde dinero innecesario hasta una sanción de la Agencia Española de Protección de Datos.

Qué dice exactamente el RGPD sobre la obligatoriedad del DPO

El artículo 37 del Reglamento (UE) 2016/679 establece tres supuestos en los que designar un DPO es obligatorio. El primero no nos afecta porque se refiere a autoridades públicas. Los otros dos sí nos conciernen:

• Cuando las actividades principales del responsable consistan en operaciones de tratamiento que requieran una observación habitual y sistemática de interesados a gran escala.
• Cuando las actividades principales consistan en el tratamiento a gran escala de categorías especiales de datos del artículo 9, donde están los datos de salud.

El problema es que ni el RGPD ni las directrices del Grupo de Trabajo del artículo 29 (que luego se convirtió en el Comité Europeo de Protección de Datos) definen con precisión qué significa "gran escala". Las directrices WP243 rev.01, adoptadas en diciembre de 2016 y revisadas en abril de 2017, sugieren considerar factores como el número de interesados afectados, el volumen de datos, la duración de la actividad y el alcance geográfico, pero no fijan umbrales numéricos.

El criterio práctico: cuándo tu clínica necesita DPO

Por experiencia y tras consultar con varios despachos especializados en RGPD sanitario, puedo decirte que la Agencia Española de Protección de Datos ha sido relativamente pragmática con las clínicas pequeñas. Una consulta individual con uno o dos médicos que atiende 20-30 pacientes semanales difícilmente se considerará "tratamiento a gran escala".

Pero hay situaciones en las que sí es claramente obligatorio:

• Policlínicas y centros con más de 5-6 profesionales sanitarios que atienden cientos de pacientes semanales de forma continuada.
• Centros que realizan tratamientos especialmente sensibles: reproducción asistida, salud mental, tratamiento de adicciones, VIH. Aunque tengas pocos pacientes, el nivel de sensibilidad de los datos puede requerir DPO.
• Clínicas que participan en estudios de investigación con datos de pacientes, incluso si son pequeñas.
• Centros que comparten datos de forma habitual con terceros (aseguradoras, otras clínicas, plataformas de telemedicina) de manera sistemática.

En mi caso, cuando desarrollamos DriCloud como software medico, tuvimos que designar DPO desde el principio porque, aunque la empresa era pequeña, el tratamiento de datos de salud de múltiples clientes entraba claramente en "gran escala".

Cuándo puedes asumir tú mismo la función (y cuándo no)

Aquí viene un matiz que muchos desconocen: el DPO puede ser un miembro del personal. No tiene que ser necesariamente un servicio externo. El artículo 37.6 del RGPD permite que sea alguien del equipo, siempre que no haya conflicto de intereses.

¿Qué significa conflicto de intereses en la práctica? El DPO debe supervisar el cumplimiento del RGPD, por lo que no puede ser quien toma decisiones sobre los fines y medios del tratamiento. En una clínica pequeña, esto complica que el titular o director médico asuma el rol, porque es precisamente quien decide qué datos se recogen, cómo se usan, qué sistemas se contratan.

Lo que he visto funcionar bien en clínicas de 3-5 profesionales:

• Designar a la persona de administración o recepción como DPO, tras formarla adecuadamente (hay cursos específicos de 20-30 horas).
• Compartir un DPO externo entre varias clínicas pequeñas del mismo edificio o grupo informal, repartiendo coste.
• En clínicas unipersonales que no llegan al umbral de obligatoriedad, no designar DPO pero sí tener a alguien (aunque sea tú mismo) responsable de las tareas de privacidad, documentándolo.

Los errores que he visto costar sanciones

La mayoría de sanciones que conozco en el ámbito de clínicas pequeñas no vienen por no tener DPO, sino por no tener las obligaciones básicas del RGPD cubiertas. Pero el no tener DPO cuando es obligatorio agrava considerablemente la sanción si hay una brecha de seguridad o una reclamación.

Un colega traumatólogo de Barcelona recibió en 2021 un apercibimiento (afortunadamente sin sanción económica) porque un paciente reclamó ante la AEPD por haber recibido publicidad de la clínica sin haberlo consentido claramente. En la investigación salió que no tenían DPO designado pese a ser un centro de 8 profesionales con más de 400 consultas mensuales. La AEPD consideró que era obligatorio y eso convirtió un caso menor en un expediente formal.

Otro error frecuente: designar DPO "de adorno". He visto clínicas que contratan un servicio externo barato, reciben un certificado de designación y lo cuelgan en la web, pero luego el DPO no tiene acceso real a los sistemas, no se le consulta cuando se contrata un nuevo programa, no revisa los contratos con encargados del tratamiento. Si hay una inspección, queda claro que es puro papel y puede considerarse incumplimiento.

DPO y software de gestión: una relación necesaria

Si decides designar DPO, o asumes tú las funciones de privacidad, una de las primeras tareas es auditar qué sistemas usas y cómo tratan los datos. Esto incluye revisar tu comparativa de software médico actual desde la perspectiva RGPD.

Las preguntas clave que un DPO debería hacerte sobre tu software:

• ¿Dónde se almacenan físicamente los datos? ¿En servidores en la UE?
• ¿Existe cifrado en reposo y en tránsito?
• ¿Tienes firmado un contrato de encargado del tratamiento con el proveedor?
• ¿El sistema permite el ejercicio de derechos (acceso, rectificación, supresión, portabilidad) de forma técnicamente viable?
• ¿Hay logs de auditoría de quién accede a qué historias clínicas?
• ¿Qué pasa con los datos si dejas de pagar o cierras la clínica?

En mi experiencia desarrollando software sanitario, estas preguntas son las que más incomodan a proveedores que no han hecho bien los deberes. Si tu proveedor no puede responderlas con claridad y documentación de soporte, tienes un problema de cumplimiento que el DPO debe escalar.

Alternativas si no llegas al umbral de obligatoriedad

Supongamos que tienes claro que tu clínica no está obligada a tener DPO. Eso no significa que puedas ignorar el RGPD. Sigues necesitando:

• Registro de actividades de tratamiento (obligatorio para cualquier centro sanitario, aunque tenga un solo profesional).
• Análisis de riesgos y, si procede, evaluación de impacto.
• Procedimiento documentado para gestionar brechas de seguridad.
• Contratos de encargado del tratamiento con todos los proveedores que acceden a datos (limpieza si accede a papeles, gestoría si maneja nóminas con datos de salud por bajas, hosting, software...).
• Información a pacientes (capa 1 y capa 2) conforme al artículo 13 del RGPD.

Lo que recomiendo en estos casos es que alguien del equipo, aunque no se designe formalmente como DPO, asuma la responsabilidad operativa de privacidad. Que esa persona haga un curso básico de RGPD sanitario (los hay online por 100-200 euros) y dedique unas horas trimestrales a revisar que todo está en orden.

Preguntas frecuentes sobre el DPO en clínicas

¿Puedo contratar como DPO al mismo abogado que me lleva los contratos de la clínica?

Técnicamente sí, si es persona física y tiene conocimientos especializados en protección de datos. Pero hay riesgo de conflicto de intereses si ese abogado también te asesora en decisiones comerciales o estratégicas que impliquen tratamiento de datos. El DPO debe poder cuestionar decisiones de la dirección sin comprometer su relación profesional. En clínicas pequeñas suele funcionar mejor separar ambos roles.

¿Qué pasa si designo DPO sin estar obligado?

Nada negativo, al contrario. Designar DPO voluntariamente es perfectamente legal y demuestra compromiso con la privacidad. De hecho, puede ser un argumento comercial con pacientes preocupados por sus datos. Pero una vez designado, tienes las obligaciones de comunicarlo a la autoridad de control y garantizar que tiene los recursos y la independencia necesarios. No puedes designarlo y luego ignorarlo.

¿Cada cuánto debo renovar o revisar la designación del DPO?

No hay obligación de renovación periódica. La designación es válida mientras la persona siga cumpliendo los requisitos y desempeñando las funciones. Pero sí debes revisar si sigue siendo necesario cuando cambien las circunstancias: si creces significativamente, si incorporas nuevos servicios especialmente sensibles, o si reduces actividad. También conviene revisar anualmente que el DPO mantiene sus conocimientos actualizados, porque el marco normativo evoluciona.

Conclusión: pragmatismo sin desprotección

Mi recomendación después de años lidiando con estos temas tanto en consulta como en desarrollo de software es que seas pragmático pero no negligente. Si tu clínica es pequeña, probablemente no estés obligado a DPO, pero eso no te exime de cumplir el RGPD.

Invierte las 300-500 euros anuales que te costaría un DPO externo básico en formarte tú o formar a alguien de tu equipo, en tener la documentación en orden y en elegir proveedores tecnológicos que se tomen en serio la privacidad. Si creces o incorporas tratamientos sensibles, plantéate seriamente la designación formal antes de que una reclamación te obligue a hacerlo en el peor momento.

Y recuerda que el espíritu del RGPD no es burocrático sino protector: se trata de que los datos de salud de tus pacientes estén realmente seguros, no de acumular papeles. Un DPO bien integrado, cuando es necesario, no es un coste sino una inversión en confianza y profesionalidad.