RGPD en clínicas: los errores que más sanciones provocan

He visto de cerca cómo una brecha de protección de datos puede complicarle la vida a una clínica que, en el fondo, no tenía mala intención, solo malos hábitos acumulados. Estos son los errores que la Agencia Española de Protección de Datos sanciona con más frecuencia en el sector salud.

El accesos indebido, con diferencia, el más sancionado

El acceso indebido a historiales clínicos es el motivo más frecuente de sanción, presente en torno al 38% de los expedientes analizados. Los casos típicos se repiten: un sanitario que consulta el historial de su pareja, un familiar o un vecino sin relación asistencial; personal administrativo que revisa el historial de un paciente famoso o de un compañero del propio centro; un médico que accede a una historia clínica sin que exista relación asistencial que lo justifique. Ninguno de estos casos requiere mala fe explícita para ser sancionable, basta con el acceso sin justificación asistencial.

Compartir datos sin base jurídica adecuada

Otro error recurrente es compartir información clínica con familiares, abogados, compañías de seguros o empleadores sin la base jurídica adecuada. La intención suele ser buena (ayudar a un familiar preocupado, agilizar un trámite), pero sin el consentimiento o la base legal correcta, es una infracción. La regla que aplico: cualquier cesión de datos de salud a un tercero que no sea el propio paciente necesita una base jurídica identificable antes de hacerse, no después de que alguien pregunte.

Las cifras de las sanciones

Las sanciones del RGPD pueden alcanzar hasta 20 millones de euros o el 4% del volumen de negocio anual, según marca el artículo 83 del propio Reglamento. En la práctica, para clínicas privadas, la sanción media ronda los 18.000 euros, una cifra que puede parecer manejable hasta que se suma al coste reputacional y al tiempo de gestión que exige un expediente sancionador, que no es menor.

El plazo que casi nadie tiene interiorizado

Las brechas de seguridad deben notificarse a la AEPD en un plazo de 72 horas desde que se tiene conocimiento de ellas. Setenta y dos horas es menos tiempo del que parece cuando ocurre de verdad: un ordenador robado con historiales sin cifrar, un email con datos de salud enviado al destinatario equivocado, un acceso no autorizado detectado tarde. Tener un protocolo interno ya definido de qué hacer y a quién avisar en esas primeras horas marca la diferencia entre cumplir el plazo y no cumplirlo.

Checklist mínimo que revisaría en cualquier clínica

• Control de accesos por perfil profesional: que cada usuario solo pueda ver lo que necesita para su función concreta, no toda la base de pacientes.
• Registro de accesos a historiales, con capacidad de auditar quién ha consultado qué y cuándo.
• Protocolo escrito de notificación de brechas en 72 horas, con responsable designado.
• Delegado de Protección de Datos, obligatorio en muchos centros sanitarios según volumen de datos tratados.
• Formación periódica del personal, porque la mayoría de estos errores son de hábito, no de mala intención.

Preguntas que me hacen sobre esto

¿Necesito Delegado de Protección de Datos si soy una consulta pequeña de un solo profesional? Depende del volumen y tipo de tratamiento de datos, no solo del tamaño del centro. Conviene consultarlo específicamente, porque muchos centros sanitarios están obligados aunque tengan poca plantilla.

¿Qué pasa si el acceso indebido lo comete un empleado sin que la clínica lo supiera? La responsabilidad de la clínica no desaparece por desconocimiento; por eso el control de accesos y el registro de auditoría son la defensa real, no la buena fe declarada después del hecho.

¿Cómo sé si mi software de gestión registra bien los accesos? Pide a tu proveedor un informe de auditoría de accesos de prueba. Si no puede generarlo con facilidad, es una señal de que ese control, aunque exista sobre el papel, no está bien implementado en la práctica.

Mi conclusión

La mayoría de sanciones en salud no vienen de ciberataques sofisticados, vienen de accesos indebidos por curiosidad o de compartir datos sin pensarlo dos veces. Es el tipo de error que se previene con controles de acceso bien configurados y con formación real, no con más papeleo.