En España, una clínica debe nombrar un delegado de protección de datos (DPD, o DPO por sus siglas en inglés) cuando es un centro sanitario obligado a conservar las historias clínicas de sus pacientes, y esto no depende de su tamaño. Según la guía de la AEPD para profesionales del sector sanitario, los profesionales que ejercen de forma individual quedan exceptuados. Este artículo explica quién está obligado, quién puede asumir el cargo, qué hace en la práctica y qué trámites exige.
Puntos clave
- Todo centro sanitario que mantiene historias clínicas debe designar un DPD, sea grande o pequeño. El profesional que ejerce solo está exceptuado.
- El DPD puede ser alguien de la plantilla o un externo, pero siempre con independencia, recursos y acceso directo a la dirección.
- Asesora y supervisa, pero no decide los fines ni los medios del tratamiento: esa responsabilidad sigue siendo de la clínica.
- El nombramiento se comunica a la AEPD en un plazo de diez días y su contacto debe ser accesible para los pacientes.
- Si externaliza la atención telefónica o la agenda, el DPD debe revisar también a ese proveedor y el contrato que lo regula.
Tabla de contenidos
- Cuándo una clínica está obligada a nombrar un DPD
- Qué hace el DPD en una clínica
- Requisitos del delegado: conocimientos, independencia y ausencia de conflictos
- ¿Alguien del equipo o un DPD externo?
- Cómo se nombra y se comunica el DPD
- El DPD y los proveedores de la clínica
- Nuestra perspectiva: el teléfono también es una frontera de protección de datos
- Un circuito telefónico que tu DPD pueda revisar
- Errores frecuentes al designar un DPD en una clínica
- Preguntas frecuentes
- Fuentes
Cuándo una clínica está obligada a nombrar un DPD
La regla central es sencilla. La AEPD indica que debe nombrar delegado todo centro sanitario legalmente obligado al mantenimiento de las historias clínicas de los pacientes, conforme a la LOPDGDD. Se trata de una obligación independiente del tamaño de la clínica: una clínica dental privada con tres gabinetes entra igual que un hospital.
El RGPD y la LOPDGDD añaden otros supuestos. El artículo 37 del RGPD y el artículo 34 de la LOPDGDD imponen el nombramiento a los organismos públicos y a las entidades cuya actividad principal exige una observación habitual y sistemática a gran escala, o un tratamiento a gran escala de datos sensibles. Los datos de salud son categoría especial, de modo que una clínica los encuentra en el centro de su actividad.
Quién queda dentro y quién queda fuera
La guía de la AEPD distingue dos situaciones:
- Centros sanitarios privados que mantienen historias clínicas: quedan incluidos.
- Profesionales sanitarios que ejercen a título individual: están expresamente exceptuados.
La frontera práctica aparece cuando dos o más profesionales se asocian bajo una estructura común, como una sociedad, una clínica o una casa de salud con historias clínicas compartidas. Ahí ya no hablamos de un ejercicio individual, y conviene que un asesor de protección de datos valore el caso concreto. Si dudas, la respuesta prudente es consultar con la AEPD o con un profesional especializado antes de dar por hecha la exención.
El criterio de “gran escala”
Para los supuestos generales del RGPD, la pregunta es si el tratamiento se hace a gran escala. No existe una cifra mágica de pacientes. La AEPD recuerda que se valoran factores como el número de pacientes, el volumen y la variedad de los datos, la duración del tratamiento y el alcance geográfico. Como orientación, el tratamiento de datos de salud en la actividad normal de un hospital se considera a gran escala, mientras que el de un único médico general no lo es.
En la práctica, una clínica con historias clínicas ya está obligada por la vía específica sanitaria y no necesita demostrar la gran escala. Ese criterio cobra importancia en entidades que no encajan claramente en la definición de centro sanitario.
Qué hace el DPD en una clínica
El delegado no es un gestor administrativo ni un “responsable de que todo salga bien”. Su papel es de control interno y asesoramiento. Según la guía sectorial de la AEPD, debe:
- Asesorar a la clínica y a su personal sobre sus obligaciones de protección de datos.
- Supervisar el cumplimiento de la normativa y de las políticas internas.
- Actuar como punto de contacto con la autoridad de control.
- Colaborar en las evaluaciones de impacto y en la gestión de brechas de seguridad.
Lo que no le corresponde es igual de importante. El DPD no decide los fines ni los medios del tratamiento ni representa legalmente al responsable. Si una clínica le pide que firme los contratos con proveedores o que decida qué datos se recogen, mezcla funciones y pone en riesgo su independencia.
Dónde se nota en el día a día
Los ámbitos donde más interviene un DPD en un centro sanitario son estos:
| Ámbito | Papel del DPD |
|---|---|
| Historias clínicas | Asesora y supervisa su gestión: accesos, conservación y trazabilidad |
| Evaluaciones de impacto | Asesora y supervisa, sobre todo en tratamientos de alto riesgo |
| Brechas de seguridad | Sirve de punto de contacto y colabora en la respuesta |
| Derechos de los pacientes | Supervisa que las solicitudes de acceso, rectificación o supresión se atiendan correctamente |
Esta tabla resume lo que la AEPD recoge en su guía. Un buen DPD no espera a que ocurra el incidente: revisa los circuitos antes, desde quién puede abrir una historia hasta cómo se informa al paciente por teléfono.
Requisitos del delegado: conocimientos, independencia y ausencia de conflictos
La persona designada debe tener conocimientos especializados en Derecho y práctica de protección de datos, además de integridad y ética profesional. No hace falta un título concreto, pero sí una competencia demostrable y proporcionada a la sensibilidad de los datos que maneja la clínica.
La independencia es la segunda exigencia. La AEPD señala que el DPD no puede recibir instrucciones sobre cómo ejercer sus funciones y que no debe tener conflictos de intereses que comprometan su imparcialidad. La clínica, por su parte, debe darle recursos suficientes y acceso directo a la alta dirección.
El conflicto de intereses es el error más habitual en centros pequeños. Una persona que decide cómo se tratan los datos, como el gerente, el responsable de sistemas o quien dirige la gestión de pacientes, difícilmente puede supervisarse a sí misma. Antes de designar a alguien de la plantilla, hazte esta pregunta: ¿tendría que evaluar decisiones que ha tomado él mismo?
¿Alguien del equipo o un DPD externo?
La normativa admite ambas fórmulas. Una clínica puede designar a personal propio o contratar a un DPD externo. En los dos casos debe garantizarle acceso directo a la alta dirección, recursos suficientes y plena independencia, y documentar el nombramiento en un contrato que recoja esas garantías, según la guía de la AEPD.
Cada opción tiene un perfil distinto:
| Criterio | DPD interno | DPD externo |
|---|---|---|
| Conocimiento del centro | Alto, conoce los circuitos y al equipo | Se construye con auditoría inicial y visitas |
| Riesgo de conflicto de intereses | Mayor, si ocupa un puesto de gestión o de sistemas | Menor, si no presta otros servicios a la clínica que le condicionen |
| Especialización jurídica | Depende de la formación que se le dé | Suele concentrarse en protección de datos |
| Dedicación | Compite con su trabajo habitual | Pactada por contrato |
| Coste | Tiempo del empleado y formación | Honorarios, según el alcance del contrato |
Para una consulta mediana o una casa de salud con pocos empleados, la vía externa suele ser más realista: evita sobrecargar a una persona del equipo y reduce los conflictos. Para un grupo hospitalario con departamento jurídico propio, puede encajar mejor un perfil interno con dedicación suficiente y reporte directo a dirección.
Cómo se nombra y se comunica el DPD
Nombrar al delegado no termina en la firma de un documento. La AEPD recuerda que el responsable del tratamiento debe comunicar el nombramiento a la autoridad de control en un plazo de diez días, también cuando el nombramiento es voluntario.
Una secuencia ordenada sería esta:
- Confirmar si la clínica está obligada, a partir de las historias clínicas y del tipo de centro.
- Elegir el perfil, interno o externo, y revisar que no existan conflictos.
- Formalizar el nombramiento en un documento o contrato con las garantías de independencia, recursos y acceso a dirección.
- Comunicarlo a la AEPD dentro del plazo de diez días.
- Publicar el contacto en la política de privacidad.
Ese último paso importa para los pacientes. La AEPD explica que el contacto del DPD puede consultarse en la política de privacidad del centro o prestador, o a través del servicio de consulta de DPD de la propia agencia. Si tu web no lo indica, un paciente que quiera ejercer sus derechos no sabrá a quién dirigirse.
El DPD y los proveedores de la clínica
Una clínica no trata datos solo en su software de historias. Los trata cuando una persona responde al teléfono, cuando alguien consulta la agenda, cuando se envía un correo con un justificante. Cada servicio externo que accede a datos de pacientes es un punto que el DPD debe tener en el mapa.
En esa revisión conviene preguntar a cada proveedor:
- Qué datos ve y para qué.
- Qué contrato regula su acceso. Tenemos una guía sobre el encargado del tratamiento en una clínica y sobre el acuerdo de tratamiento de datos de salud.
- Cómo se protege la información en tránsito y en las herramientas que usa.
- Qué ocurre si hay una brecha y a quién avisa.
- Si graba las llamadas y con qué base. Lo desarrollamos en nuestro artículo sobre la grabación de llamadas clínicas.
Para entender el marco general de derechos y obligaciones, puedes leer también nuestra guía sobre la LOPDGDD y los datos de salud.
Nuestra perspectiva: el teléfono también es una frontera de protección de datos
Después de más de 15 años atendiendo llamadas para médicos, especialistas y paramédicos, hemos visto que los incidentes de confidencialidad rara vez empiezan por un ataque informático sofisticado. Empiezan por un gesto cotidiano: un nombre dicho en voz alta en una sala de espera, un mensaje con demasiado detalle, una agenda abierta en la pantalla equivocada.
Por eso defendemos tres ideas:
- El DPD necesita ver el circuito completo. No solo el software, también cómo se contesta, quién llama, qué se pregunta y qué se anota. Un DPD con la foto del teléfono y de la agenda trabaja mejor.
- Externalizar no es soltar la responsabilidad. La clínica sigue siendo responsable. Un buen proveedor se somete a un contrato claro y a las preguntas del delegado sin incomodarse.
- Menos datos, mejor servicio. Una secretaria que solo recoge lo necesario para dar la cita o clasificar la urgencia reduce el riesgo y mejora la experiencia del paciente.
Nuestro trabajo es gestionar llamadas y agendas, con integración en plataformas como Doctolib, Maiia, LibreRDV y CalenDoc. No sustituimos al delegado de protección de datos de nadie: le damos un circuito telefónico ordenado y fácil de auditar. Si quieres profundizar, explicamos nuestras prácticas en seguridad y conformidad de datos en el telesecretariado médico y en las normas de confidencialidad del secretariado médico.
— Thierry Rudolph
Un circuito telefónico que tu DPD pueda revisar
Si tu clínica atiende muchas llamadas y el equipo de recepción está saturado, el riesgo de errores crece con la prisa. ClicFone ofrece secretariado telefónico médico y paramédico a distancia, con respaldo humano cualificado, gestión de citas sincronizada con tu agenda, triaje telefónico y gestión de urgencias, además de un asistente de inteligencia artificial disponible 24/7. No publicamos precios fijos: se adaptan a tu volumen y a tu estructura.
Puedes conocer el servicio en ClicFone Télésecrétariat o revisar los tipos de secretariado telefónico médico para decidir qué modelo encaja con tu consulta. Si ya has designado un DPD, pídele que te acompañe en esa decisión: es el momento ideal para dejar por escrito qué datos se manejan y bajo qué condiciones.
Errores frecuentes al designar un DPD en una clínica
Hay fallos que se repiten y que conviene evitar:
- Nombrar a quien decide el tratamiento. Gerente o responsable de sistemas pueden tener un conflicto de intereses claro.
- No documentar el nombramiento. La guía de la AEPD pide un contrato o documento con las garantías de independencia, recursos y acceso a dirección.
- Olvidar la comunicación a la AEPD. El plazo es de diez días.
- No publicar el contacto. Los pacientes deben poder localizar al delegado en la política de privacidad.
- Darle tareas de gestión. Si decide fines y medios, deja de poder supervisar con objetividad.
- Ignorar a los proveedores. Teléfono, agenda, correo y herramientas de teleconsulta forman parte del perímetro.
Algunos de estos puntos se resuelven en una tarde. Otros, como revisar contratos con proveedores, requieren un plan por fases. Lo razonable es empezar por los canales donde el paciente entra en contacto con la clínica, que son el teléfono, el correo y la agenda. Para el correo, tenemos una guía de correo electrónico seguro para pacientes, y para el teléfono, otra sobre el RGPD en llamadas médicas.
Preguntas frecuentes
¿Un médico autónomo necesita DPD?
La guía de la AEPD exceptúa expresamente a los profesionales sanitarios que ejercen de forma individual. Eso no le exime del resto de obligaciones del RGPD, como informar a los pacientes, proteger las historias clínicas o firmar contratos con sus proveedores. Si comparte estructura con otros profesionales, conviene que revise su caso concreto con un asesor.
¿Puede ser DPD el gerente de la clínica?
Es poco recomendable. El delegado debe actuar con independencia y sin conflictos de intereses, y quien dirige el centro o decide cómo se tratan los datos tendría que supervisar sus propias decisiones. Es preferible designar a otra persona con formación en protección de datos o contratar a un externo.
¿Hay que comunicar el nombramiento a la AEPD?
Sí. El responsable del tratamiento debe comunicarlo a la autoridad de control en el plazo de diez días, incluso cuando la designación es voluntaria. Además, conviene publicar el contacto del delegado en la política de privacidad para que los pacientes puedan dirigirse a él.
¿Un DPD externo sirve para una clínica pequeña?
Sí, la normativa permite contratarlo. Debe tener garantizado el acceso directo a la dirección, los recursos necesarios y la independencia, y el contrato debe recoger esas condiciones. Para centros con pocos empleados suele ser la opción más práctica porque evita cargar a alguien del equipo.
¿El DPD responde si hay una brecha de seguridad?
El DPD asesora y actúa como punto de contacto, y colabora en la gestión de la brecha, pero la responsabilidad del tratamiento sigue siendo de la clínica. Por eso conviene tener un protocolo de incidentes escrito y probado antes de que ocurra.
Fuentes
- Guía para profesionales del sector sanitario (AEPD)
- ¿Cuándo se debe nombrar un delegado de protección de datos? (AEPD)
- Criterios de actividad principal, observación sistemática y gran escala (AEPD)
- ¿Están obligados los centros sanitarios a tener un delegado de protección de datos? (AEPD)
Recomendaciones
- Acuerdo de tratamiento de datos de salud para clínicas
- LOPDGDD y datos de salud: derechos y obligaciones en España
- Encargado del tratamiento en una clínica: qué es y cómo contratarlo
- RGPD en llamadas médicas: guía práctica para consultas en España
