En una frase. Una clínica dental es responsable del tratamiento de datos de salud (art. 9 RGPD): debe conservar la historia clínica un mínimo de cinco años (Ley 41/2002), obtener consentimiento informado sanitario distinto del consentimiento RGPD, y valorar una evaluación de impacto y un DPO por el volumen de datos sensibles que maneja.
Las clínicas dentales tratan datos de salud a diario y a gran volumen, pero muchas siguen gestionando el cumplimiento como si fueran un comercio cualquiera. Los datos de salud son categoría especial del art. 9 y las obligaciones se refuerzan. Esta guía concreta qué debe hacer una clínica dental en España y qué revisa la AEPD.
Puntos clave
- La historia clínica dental contiene datos de salud (art. 9 RGPD), con prohibición general de tratamiento salvo excepciones como la asistencia sanitaria (art. 9.2.h).
- La Ley 41/2002 obliga a conservar la historia clínica un mínimo de cinco años desde el alta de cada proceso.
- El consentimiento informado sanitario (Ley 41/2002) es distinto del consentimiento del RGPD: no los confunda.
- Los recordatorios por WhatsApp o SMS y las reseñas de pacientes son focos habituales de incumplimiento.
- El tratamiento a gran escala de datos de salud puede exigir EIPD y DPO.
1. La clínica como responsable de datos del art. 9
La base para tratar datos de salud en una clínica dental es la asistencia sanitaria prestada por un profesional sujeto a secreto (art. 9.2.h RGPD), en relación con el art. 6.1.b (ejecución del contrato). No hace falta el consentimiento del art. 9.2.a para la asistencia en sí; el error frecuente es pedir un consentimiento RGPD que no se necesita y, en cambio, olvidar el consentimiento informado clínico, que sí es obligatorio por la Ley 41/2002 para determinados actos.
Distinguirlos es esencial: el consentimiento informado autoriza el acto médico; la base del RGPD legitima el tratamiento de los datos. Repase las bases de legitimación y el detalle de las categorías especiales de datos.
2. Tratamientos típicos de una clínica dental
| Tratamiento | Punto crítico | Obligación |
|---|---|---|
| Historia clínica y odontogramas | Datos del art. 9 | Conservación mín. 5 años (Ley 41/2002) |
| Radiografías e imágenes | Datos de salud | Seguridad reforzada, acceso restringido |
| Presupuestos y financiación | Cesión a financieras | Información y base de legitimación |
| Recordatorios WhatsApp/SMS | Canal y datos de salud | Consentimiento del canal, minimizar |
| Reseñas y testimonios | Salud + imagen | Consentimiento explícito |
| Videovigilancia | Imágenes de pacientes | Información art. 22 LOPDGDD |
La financiación de tratamientos implica ceder datos a una entidad financiera: esa cesión necesita una base y una información claras. Los recordatorios deben limitarse a lo imprescindible, sin revelar el motivo clínico en el propio mensaje.
3. Seguridad y acceso a la historia clínica
Los datos de salud exigen medidas de seguridad proporcionadas al alto riesgo: control de acceso por usuario, registro de accesos, cifrado de los dispositivos y copias de seguridad. El acceso a la historia clínica debe limitarse al personal que interviene en la asistencia. Una brecha que afecte a datos de salud es de alto riesgo y suele exigir notificación a la AEPD y comunicación a los pacientes.
Estas obligaciones son comunes al conjunto del sector sanitario, donde la AEPD ha sancionado de forma recurrente fallos de seguridad y accesos indebidos, como recoge el resumen de sanciones en sanidad y salud.
4. Reseñas, publicidad y casos “antes y después”
Las fotografías de “antes y después” y los testimonios de pacientes son habituales en la odontología estética, y son también un foco de riesgo. La imagen de la boca o del rostro de un paciente asociada a un tratamiento revela un dato de salud, por lo que su publicación exige un consentimiento explícito, específico y revocable, distinto del consentimiento asistencial. Un consentimiento genérico “para promoción” no basta: debe indicar el soporte (web, redes, publicidad) y la posibilidad de retirarlo.
Responder a reseñas online es otro campo minado. Aunque el paciente haya publicado una crítica, la clínica no puede confirmar públicamente que esa persona es paciente ni desvelar detalles de su tratamiento para rebatirla: estaría revelando datos de salud sin base. La respuesta prudente es genérica y remite a un canal privado.
5. Encargados del tratamiento y proveedores
El software de gestión de citas e historiales, el laboratorio protésico, la empresa de destrucción documental, el proveedor de correo y el hosting son encargados del tratamiento. Con cada uno hace falta un contrato de encargado del art. 28 que garantice confidencialidad y seguridad. El laboratorio protésico es un caso particular: recibe datos identificativos y clínicos del paciente para fabricar la prótesis, por lo que la relación debe estar contractualizada y limitada a lo imprescindible. Si el software de gestión aloja los datos en la nube fuera del EEE, hay que cubrir además las transferencias internacionales con las garantías adecuadas.
6. EIPD y DPO en clínicas dentales
Una clínica que trate datos de salud a gran escala debe realizar una evaluación de impacto (art. 35.3.b RGPD) y valorar la designación de un DPO (art. 37.1.c). El concepto de “gran escala” depende del número de pacientes y del volumen: una consulta unipersonal probablemente no lo alcance, pero una clínica con varios gabinetes y miles de historiales sí debe analizarlo y documentar la conclusión. La guía sobre cuándo es obligatorio el DPO ayuda a decidir; el art. 34 LOPDGDD también obliga a designar DPO a determinados centros sanitarios.
Ordenar el registro de tratamientos, los plazos y las medidas de seguridad para un negocio pequeño con datos de alto riesgo es difícil de sostener a mano; una plataforma como Legiscope permite mantener el registro de actividades y la documentación al día sin dedicarle horas de gabinete. El marco sanitario está en la web de la AEPD y el texto del RGPD en EUR-Lex.
Véase también, para sectores con obligaciones de protección de datos similares: RGPD para farmacias, RGPD para clínicas de fisioterapia y RGPD para psicólogos.
FAQ
¿Cuánto tiempo debe conservar una clínica dental la historia clínica?
Un mínimo de cinco años desde la fecha del alta de cada proceso asistencial (Ley 41/2002). Algunas comunidades autónomas fijan plazos superiores, y en casos con posibles responsabilidades puede ser prudente conservarla más tiempo, siempre de forma justificada.
¿Es lo mismo el consentimiento informado que el consentimiento RGPD?
No. El consentimiento informado autoriza el acto sanitario y lo exige la Ley 41/2002; la base del RGPD para tratar los datos de salud en la asistencia suele ser el art. 9.2.h, no el consentimiento. Confundirlos es uno de los errores más frecuentes en el sector.
¿Puede una clínica dental enviar recordatorios por WhatsApp?
Puede, si limita el contenido a lo imprescindible (fecha y hora, sin detallar el tratamiento) y ha informado del canal. Debe valorar la seguridad del medio y evitar revelar datos de salud en el propio mensaje. WhatsApp como proveedor debe tratarse en el análisis de encargados y transferencias.
¿Necesita una clínica dental un DPO?
Depende de la escala. El tratamiento a gran escala de datos de salud como actividad principal obliga a designar DPO (art. 37 RGPD) y el art. 34 LOPDGDD lo impone a determinados centros sanitarios. Las clínicas con varios gabinetes y gran volumen de historiales deben analizarlo y documentar la decisión.
¿Puede otro paciente o un familiar acceder a mi historia clínica?
No sin habilitación legal. La historia clínica está protegida por el secreto sanitario y solo accede el personal que presta la asistencia. Un familiar únicamente puede acceder con representación acreditada o en los supuestos legalmente previstos, y la clínica debe verificarlo antes de facilitar cualquier dato.
Legiscope automates this for you
Stop doing compliance manually. Legiscope's AI handles ROPA creation, DPA audits, and gap analysis — in minutes, not weeks.
Start free trial