Protección de datos de pacientes en España: guía LOPDGDD 3/2018 y RGPD para clínicas dentales

Una clínica dental que opera en España maneja datos de categoría especial todos los días: nombres de pacientes, fechas de nacimiento, diagnósticos, tomografías CBCT y radiografías. Esos datos están protegidos por uno de los marcos regulatorios más estrictos del mundo. Una sola brecha mal gestionada puede costar hasta 20 millones de euros o el 4 por ciento de la facturación global anual del responsable.

Este artículo explica qué dice la Ley Orgánica 3/2018 de Protección de Datos Personales y Garantía de los Derechos Digitales (LOPDGDD), cómo se articula con el Reglamento General de Protección de Datos (UE 2016/679, RGPD) y la Ley 41/2002 de Autonomía del Paciente, y cómo CBCTHub cumple cada exigencia técnica para que tu centro radiológico no tenga que reinventar la rueda.

La LOPDGDD 3/2018 en pocas palabras

La LOPDGDD es la ley española que desarrolla y completa el RGPD europeo. Entro en vigor el 7 de diciembre de 2018 y se aplica a cualquier tratamiento de datos personales realizado en territorio español, incluidos los datos de salud. Los datos de salud son datos de categoría especial según el artículo 9 del RGPD, lo que significa que su tratamiento está prohibido por defecto y solo se permite con base legal específica (consentimiento explícito, asistencia sanitaria, interés vital, etc.).

Marco regulatorio: las leyes que aplican a una clínica dental

• RGPD (Reglamento UE 2016/679): base europea, define los principios y derechos universales.
• LOPDGDD 3/2018: desarrollo nacional, añade derechos digitales y precisa el régimen sancionador.
• Ley 41/2002: regula la historia clínica, el consentimiento informado y los plazos mínimos de conservación (cinco años desde el alta).
• Real Decreto 1720/2007: aunque parcialmente derogado, sigue siendo referencia para medidas de seguridad en historia clínica.
• Código Deontologico de los Colegios Oficiales de Odontólogos y Estomatologos: refuerza el secreto profesional.

Que exige la ley sobre los datos del paciente

Consentimiento informado y base jurídica

Antes de tratar datos de salud, el responsable debe identificar una base jurídica del artículo 6 del RGPD y una excepción del artículo 9.2. Para una tomografía CBCT, normalmente se combinan dos: el consentimiento explícito del paciente (artículo 9.2.a) y la asistencia sanitaria (artículo 9.2.h). El consentimiento debe ser libre, específico, informado e inequívoco, y debe poder retirarse con la misma facilidad con la que se otorga.

Derechos del titular: acceso, rectificación, supresión, oposición y portabilidad

El paciente puede pedir en cualquier momento copia de sus datos, su corrección, su borrado (derecho al olvido), oponerse a tratamientos concretos o exigir su portabilidad en formato estructurado. La clínica debe responder en un plazo máximo de un mes, ampliable a tres en casos complejos.

Seguridad técnica y organizativa (artículo 32 RGPD)

El responsable y el encargado deben aplicar medidas técnicas y organizativas apropiadas: cifrado y seudonimización, capacidad de garantizar confidencialidad, integridad, disponibilidad y resiliencia, restauración del acceso ante incidentes y proceso de verificación regular. Para datos de salud, la AEPD recomienda nivel alto.

Notificación de brechas en 72 horas

Cualquier violación de seguridad que afecte a datos personales debe notificarse a la Agencia Española de Protección de Datos en un plazo de 72 horas desde que se tiene constancia. Si el riesgo para los derechos del paciente es alto, también hay que comunicarlo a los afectados sin dilación indebida.

Transferencias internacionales

Trasladar datos fuera del Espacio Económico Europeo solo es legal con decisión de adecuación (por ejemplo, EE.UU. bajo el Data Privacy Framework), Clausulas Contractuales Tipo o normas corporativas vinculantes. Si tu proveedor cloud aloja servidores fuera de la UE, tienes que documentar la garantía adoptada.

Delegado de Protección de Datos (DPD/DPO)

El artículo 37 del RGPD obliga a designar DPD cuando el tratamiento principal consista en operaciones a gran escala de categorías especiales de datos. La AEPD interpreta que cualquier centro sanitario que trate datos de varios miles de pacientes está obligado. Su nombramiento se comunica a la AEPD a través de su sede electrónica.

Registro de actividades de tratamiento

Toda clínica debe mantener un registro escrito o electrónico de sus actividades de tratamiento (RAT). Es el primer documento que la AEPD pide en una inspección.

Conservación y plazos

La Ley 41/2002 fija un mínimo de cinco años desde el alta del proceso asistencial, pero varias comunidades autónomas amplían a quince años para imagen diagnóstica. Pasado el plazo, los datos deben suprimirse o anonimizarse de forma irreversible.

Sanciones por incumplimiento

• Infracciones leves: hasta 40.000 euros (LOPDGDD art. 74).
• Infracciones graves: hasta 300.000 euros (art. 73) o el 2 por ciento de la facturación global anual.
• Infracciones muy graves: hasta 20 millones de euros o el 4 por ciento de la facturación global anual (art. 83.5 RGPD).
• Publicación en el BOE de la resolución sancionadora en infracciones muy graves.

Riesgos concretos para un centro radiológico dental

El pendrive olvidado en la recepción, el CD que se entrega al paciente equivocado, el correo con la tomografía adjunta sin cifrar, la copia de seguridad expuesta en un NAS sin contraseña. Todos son escenarios reales que la AEPD ha sancionado. En 2023 una clínica española fue multada con 70.000 euros por enviar resultados clínicos por email sin cifrado a una dirección equivocada.

Cómo CBCTHub te ayuda a cumplir la LOPDGDD y el RGPD

Cifrado en tránsito y en reposo

Todas las conexiones a CBCTHub usan HTTPS con TLS 1.3. El almacenamiento de DICOM se realiza en Cloudflare R2 con cifrado AES-256 en reposo. Las contraseñas se almacenan con bcrypt y los tokens de sesión son JWT firmados.

Control de acceso por PIN y enlaces únicos

Cada examen genera una URL única con identificador opaco y, opcionalmente, un PIN de cuatro a seis dígitos. Nadie puede acceder a un estudio adivinando la URL. La página pública de la clínica requiere PIN obligatorio para revelar el examen.

Audit log de todos los accesos

Cada apertura del visor queda registrada con marca temporal, IP y exam_id. El responsable puede exportar el log desde el panel de la clínica en /dashboard/ajustes para responder a una inspección de la AEPD o demostrar diligencia ante una reclamación.

Consentimiento informado integrado

CBCTHub incluye plantillas legales adaptadas por país y por idioma. Genera el documento, lo envía al paciente por correo, recoge la firma electrónica con verificación pública y lo archiva enlazado al examen. Cumple los requisitos del artículo 7 del RGPD y de la Ley 41/2002.

Expiración automática de enlaces

La clínica configura la caducidad del enlace compartido: 24 horas, 7 días, 90 días o personalizado. Por defecto los enlaces expiran y el destinatario externo deja de tener acceso. Este control limita el principio de minimización del artículo 5 del RGPD.

Derecho al olvido y borrado seguro

El endpoint DELETE /api/v1/exams/{id} elimina el examen y todos los DICOM asociados en R2 de forma irreversible. Cumple el derecho de supresión del artículo 17 del RGPD y la Ley 41/2002.

Portabilidad de datos (artículo 20 RGPD)

El endpoint /api/account/export-data permite a la clínica o al paciente descargar todos sus datos en JSON estructurado. Cumple el derecho de portabilidad sin intervención manual.

Acuerdo de encargo de tratamiento (DPA)

CBCTHub firma un DPA con cada clínica del EEE bajo las Clausulas Contractuales Tipo de la Comisión Europea. La plantilla está disponible para descarga en /privacidad y cumple los requisitos del artículo 28 del RGPD.

Localización del servidor

Los datos de clínicas europeas se alojan en regiones del EEE (Frankfurt y Madrid) cuando el plan lo permite. Las transferencias a EE.UU. para servicios auxiliares (Resend, Stripe) están amparadas por el Data Privacy Framework.

RLS multi-tenant en Supabase

Cada clínica solo accede a sus propios datos mediante Row Level Security de Supabase. Ni siquiera el equipo de CBCTHub puede ver datos de pacientes sin autorización expresa: el acceso del personal queda registrado y notificado.

Checklist de cumplimiento LOPDGDD para tu centro

• Designar Delegado de Protección de Datos y comunicarlo a la AEPD.
• Mantener Registro de Actividades de Tratamiento actualizado.
• Firmar DPA con CBCTHub y con todos los encargados.
• Plantilla de consentimiento informado vigente y revisada por abogado.
• Procedimiento documentado de respuesta a derechos del titular.
• Plan de respuesta a incidentes con plazo de 72 horas.
• Política de retención según Ley 41/2002 y normativa autonómica.
• Formación anual del personal en protección de datos.
• Auditoría bienal de seguridad.

FAQ

¿Puedo enviar tomografías por Gmail o WhatsApp?

No de forma directa. Gmail y WhatsApp no cumplen los requisitos del artículo 32 del RGPD para datos de salud porque no garantizan cifrado extremo a extremo verificable ni control de acceso adecuado. Lo correcto es enviar un enlace seguro generado por CBCTHub.

¿Cuánto tiempo debo conservar la tomografía?

Mínimo cinco años desde el alta según la Ley 41/2002, hasta quince en algunas comunidades autónomas. Para imagen diagnóstica de implantes muchas clínicas conservan toda la vida útil del implante.

¿Qué pasa si pierdo un disco con datos de pacientes?

Tienes 72 horas para notificarlo a la AEPD y, si el riesgo es alto, comunicarlo a los pacientes afectados. No notificar es una infracción muy grave con sanción de hasta 20 millones de euros.

¿Necesito firmar algo con CBCTHub?

Si. El artículo 28 del RGPD obliga a firmar un contrato de encargo de tratamiento. CBCTHub lo proporciona como plantilla descargable en /privacidad.

Recursos oficiales

• Agencia Española de Protección de Datos (AEPD)
• LOPDGDD 3/2018 en el BOE
• Reglamento UE 2016/679 (RGPD)
• Ley 41/2002 de Autonomía del Paciente

Descarga la plantilla DPA de CBCTHub | Conoce nuestra solución para centros radiológicos | Planes y precios

Este artículo es informativo y no constituye asesoría legal. Consulta con un abogado especializado en protección de datos para tu caso específico.