Clíniques dentals i dades de salut: EIPD, DPO i consentiments

Sumari

1. Per què una clínica dental té obligacions reforçades?
2. Quines dades de salut tracta una clínica dental i amb quina base legal?
3. La meva clínica necessita un delegat de protecció de dades (DPO)?
4. Quan cal una EIPD en una clínica dental?
5. Quins consentiments cal demanar als pacients?
6. Què passa si no es compleix? Un cas real
7. Checklist en 15 minuts
8. Preguntes freqüents

Per què una clínica dental té obligacions reforçades?

El RGPD distingeix entre dades personals normals i dades de categoria especial: salut, origen ètnic, religió, orientació sexual, empremta o cara, entre altres (art. 9 RGPD). Aquestes dades tenen més protecció perquè un ús indegut pot fer més mal a la persona.

La història clínica d'un pacient dental hi encaixa de ple: antecedents mèdics, al·lèrgies, medicació, diagnòstic, tractament i, sovint, radiografies o fotografies intraorals. Per llei (Ley 41/2002, de autonomía del paciente, arts. 14 i 17), a més, estàs obligat a portar-la i conservar-la un mínim de temps — no és una decisió de negoci, és una obligació sanitària que arrossega obligacions de protecció de dades.

Aquesta combinació —dada delicada + obligació legal de conservar-la— és la raó que una clínica dental tingui un recorregut de compliment més llarg que, per exemple, una perruqueria o un taller mecànic. No és paperassa perquè sí: és proporcional al risc real per als teus pacients.

Quines dades de salut tracta una clínica dental i amb quina base legal?

A la pràctica, una clínica dental gestiona diversos tractaments de dades diferents, cadascun amb la seva pròpia base legal:

• Història clínica del pacient (nom, antecedents mèdics, al·lèrgies, diagnòstic, tractament, radiografies). Base legal: execució del contracte d'assistència (art. 6.1.b RGPD) més l'obligació legal de conservar-la (Ley 41/2002). Per a la dada de salut en si, la base especial és l'art. 9.2.h RGPD (assistència sanitària) — aquí no cal demanar consentiment al pacient: signar el full d'informació no és signar un consentiment, són coses diferents.
• Dades de pacients menors d'edat, quan fas odontopediatria: signa qui té la pàtria potestat o la tutela (art. 7 LOPDGDD, per sota dels 14 anys).
• Fotografies clíniques de l'abans i el després: si són per a l'expedient, van amb la història clínica. Si són per al teu web o les teves xarxes, és un tractament diferent i necessita el seu propi consentiment (art. 9.2.a RGPD).
• Cites i recordatoris: no són dada de salut en si, però convé que el missatge no digui quin tractament és, només el dia i l'hora.

Un matís important per al dia a dia: el laboratori protètic també rep dades del pacient (motlle, mesures, de vegades el nom) quan li encarregues una peça. Això el converteix en encarregat del tractament i necessita un contracte de l'art. 28 RGPD. La pràctica més prudent és enviar-li un codi de pacient en comptes del seu nom complet.

La meva clínica necessita un delegat de protecció de dades (DPO)?

Aquí és on hi ha més dubtes, i la resposta té una base legal molt concreta. L'art. 34.1.l de la LOPDGDD obliga a designar un delegat de protecció de dades als «centres sanitaris legalment obligats al manteniment de les històries clíniques dels pacients».

Una clínica dental hi encaixa: és un centre sanitari (subjecte a autorització de la comunitat autònoma) i està legalment obligada a portar i conservar la història clínica dels seus pacients (Ley 41/2002). Per tant, l'obligació del DPO s'aplica per defecte.

Hi ha una excepció, escrita a la mateixa lletra de la llei, no és una interpretació: queden fora els professionals de la salut que exerceixen a títol individual, sense societat ni plantilla. Si ets un dentista que treballa completament sol, és probable que no et calgui un DPO — però convé que ho confirmi la teva gestoria cas per cas, perquè la frontera entre «exercir sol» i «amb estructura» no sempre és òbvia (una clínica amb un sol dentista però amb recepció o higienista en plantilla ja té estructura).

Un detall que se sol passar per alt: si nomenes un DPO —fins i tot de manera voluntària, sense estar-hi obligat— has de comunicar-ho a l'AEPD en un termini de deu dies (art. 34.3 LOPDGDD, art. 37.7 RGPD). El DPO pot ser algú del teu equip amb coneixements suficients, o un servei extern, com el que sol oferir una gestoria o consultoria de protecció de dades.

Quan cal una EIPD en una clínica dental?

L'EIPD (avaluació d'impacte relativa a la protecció de dades) és una anàlisi que la llei exigeix abans de tractar dades quan el tractament pot suposar un risc alt per a les persones (art. 35 RGPD). No és una multa disfressada de tràmit: és, en essència, aturar-se a pensar què pot sortir malament i què fas per evitar-ho, per escrit.

Aquí convé ser precisos, perquè no qualsevol tractament de dades de salut activa automàticament l'EIPD pel simple fet de ser dada de salut. L'art. 35.3.b RGPD l'exigeix quan el tractament de dades especials es fa «a gran escala» — una clínica de barri amb cinc o sis persones pot discutir raonablement que no arriba a aquesta escala.

Per això el fonament més sòlid no és aquest article aïllat, sinó l'art. 35.4 RGPD juntament amb el llistat de tipus de tractament que requereixen EIPD publicat per l'AEPD, que funciona per acumulació de criteris de risc (perfilat, dades de categoria especial, subjectes vulnerables, entre altres). En una clínica dental, aquest llindar se sol assolir per la combinació de dades de salut (història clínica) més pacients menors d'edat (odontopediatria), que és una categoria de subjectes especialment vulnerable.

El criteri prudent —i el que recomanem— és fer l'EIPD quan aquesta combinació es dona, encara que la clínica sigui petita: el document és breu, queda arxivat com a prova de responsabilitat proactiva (art. 24 RGPD), i evita haver de discutir després, davant d'una eventual inspecció, si el teu volum arribava o no a «gran escala».

Quins consentiments cal demanar als pacients?

Una regla fixa en protecció de dades, i que en una clínica dental és especialment fàcil de trencar per descuit: un consentiment per finalitat, mai un que agrupi diverses coses diferents. Tres casos concrets:

• Atendre el pacient: no necessita consentiment com a tal (veure més amunt, art. 9.2.h RGPD). Sí que necessita que l'informis de manera clara de què fas amb les seves dades.
• Fotos per a xarxes socials o web: consentiment a part, específic, informat i que el pacient pugui retirar quan vulgui. Mai la mateixa casella que la foto clínica de l'expedient.
• Publicitat i novetats: casella buida per defecte, mai premarcada. Compte amb un error habitual al sector: segmentar ofertes segons el tractament del pacient («implants només a qui necessita implants») fa servir una dada de salut amb fins comercials i exigeix un consentiment explícit a part (art. 9.2.a RGPD) — no n'hi ha prou amb el consentiment genèric de màrqueting.

I amb pacients menors, qui signa el consentiment i rep la informació és el pare, la mare o el tutor, no el menor (art. 7 LOPDGDD per a menors de 14 anys).

Què passa si no es compleix? Un cas real

L'AEPD vigila el sector salut com un dels seus focus d'actuació (pots consultar les seves reclamacions publicades en matèria de salut). Un cas recollit per premsa jurídica especialitzada il·lustra bé el tipus de fallada més habitual, i no és exclusiu de clíniques: segons ForLOPD i El Economista Jurídico, l'AEPD va sancionar amb 16.000 euros una farmàcia que guardava en un fitxer Excel, sense xifrar ni protegir amb les mesures adequades, identificadors sanitaris, la medicació sol·licitada i el metge prescriptor dels seus pacients — sense haver-los informat d'aquest tractament.

No cal un atac informàtic sofisticat per tenir un problema: la causa més freqüent és un full de càlcul amb dades de salut, guardat en un ordinador compartit, sense informar ningú i sense control d'accés. En una clínica dental, l'equivalent seria un llistat de pacients amb el seu diagnòstic guardat fora del programa de gestió clínica, a l'escriptori d'un ordinador que veu tot el taulell.

Per això aquest article no tanca amb una xifra de multa com a argument: tanca amb la solució concreta. La història clínica va al teu programa de gestió clínica, amb usuari i contrasenya propis de cada persona; res de dades de salut soltes en fulls de càlcul, carpetes compartides o el mòbil personal de ningú.

Checklist en 15 minuts

Per saber on és la teva clínica avui mateix, revisa aquests sis punts:

1. La teva història clínica és en un programa amb usuari i contrasenya propis de cada persona, no en paper solt ni en Excel?
2. Saps si et correspon tenir DPO (exerceixes sol o amb equip/societat?) i, si et correspon, està comunicat a l'AEPD?
3. Tens feta l'EIPD si atens menors o combines la història clínica amb un altre tractament de risc?
4. Les fotos per al teu web o Instagram tenen un consentiment a part de l'expedient clínic, signat i amb opció de retirar-lo?
5. El teu laboratori protètic té signat un contracte d'encarregat del tractament (art. 28 RGPD)?
6. El missatge del recordatori de cita evita dir quin tractament és?

Si alguna resposta és «no ho sé», és exactament el punt de partida de l'assistent de Tranquilia per al perfil de clínica dental: fa aquestes preguntes per tu i genera els documents que falten.

Preguntes freqüents

Una clínica dental necessita delegat de protecció de dades? Sí, gairebé sempre, llevat que exerceixis completament sol, sense societat ni plantilla. Ho exigeix l'art. 34.1.l LOPDGDD per als centres sanitaris obligats a portar històries clíniques.

Tota clínica dental ha de fer una EIPD? Quan el tractament de la història clínica es junta amb un altre factor de risc, com ara pacients menors d'edat, el més prudent és fer-la. Es basa en l'art. 35.4 RGPD i en el llistat de tractaments de l'AEPD, no només en el criteri de «gran escala» de l'art. 35.3.b, que una clínica petita pot discutir.

La foto d'un tractament dental necessita consentiment? La foto clínica per a l'expedient no necessita un consentiment a part: forma part de la història clínica (art. 9.2.h RGPD). La foto per al teu web o les teves xarxes socials sí que necessita un consentiment separat, específic i que es pugui retirar (art. 9.2.a RGPD).

Cal consentiment del pacient per tractar la seva història clínica? No. La base legal és l'execució del contracte d'assistència i l'obligació legal de conservar-la (art. 6.1.b i 6.1.c RGPD, Ley 41/2002), juntament amb l'art. 9.2.h RGPD per a la dada de salut. Informar el pacient sí que és obligatori; demanar-li que signi un consentiment per ser atès, no.

---

Informe elaborat amb Tranquilia — no constitueix una certificació oficial ni un dictamen jurídic. Per al teu cas concret, parla amb la teva gestoria.

Vols veure exactament quins documents genera Tranquilia per a una clínica dental? Consulta el cas d'ús complet amb el recorregut pas a pas: Clínica dental a Tranquilia.