Clínicas dentais e datos de saúde: EIPD, DPO e consentimentos

Sumario

1. Por que unha clínica dental ten obrigas reforzadas?
2. Que datos de saúde trata unha clínica dental e con que base legal?
3. Necesita a miña clínica un delegado de protección de datos (DPO)?
4. Cando fai falta unha EIPD nunha clínica dental?
5. Que consentimentos hai que pedir aos pacientes?
6. Que pasa se non se cumpre? Un caso real
7. Checklist en 15 minutos
8. Preguntas frecuentes

Por que unha clínica dental ten obrigas reforzadas?

O RGPD distingue entre datos persoais normais e datos de categoría especial: saúde, orixe étnica, relixión, orientación sexual, pegada ou cara, entre outros (art. 9 RGPD). Estes datos teñen máis protección porque un uso indebido pode facer máis dano á persoa.

A historia clínica dun paciente dental encaixa de cheo aí: antecedentes médicos, alerxias, medicación, diagnóstico, tratamento e, con frecuencia, radiografías ou fotografías intraorais. Por lei (Ley 41/2002, de autonomía del paciente, arts. 14 e 17), ademais, estás obrigado a levala e conservala un mínimo de tempo — non é unha decisión de negocio, é unha obriga sanitaria que arrastra obrigas de protección de datos.

Esa combinación —dato delicado + obriga legal de conservalo— é a razón de que unha clínica dental teña un percorrido de cumprimento máis longo que, por exemplo, unha perruquería ou un taller mecánico. Non é papeleo porque si: é proporcional ao risco real para os teus pacientes.

Que datos de saúde trata unha clínica dental e con que base legal?

Na práctica, unha clínica dental manexa varios tratamentos de datos distintos, cada un coa súa propia base legal:

• Historia clínica do paciente (nome, antecedentes médicos, alerxias, diagnóstico, tratamento, radiografías). Base legal: execución do contrato de asistencia (art. 6.1.b RGPD) máis a obriga legal de conservala (Ley 41/2002). Para o dato de saúde en si, a base especial é o art. 9.2.h RGPD (asistencia sanitaria) — aquí non fai falta pedir consentimento ao paciente: asinar a folla de información non é asinar un consentimento, son cousas distintas.
• Datos de pacientes menores de idade, cando fas odontopediatría: asina quen ten a patria potestade ou a titoría (art. 7 LOPDGDD, por debaixo dos 14 anos).
• Fotografías clínicas do antes e o despois: se son para o expediente, van coa historia clínica. Se son para a túa web ou as túas redes, é un tratamento distinto e necesita o seu propio consentimento (art. 9.2.a RGPD).
• Citas e recordatorios: non son dato de saúde en si, pero convén que a mensaxe non diga que tratamento é, só o día e a hora.

Un matiz importante para o día a día: o laboratorio protésico tamén recibe datos do paciente (molde, medidas, ás veces o nome) cando lle encargas unha peza. Iso convérteo en encargado do tratamento e necesita un contrato do art. 28 RGPD. A práctica máis prudente é mandarlle un código de paciente en vez do seu nome completo.

Necesita a miña clínica un delegado de protección de datos (DPO)?

Aquí é onde hai máis dúbidas, e a resposta ten unha base legal moi concreta. O art. 34.1.l da LOPDGDD obriga a designar un delegado de protección de datos aos «centros sanitarios legalmente obrigados ao mantemento das historias clínicas dos pacientes».

Unha clínica dental encaixa: é un centro sanitario (suxeito a autorización da comunidade autónoma) e está legalmente obrigada a levar e conservar a historia clínica dos seus pacientes (Ley 41/2002). Polo tanto, a obriga do DPO aplícase por defecto.

Hai unha excepción, escrita na mesma letra da lei, non é unha interpretación: quedan fóra os profesionais da saúde que exercen a título individual, sen sociedade nin cadro de persoal. Se es un dentista que traballa completamente só, é probable que non che faga falta un DPO — pero convén que o confirme a túa xestoría caso por caso, porque a fronteira entre «exercer só» e «con estrutura» non sempre é obvia (unha clínica cun só dentista pero con recepción ou hixienista no cadro de persoal xa ten estrutura).

Un detalle que se adoita pasar por alto: se nomeas un DPO —mesmo de forma voluntaria, sen estar obrigado— tes que comunicalo á AEPD nun prazo de dez días (art. 34.3 LOPDGDD, art. 37.7 RGPD). O DPO pode ser alguén do teu equipo con coñecementos suficientes, ou un servizo externo, como o que adoita ofrecer unha xestoría ou consultoría de protección de datos.

Cando fai falta unha EIPD nunha clínica dental?

A EIPD (avaliación de impacto relativa á protección de datos) é unha análise que a lei esixe antes de tratar datos cando o tratamento pode supoñer un risco alto para as persoas (art. 35 RGPD). Non é unha multa disfrazada de trámite: é, en esencia, pararse a pensar que pode saír mal e que fas para evitalo, por escrito.

Aquí convén ser precisos, porque non calquera tratamento de datos de saúde activa automaticamente a EIPD polo simple feito de ser dato de saúde. O art. 35.3.b RGPD esíxea cando o tratamento de datos especiais se fai «a grande escala» — unha clínica de barrio con cinco ou seis persoas pode discutir razoablemente que non chega a esa escala.

Por iso o fundamento máis sólido non é ese artigo illado, senón o art. 35.4 RGPD xunto co listado de tipos de tratamento que requiren EIPD publicado pola AEPD, que funciona por acumulación de criterios de risco (perfilado, datos de categoría especial, suxeitos vulnerables, entre outros). Nunha clínica dental, ese limiar adóitase alcanzar pola combinación de datos de saúde (historia clínica) máis pacientes menores de idade (odontopediatría), que é unha categoría de suxeitos especialmente vulnerable.

O criterio prudente —e o que recomendamos— é facer a EIPD cando esa combinación se dá, aínda que a clínica sexa pequena: o documento é breve, queda arquivado como proba de responsabilidade proactiva (art. 24 RGPD), e evita ter que discutir despois, ante unha eventual inspección, se o teu volume chegaba ou non a «grande escala».

Que consentimentos hai que pedir aos pacientes?

Unha regra fixa en protección de datos, e que nunha clínica dental é especialmente doado romper por descoido: un consentimento por finalidade, nunca un que agrupe varias cousas distintas. Tres casos concretos:

• Atender o paciente: non necesita consentimento como tal (ver máis arriba, art. 9.2.h RGPD). Si que necesita que o informes de forma clara do que fas cos seus datos.
• Fotos para redes sociais ou web: consentimento á parte, específico, informado e que o paciente poida retirar cando queira. Nunca a mesma caixa que a foto clínica do expediente.
• Publicidade e novidades: caixa baleira por defecto, nunca premarcada. Ollo cun erro habitual no sector: segmentar ofertas segundo o tratamento do paciente («implantes só a quen necesita implantes») usa un dato de saúde con fins comerciais e esixe un consentimento explícito á parte (art. 9.2.a RGPD) — non abonda co consentimento xenérico de márketing.

E con pacientes menores, quen asina o consentimento e recibe a información é o pai, a nai ou o titor, non o menor (art. 7 LOPDGDD para menores de 14 anos).

Que pasa se non se cumpre? Un caso real

A AEPD vixía o sector saúde como un dos seus focos de actuación (podes consultar as súas reclamacións publicadas en materia de saúde). Un caso recollido por prensa xurídica especializada ilustra ben o tipo de fallo máis habitual, e non é exclusivo de clínicas: segundo ForLOPD e El Economista Jurídico, a AEPD sancionou con 16.000 euros unha farmacia que gardaba nun ficheiro Excel, sen cifrar nin protexer coas medidas adecuadas, identificadores sanitarios, a medicación solicitada e o médico prescritor dos seus pacientes — sen terlles informado dese tratamento.

Non fai falta un ataque informático sofisticado para ter un problema: a causa máis frecuente é unha folla de cálculo con datos de saúde, gardada nun ordenador compartido, sen informar a ninguén e sen control de acceso. Nunha clínica dental, o equivalente sería un listado de pacientes co seu diagnóstico gardado fóra do programa de xestión clínica, no escritorio dun ordenador que ve todo o mostrador.

Por iso este artigo non pecha cunha cifra de multa como argumento: pecha coa solución concreta. A historia clínica vai no teu programa de xestión clínica, con usuario e contrasinal propios de cada persoa; nada de datos de saúde soltos en follas de cálculo, cartafoles compartidos ou o móbil persoal de ninguén.

Checklist en 15 minutos

Para saber onde está a túa clínica hoxe mesmo, revisa estes seis puntos:

1. A túa historia clínica está nun programa con usuario e contrasinal propios de cada persoa, non en papel solto nin en Excel?
2. Sabes se che corresponde ter DPO (exerces só ou con equipo/sociedade?) e, se che corresponde, está comunicado á AEPD?
3. Tes feita a EIPD se atendes a menores ou combinas a historia clínica con outro tratamento de risco?
4. As fotos para a túa web ou Instagram teñen un consentimento á parte do expediente clínico, asinado e con opción de retiralo?
5. O teu laboratorio protésico ten asinado un contrato de encargado do tratamento (art. 28 RGPD)?
6. A mensaxe do recordatorio de cita evita dicir que tratamento é?

Se algunha resposta é «non o sei», é exactamente o punto de partida do asistente de Tranquilia para o perfil de clínica dental: fai estas preguntas por ti e xera os documentos que faltan.

Preguntas frecuentes

Unha clínica dental necesita delegado de protección de datos? Si, case sempre, agás que exerzas completamente só, sen sociedade nin cadro de persoal. Esíxeo o art. 34.1.l LOPDGDD para os centros sanitarios obrigados a levar historias clínicas.

Toda clínica dental ten que facer unha EIPD? Cando o tratamento da historia clínica se xunta con outro factor de risco, como pacientes menores de idade, o prudente é facela. Apóiase no art. 35.4 RGPD e no listado de tratamentos da AEPD, non só no criterio de «grande escala» do art. 35.3.b, que unha clínica pequena pode discutir.

A foto dun tratamento dental necesita consentimento? A foto clínica para o expediente non necesita un consentimento á parte: forma parte da historia clínica (art. 9.2.h RGPD). A foto para a túa web ou as túas redes sociais si que necesita un consentimento separado, específico e que se poida retirar (art. 9.2.a RGPD).

Fai falta consentimento do paciente para tratar a súa historia clínica? Non. A base legal é a execución do contrato de asistencia e a obriga legal de conservala (art. 6.1.b e 6.1.c RGPD, Ley 41/2002), xunto co art. 9.2.h RGPD para o dato de saúde. Informar o paciente si que é obrigatorio; pedirlle que asine un consentimento para ser atendido, non.

---

Informe elaborado con Tranquilia — non constitúe unha certificación oficial nin un ditame xurídico. Para o teu caso concreto, fala coa túa xestoría.

Queres ver exactamente que documentos xera Tranquilia para unha clínica dental? Consulta o caso de uso completo co percorrido paso a paso: Clínica dental en Tranquilia.