--- title: "Clínicas dentais e datos de saúde: EIPD, DPO e consentimentos" description: "Que obrigas RGPD ten unha clínica dental por tratar datos de saúde: cando fai falta un delegado de protección de datos (DPO), cando toca facer unha EIPD e que consentimentos pedir aos pacientes. Con fontes oficiais e un caso real de sanción." published: "2026-07-16" updated: "2026-07-16" author: "Tranquilia" canonical: "https://tranquilia.es/gl/blog/clinicas-dentales-datos-salud-eipd-dpo-consentimientos" note: "Información xeral sobre normativa. Non substitúe o asesoramento dun avogado nin a análise do teu caso concreto." --- # Clínicas dentais e datos de saúde: EIPD, DPO e consentimentos **Resposta directa:** unha clínica dental trata datos de saúde en cada historia clínica, o que activa o nivel máis estrito do RGPD (art. 9). Na práctica, isto significa tres cousas: necesitas delegado de protección de datos (DPO) agás que exerzas completamente só (art. 34.1.l LOPDGDD), convén facer unha avaliación de impacto (EIPD) cando a historia clínica se xunta con outro factor de risco, como pacientes menores (art. 35 RGPD), e os consentimentos de fotos ou márketing van sempre separados da atención clínica. Esta guía, revisada o 16 de xullo de 2026, explica cada punto coa súa base legal. ## Sumario 1. [Por que unha clínica dental ten obrigas reforzadas?](#por-que-reforzadas) 2. [Que datos de saúde trata unha clínica dental e con que base legal?](#que-datos) 3. [Necesita a miña clínica un delegado de protección de datos (DPO)?](#dpo) 4. [Cando fai falta unha EIPD nunha clínica dental?](#eipd) 5. [Que consentimentos hai que pedir aos pacientes?](#consentimientos) 6. [Que pasa se non se cumpre? Un caso real](#que-pasa-si-no-cumplo) 7. [Checklist en 15 minutos](#checklist) 8. [Preguntas frecuentes](#faq) ## Por que unha clínica dental ten obrigas reforzadas? {#por-que-reforzadas} O RGPD distingue entre datos persoais normais e **datos de categoría especial**: saúde, orixe étnica, relixión, orientación sexual, pegada ou cara, entre outros (art. 9 RGPD). Estes datos teñen máis protección porque un uso indebido pode facer máis dano á persoa. A historia clínica dun paciente dental encaixa de cheo aí: antecedentes médicos, alerxias, medicación, diagnóstico, tratamento e, con frecuencia, radiografías ou fotografías intraorais. Por lei (Ley 41/2002, de autonomía del paciente, arts. 14 e 17), ademais, estás obrigado a levala e conservala un mínimo de tempo — non é unha decisión de negocio, é unha obriga sanitaria que arrastra obrigas de protección de datos. Esa combinación —dato delicado + obriga legal de conservalo— é a razón de que unha clínica dental teña un percorrido de cumprimento máis longo que, por exemplo, unha perruquería ou un taller mecánico. Non é papeleo porque si: é proporcional ao risco real para os teus pacientes. ## Que datos de saúde trata unha clínica dental e con que base legal? {#que-datos} Na práctica, unha clínica dental manexa varios tratamentos de datos distintos, cada un coa súa propia base legal: - **Historia clínica do paciente** (nome, antecedentes médicos, alerxias, diagnóstico, tratamento, radiografías). Base legal: execución do contrato de asistencia (art. 6.1.b RGPD) máis a obriga legal de conservala (Ley 41/2002). Para o dato de saúde en si, a base especial é o art. 9.2.h RGPD (asistencia sanitaria) — **aquí non fai falta pedir consentimento ao paciente**: asinar a folla de información non é asinar un consentimento, son cousas distintas. - **Datos de pacientes menores de idade**, cando fas odontopediatría: asina quen ten a patria potestade ou a titoría (art. 7 LOPDGDD, por debaixo dos 14 anos). - **Fotografías clínicas** do antes e o despois: se son para o expediente, van coa historia clínica. Se son para a túa web ou as túas redes, é un tratamento distinto e necesita o seu propio consentimento (art. 9.2.a RGPD). - **Citas e recordatorios**: non son dato de saúde en si, pero convén que a mensaxe non diga que tratamento é, só o día e a hora. Un matiz importante para o día a día: **o laboratorio protésico tamén recibe datos do paciente** (molde, medidas, ás veces o nome) cando lle encargas unha peza. Iso convérteo en encargado do tratamento e necesita un contrato do art. 28 RGPD. A práctica máis prudente é mandarlle un código de paciente en vez do seu nome completo. ## Necesita a miña clínica un delegado de protección de datos (DPO)? {#dpo} Aquí é onde hai máis dúbidas, e a resposta ten unha base legal moi concreta. O art. 34.1.l da LOPDGDD obriga a designar un delegado de protección de datos aos **«centros sanitarios legalmente obrigados ao mantemento das historias clínicas dos pacientes»**. Unha clínica dental encaixa: é un centro sanitario (suxeito a autorización da comunidade autónoma) e está legalmente obrigada a levar e conservar a historia clínica dos seus pacientes (Ley 41/2002). Polo tanto, **a obriga do DPO aplícase por defecto**. Hai unha excepción, escrita na mesma letra da lei, non é unha interpretación: **quedan fóra os profesionais da saúde que exercen a título individual**, sen sociedade nin cadro de persoal. Se es un dentista que traballa completamente só, é probable que non che faga falta un DPO — pero convén que o confirme a túa xestoría caso por caso, porque a fronteira entre «exercer só» e «con estrutura» non sempre é obvia (unha clínica cun só dentista pero con recepción ou hixienista no cadro de persoal xa ten estrutura). Un detalle que se adoita pasar por alto: se nomeas un DPO —mesmo de forma voluntaria, sen estar obrigado— tes que **comunicalo á AEPD nun prazo de dez días** (art. 34.3 LOPDGDD, art. 37.7 RGPD). O DPO pode ser alguén do teu equipo con coñecementos suficientes, ou un servizo externo, como o que adoita ofrecer unha xestoría ou consultoría de protección de datos. ## Cando fai falta unha EIPD nunha clínica dental? {#eipd} A EIPD (avaliación de impacto relativa á protección de datos) é unha análise que a lei esixe antes de tratar datos cando o tratamento pode supoñer un risco alto para as persoas (art. 35 RGPD). Non é unha multa disfrazada de trámite: é, en esencia, pararse a pensar que pode saír mal e que fas para evitalo, por escrito. Aquí convén ser precisos, porque non calquera tratamento de datos de saúde activa automaticamente a EIPD polo simple feito de ser dato de saúde. O art. 35.3.b RGPD esíxea cando o tratamento de datos especiais se fai **«a grande escala»** — unha clínica de barrio con cinco ou seis persoas pode discutir razoablemente que non chega a esa escala. Por iso o fundamento máis sólido non é ese artigo illado, senón o **art. 35.4 RGPD xunto co listado de tipos de tratamento que requiren EIPD publicado pola AEPD**, que funciona por acumulación de criterios de risco (perfilado, datos de categoría especial, suxeitos vulnerables, entre outros). Nunha clínica dental, ese limiar adóitase alcanzar pola combinación de **datos de saúde (historia clínica) máis pacientes menores de idade** (odontopediatría), que é unha categoría de suxeitos especialmente vulnerable. O criterio prudente —e o que recomendamos— é facer a EIPD cando esa combinación se dá, aínda que a clínica sexa pequena: o documento é breve, queda arquivado como proba de responsabilidade proactiva (art. 24 RGPD), e evita ter que discutir despois, ante unha eventual inspección, se o teu volume chegaba ou non a «grande escala». ## Que consentimentos hai que pedir aos pacientes? {#consentimientos} Unha regra fixa en protección de datos, e que nunha clínica dental é especialmente doado romper por descoido: **un consentimento por finalidade, nunca un que agrupe varias cousas distintas**. Tres casos concretos: - **Atender o paciente**: non necesita consentimento como tal (ver máis arriba, art. 9.2.h RGPD). Si que necesita que o informes de forma clara do que fas cos seus datos. - **Fotos para redes sociais ou web**: consentimento á parte, específico, informado e que o paciente poida retirar cando queira. Nunca a mesma caixa que a foto clínica do expediente. - **Publicidade e novidades**: caixa baleira por defecto, nunca premarcada. Ollo cun erro habitual no sector: segmentar ofertas segundo o tratamento do paciente («implantes só a quen necesita implantes») usa un dato de saúde con fins comerciais e esixe un consentimento explícito á parte (art. 9.2.a RGPD) — non abonda co consentimento xenérico de márketing. E con pacientes menores, quen asina o consentimento e recibe a información é o pai, a nai ou o titor, non o menor (art. 7 LOPDGDD para menores de 14 anos). ## Que pasa se non se cumpre? Un caso real {#que-pasa-si-no-cumplo} A AEPD vixía o sector saúde como un dos seus focos de actuación (podes consultar as súas reclamacións publicadas en materia de saúde). Un caso recollido por prensa xurídica especializada ilustra ben o tipo de fallo máis habitual, e non é exclusivo de clínicas: segundo ForLOPD e El Economista Jurídico, a AEPD sancionou con **16.000 euros** unha farmacia que gardaba nun ficheiro Excel, sen cifrar nin protexer coas medidas adecuadas, identificadores sanitarios, a medicación solicitada e o médico prescritor dos seus pacientes — sen terlles informado dese tratamento. Non fai falta un ataque informático sofisticado para ter un problema: a causa máis frecuente é unha folla de cálculo con datos de saúde, gardada nun ordenador compartido, sen informar a ninguén e sen control de acceso. Nunha clínica dental, o equivalente sería un listado de pacientes co seu diagnóstico gardado fóra do programa de xestión clínica, no escritorio dun ordenador que ve todo o mostrador. Por iso este artigo non pecha cunha cifra de multa como argumento: pecha coa solución concreta. A historia clínica vai no teu programa de xestión clínica, con usuario e contrasinal propios de cada persoa; nada de datos de saúde soltos en follas de cálculo, cartafoles compartidos ou o móbil persoal de ninguén. ## Checklist en 15 minutos {#checklist} Para saber onde está a túa clínica hoxe mesmo, revisa estes seis puntos: 1. A túa historia clínica está nun programa con usuario e contrasinal propios de cada persoa, non en papel solto nin en Excel? 2. Sabes se che corresponde ter DPO (exerces só ou con equipo/sociedade?) e, se che corresponde, está comunicado á AEPD? 3. Tes feita a EIPD se atendes a menores ou combinas a historia clínica con outro tratamento de risco? 4. As fotos para a túa web ou Instagram teñen un consentimento á parte do expediente clínico, asinado e con opción de retiralo? 5. O teu laboratorio protésico ten asinado un contrato de encargado do tratamento (art. 28 RGPD)? 6. A mensaxe do recordatorio de cita evita dicir que tratamento é? Se algunha resposta é «non o sei», é exactamente o punto de partida do asistente de Tranquilia para o perfil de clínica dental: fai estas preguntas por ti e xera os documentos que faltan. ## Preguntas frecuentes {#faq} **Unha clínica dental necesita delegado de protección de datos?** Si, case sempre, agás que exerzas completamente só, sen sociedade nin cadro de persoal. Esíxeo o art. 34.1.l LOPDGDD para os centros sanitarios obrigados a levar historias clínicas. **Toda clínica dental ten que facer unha EIPD?** Cando o tratamento da historia clínica se xunta con outro factor de risco, como pacientes menores de idade, o prudente é facela. Apóiase no art. 35.4 RGPD e no listado de tratamentos da AEPD, non só no criterio de «grande escala» do art. 35.3.b, que unha clínica pequena pode discutir. **A foto dun tratamento dental necesita consentimento?** A foto clínica para o expediente non necesita un consentimento á parte: forma parte da historia clínica (art. 9.2.h RGPD). A foto para a túa web ou as túas redes sociais si que necesita un consentimento separado, específico e que se poida retirar (art. 9.2.a RGPD). **Fai falta consentimento do paciente para tratar a súa historia clínica?** Non. A base legal é a execución do contrato de asistencia e a obriga legal de conservala (art. 6.1.b e 6.1.c RGPD, Ley 41/2002), xunto co art. 9.2.h RGPD para o dato de saúde. Informar o paciente si que é obrigatorio; pedirlle que asine un consentimento para ser atendido, non. --- *Informe elaborado con Tranquilia — non constitúe unha certificación oficial nin un ditame xurídico. Para o teu caso concreto, fala coa túa xestoría.* **Queres ver exactamente que documentos xera Tranquilia para unha clínica dental?** Consulta o caso de uso completo co percorrido paso a paso: [Clínica dental en Tranquilia](/gl/casos-de-uso/clinica-dental).