Este documento detalla las obligaciones legales y técnicas para garantizar la protección de datos de categoría especial (datos de salud) según el Reglamento (UE) 2016/679 y la LOPDGDD 3/2018.

1
Documentación y Gobernanza El "Esqueleto" Legal

Registro de Actividades de Tratamiento (RAT) Inventario interno que detalla qué datos tratas (pacientes, proveedores, empleados), con qué fin, qué base legal tiene y quiénes son los destinatarios.

Análisis de Riesgos Documento que evalúa las amenazas (pérdida de datos, accesos no autorizados) y las medidas de seguridad implementadas.

Delegado de Protección de Datos (DPD/DPO) Verificación de la obligatoriedad de designar un DPD (obligatorio para centros sanitarios en España). En caso de ser autónomo, disponer de un asesoramiento técnico documentado.

Evaluación de Impacto (EIPD) Obligatoria si se realiza tratamiento de datos de salud a gran escala o se utilizan nuevas tecnologías (IA, monitorización biométrica).

2
Relación con el Paciente Transparencia

Cláusula Informativa de Primer Contacto Documento (o sección en el formulario web) que informa sobre la identidad del responsable, finalidad del tratamiento y derechos del usuario.

Consentimiento Explícito y Verificable Firma del paciente aceptando específicamente el tratamiento de sus datos de salud. No sirven las casillas pre-marcadas.

Consentimiento para Menores/Incapaces Protocolo de firma de ambos progenitores (o tutor legal) para menores de 14 años, verificando la patria potestad.

Protocolo de Ejercicio de Derechos Procedimiento escrito para atender solicitudes de Acceso, Rectificación, Supresión ("Olvido"), Limitación y Portabilidad en los plazos legales (30 días).

3
Seguridad de la Información Medidas Técnicas

Cifrado de Dispositivos Discos duros de ordenadores y tablets cifrados (BitLocker, FileVault) para que los datos sean ilegibles en caso de robo.

Control de Acceso y Contraseñas Uso de contraseñas robustas y, preferiblemente, Doble Factor de Autenticación (2FA) en softwares de gestión y correo electrónico.

Copias de Seguridad (Backups) Copias periódicas, cifradas y almacenadas en un lugar distinto al equipo principal (ej. nube segura o disco externo bajo llave).

Gestión del Papel Historias clínicas en papel guardadas en armarios bajo llave. Uso de trituradoras de papel (nivel de corte P-4) para la destrucción de documentos.

Canales de Comunicación Seguros Uso de plataformas de videollamada y mensajería con cifrado de extremo a extremo que cumplan con estándares sanitarios (evitar versiones gratuitas de Skype o WhatsApp personal para terapia).

4
Relación con Terceros Encargados de Tratamiento

Contratos de Confidencialidad (Art. 28 RGPD) Contrato firmado con cada proveedor que acceda a datos:

Gestoría/Asesoría fiscal
Mantenimiento informático
Software de gestión de pacientes
Hosting de la página web

Transferencias Internacionales Verificación de que los proveedores guardan los datos en el Espacio Económico Europeo o en países con nivel de protección adecuado.

5
Mantenimiento y Respuesta a Incidentes Protocolo de Actuación

Protocolo de Brechas de Seguridad Plan de acción para notificar a la AEPD en un máximo de 72 horas en caso de hackeo, pérdida de un dispositivo o acceso indebido.

Registro de Incidencias Libro interno donde se anotan todos los fallos de seguridad, incluso los que no requieren notificación oficial.

Plazos de Conservación Protocolo de expurgo de historias clínicas (mínimo 5 años tras el alta, máximo según normativa autonómica o interés clínico).

Tu progreso 0 de 18 completados

Marca las casillas a medida que completes cada punto

Checklist de Cumplimiento RGPD

1 Documentación y Gobernanza El "Esqueleto" Legal

2 Relación con el Paciente Transparencia

3 Seguridad de la Información Medidas Técnicas

4 Relación con Terceros Encargados de Tratamiento

5 Mantenimiento y Respuesta a Incidentes Protocolo de Actuación

1
Documentación y Gobernanza El "Esqueleto" Legal

2
Relación con el Paciente Transparencia

3
Seguridad de la Información Medidas Técnicas

4
Relación con Terceros Encargados de Tratamiento

5
Mantenimiento y Respuesta a Incidentes Protocolo de Actuación