Este documento detalla las obligaciones legales y técnicas para garantizar la protección de datos de categoría especial (datos de salud) según el Reglamento (UE) 2016/679 y la LOPDGDD 3/2018.

1
Documentación y GobernanzaEl "Esqueleto" Legal

Registro de Actividades de Tratamiento (RAT)Inventario interno que detalla qué datos tratas (pacientes, proveedores, empleados), con qué fin, qué base legal tiene y quiénes son los destinatarios.

Análisis de RiesgosDocumento que evalúa las amenazas (pérdida de datos, accesos no autorizados) y las medidas de seguridad implementadas.

Delegado de Protección de Datos (DPD/DPO)Verificación de la obligatoriedad de designar un DPD (obligatorio para centros sanitarios en España). En caso de ser autónomo, disponer de un asesoramiento técnico documentado.

Evaluación de Impacto (EIPD)Obligatoria si se realiza tratamiento de datos de salud a gran escala o se utilizan nuevas tecnologías (IA, monitorización biométrica).

2
Relación con el PacienteTransparencia

Cláusula Informativa de Primer ContactoDocumento (o sección en el formulario web) que informa sobre la identidad del responsable, finalidad del tratamiento y derechos del usuario.

Consentimiento Explícito y VerificableFirma del paciente aceptando específicamente el tratamiento de sus datos de salud. No sirven las casillas pre-marcadas.

Consentimiento para Menores/IncapacesProtocolo de firma de ambos progenitores (o tutor legal) para menores de 14 años, verificando la patria potestad.

Protocolo de Ejercicio de DerechosProcedimiento escrito para atender solicitudes de Acceso, Rectificación, Supresión ("Olvido"), Limitación y Portabilidad en los plazos legales (30 días).

3
Seguridad de la InformaciónMedidas Técnicas

Cifrado de DispositivosDiscos duros de ordenadores y tablets cifrados (BitLocker, FileVault) para que los datos sean ilegibles en caso de robo.

Control de Acceso y ContraseñasUso de contraseñas robustas y, preferiblemente, Doble Factor de Autenticación (2FA) en softwares de gestión y correo electrónico.

Copias de Seguridad (Backups)Copias periódicas, cifradas y almacenadas en un lugar distinto al equipo principal (ej. nube segura o disco externo bajo llave).

Gestión del PapelHistorias clínicas en papel guardadas en armarios bajo llave. Uso de trituradoras de papel (nivel de corte P-4) para la destrucción de documentos.

Canales de Comunicación SegurosUso de plataformas de videollamada y mensajería con cifrado de extremo a extremo que cumplan con estándares sanitarios (evitar versiones gratuitas de Skype o WhatsApp personal para terapia).

4
Relación con TercerosEncargados de Tratamiento

Contratos de Confidencialidad (Art. 28 RGPD)Contrato firmado con cada proveedor que acceda a datos:

Gestoría/Asesoría fiscal
Mantenimiento informático
Software de gestión de pacientes
Hosting de la página web

Transferencias InternacionalesVerificación de que los proveedores guardan los datos en el Espacio Económico Europeo o en países con nivel de protección adecuado.

5
Mantenimiento y Respuesta a IncidentesProtocolo de Actuación

Protocolo de Brechas de SeguridadPlan de acción para notificar a la AEPD en un máximo de 72 horas en caso de hackeo, pérdida de un dispositivo o acceso indebido.

Registro de IncidenciasLibro interno donde se anotan todos los fallos de seguridad, incluso los que no requieren notificación oficial.

Plazos de ConservaciónProtocolo de expurgo de historias clínicas (mínimo 5 años tras el alta, máximo según normativa autonómica o interés clínico).

Tu progreso0 de 18 completados

Marca las casillas a medida que completes cada punto

Checklist de Cumplimiento RGPD

1
Documentación y GobernanzaEl "Esqueleto" Legal

2
Relación con el PacienteTransparencia

3
Seguridad de la InformaciónMedidas Técnicas

4
Relación con TercerosEncargados de Tratamiento

5
Mantenimiento y Respuesta a IncidentesProtocolo de Actuación

¿Gestionas tu consulta con esto y con un Excel aparte?

Checklist de Cumplimiento RGPD

1Documentación y GobernanzaEl "Esqueleto" Legal

2Relación con el PacienteTransparencia

3Seguridad de la InformaciónMedidas Técnicas

4Relación con TercerosEncargados de Tratamiento

5Mantenimiento y Respuesta a IncidentesProtocolo de Actuación

¿Gestionas tu consulta con esto y con un Excel aparte?

1
Documentación y GobernanzaEl "Esqueleto" Legal

2
Relación con el PacienteTransparencia

3
Seguridad de la InformaciónMedidas Técnicas

4
Relación con TercerosEncargados de Tratamiento

5
Mantenimiento y Respuesta a IncidentesProtocolo de Actuación