AEPD: qué es la Agencia Española de Protección de Datos y qué la afecta a tu clínica

1. Qué es la AEPD, en una frase

La AEPD —Agencia Española de Protección de Datos— es la autoridad de control independiente encargada de velar por el cumplimiento del Reglamento General de Protección de Datos y de la Ley Orgánica de Protección de Datos y garantía de los derechos digitales en España, con potestad de investigación, resolución de reclamaciones y sanción.

1.1. Autoridad de control independiente

La AEPD tiene la condición jurídica de autoridad independiente prevista en el propio RGPD. No depende jerárquicamente de ningún ministerio para el ejercicio de sus funciones, sus decisiones son ejecutivas y sus recursos se sustancian directamente ante la jurisdicción contencioso-administrativa. Esta independencia formal es el rasgo que la distingue de un organismo administrativo ordinario del Estado.

1.2. Referencia obligada en sanidad

El sector sanitario trata categorías especiales de datos —salud, y a veces también datos biométricos y genéticos— y la AEPD ha publicado orientación específica para el ámbito, ha resuelto expedientes que sientan doctrina y aparece con regularidad en la conversación de cumplimiento del sector. Para una clínica, es la interlocutora natural en cualquier asunto de tratamiento de datos personales.

2. Qué funciones tiene la AEPD

El abanico competencial es amplio y conviene conocerlo aunque no todas las funciones afecten día a día a la operativa de un centro.

2.1. Vigilancia y control

La AEPD vigila el cumplimiento de la normativa de protección de datos por parte de responsables y encargados de tratamiento en España. Puede iniciar actuaciones previas de investigación, requerir información y documentación, realizar inspecciones y sancionar los incumplimientos que se acrediten con el procedimiento administrativo correspondiente.

2.2. Resolución de reclamaciones

Cualquier persona puede presentar reclamación ante la AEPD por un tratamiento indebido de sus datos personales. La agencia tramita el expediente, escucha al responsable del tratamiento, requiere documentación probatoria y resuelve archivando, apercibiendo o sancionando en función de la gravedad y de las circunstancias del caso concreto.

2.3. Publicación de orientación

La AEPD publica guías, informes jurídicos, resoluciones anonimizadas, dictámenes y respuestas a consultas. Ese cuerpo de doctrina es la fuente principal para interpretar cómo aplicar el RGPD en escenarios concretos, y en sanidad hay documentación específica publicada que ninguna clínica seria debería ignorar en el diseño de sus propios circuitos operativos.

3. Dónde se sitúa dentro de la Administración

La posición institucional de la AEPD condiciona cómo se relaciona con las clínicas y con otras autoridades.

3.1. Autoridad independiente estatal

La AEPD es una autoridad administrativa independiente estatal, con jurisdicción sobre todo el territorio español para las materias no cedidas a las autoridades autonómicas. Su independencia funcional y presupuestaria está garantizada por ley y ha sido reforzada por la LOPDGDD para adecuarse a los estándares que el propio RGPD exige a las autoridades de control europeas.

3.2. Autoridades autonómicas complementarias

Algunas comunidades autónomas —Cataluña con la APDCAT, País Vasco con la AVPD y Andalucía con la CTPDA— tienen autoridad autonómica de protección de datos con competencia sobre los tratamientos de sus respectivas administraciones autonómicas y locales. Los tratamientos privados —incluidas las clínicas privadas— siguen estando bajo la competencia de la AEPD, con independencia de la comunidad en la que operen.

3.3. Distinta de la AEMPS

La AEPD regula protección de datos personales; la AEMPS regula medicamentos y productos sanitarios. Se confunden con frecuencia por la coincidencia de siglas y hacen cosas completamente distintas. Un centro trata con las dos por motivos independientes, y no aplicar una porque se cumple con la otra es una confusión que ya ha generado expedientes con sanción firme.

4. Sanciones y expedientes

El aspecto de la AEPD con más eco público, y el que más motivación genera para tomarse en serio el cumplimiento.

4.1. El régimen sancionador del RGPD

El RGPD establece un régimen sancionador con multas que pueden llegar a los 20 millones de euros o al 4 por ciento del volumen de negocio anual mundial de la empresa infractora, la cifra que resulte mayor. La LOPDGDD gradúa la aplicación de ese régimen al contexto español y añade infracciones específicas del ordenamiento nacional para reforzar la coherencia general del sistema.

4.2. Sanciones en sanidad

Los expedientes con sanción firme al sector sanitario privado son numerosos y públicos. Suelen encajar en categorías reconocibles: fallos en la gestión de derechos ARSOPL, tratamiento sin base jurídica adecuada, incumplimiento de deber de información al paciente, brechas de seguridad no notificadas en plazo y transferencias internacionales sin garantías. La revisión de expedientes publicados es lectura obligada para cualquier DPD.

4.3. La graduación de la multa

La AEPD gradúa cada multa en función de una serie de criterios establecidos por ley: gravedad y duración de la infracción, negligencia o intencionalidad, categorías de datos afectadas, medidas técnicas y organizativas aplicadas, colaboración con la autoridad, antecedentes previos y otros factores relevantes. La documentación auditable del centro tiene peso decisivo en esa graduación cuando se acredita en el expediente.

5. Guías sanitarias y consultas

La producción documental de la AEPD orientada al sector sanitario es amplia.

5.1. Guías sectoriales

La AEPD ha publicado guías específicas sobre protección de datos en el ámbito sanitario, con orientación sobre historia clínica, consentimiento en investigación, uso secundario de datos, comunicaciones a familiares, tratamientos de menores y otros escenarios habituales. Esas guías son la interpretación oficial de cómo aplicar la normativa en el contexto sanitario y tienen valor jurídico interpretativo en un expediente.

5.2. Informes jurídicos

El Gabinete Jurídico de la AEPD responde consultas planteadas por responsables de tratamiento y publica los informes con la doctrina que sienta. Es un cuerpo consultable por materia y por año que permite anticipar el criterio de la agencia ante situaciones nuevas o dudosas, con el detalle argumental que una simple lectura del reglamento no ofrece por sí misma en la mayoría de los casos.

5.3. Resoluciones anonimizadas

Las resoluciones de expedientes se publican con los datos personales anonimizados y con la argumentación jurídica que sustenta cada decisión concreta. Esa base es la fuente para conocer qué considera la agencia infracción, qué defensas admite y qué gradación aplica en cada caso, con mucho mayor detalle que el que aportan los meros titulares de prensa.

6. Obligaciones de una clínica frente a la AEPD

Las obligaciones concretas son varias y conviene tenerlas ordenadas antes de que aparezca una reclamación.

6.1. Registro de actividades de tratamiento

El responsable del tratamiento —la propia clínica— debe llevar un registro de actividades de tratamiento con la información que el RGPD exige: finalidad, categorías de datos, categorías de personas afectadas, plazos de conservación, destinatarios y medidas de seguridad. Ese registro debe estar disponible para la AEPD ante requerimiento y es una de las primeras cosas que se piden en cualquier expediente iniciado por la agencia.

6.2. Notificación de brechas de seguridad

Ante una brecha de seguridad que suponga riesgo para los derechos y libertades de las personas afectadas, la clínica debe notificar la brecha a la AEPD en un plazo de 72 horas desde que tenga conocimiento efectivo del incidente. La notificación debe incluir información concreta que se detalla en el propio RGPD, y el retraso injustificado en la notificación es infracción independiente del incidente que dio origen a ella.

6.3. Nombramiento de DPD cuando proceda

En determinados casos —tratamiento a gran escala de datos de salud, entre otros supuestos habituales— la clínica está obligada a nombrar un Delegado de Protección de Datos, con las funciones que el RGPD atribuye a esa figura, y a comunicar su nombramiento a la AEPD. El DPD es el interlocutor natural del centro con la agencia y su ausencia cuando debería existir es infracción con sanción propia.

7. Qué debe cumplir tu software con la AEPD

Seis criterios comprobables antes de asumir que la infraestructura del centro está preparada.

7.1. Los tres criterios estructurales

• Registro auditable de acceso a datos con quién, cuándo y a qué historia se accedió.
• Gestión de derechos ARSOPL incorporada al flujo, no gestionada como excepción manual.
• Notificación de brechas con la información estructurada que la AEPD espera.

7.2. Los tres criterios de proceso

• Base jurídica documentada para cada tratamiento realizado por el sistema.
• Consentimientos y bases legales registrados con fecha, versión y evidencia de la información entregada.
• Trazabilidad completa de acceso, modificación y cesión de datos, con retención suficiente.

7.3. La prueba con una reclamación simulada

Coge un paciente real y simula una solicitud de acceso a sus datos. Comprueba que el sistema devuelve la información en el plazo, con el detalle exigido y con la trazabilidad de quién ha accedido a esa historia. Si la respuesta cabe en un mes con documentación completa, la infraestructura funciona. Si exige rastrear carpetas, la respuesta real va a llegar tarde y con lagunas.

8. Errores frecuentes al hablar de la AEPD

Tres confusiones habituales en la conversación de cumplimiento y en la formación del equipo.

8.1. «La AEPD solo actúa cuando alguien reclama»

La AEPD puede actuar de oficio, sin necesidad de reclamación previa, cuando tiene conocimiento por cualquier vía de un posible incumplimiento significativo. Las brechas de seguridad notificadas por otros medios, los artículos de prensa, las auditorías sectoriales y las inspecciones programadas son vías por las que la agencia inicia expedientes sin que ningún interesado concreto haya reclamado previamente por escrito.

8.2. «Si la brecha no ha causado daño, no hay que notificar»

La obligación de notificar depende del riesgo para los derechos y libertades de las personas afectadas, no de si el daño se ha materializado efectivamente o no. Muchas brechas notificables no acaban causando daño concreto y aun así la notificación era obligatoria en el momento del conocimiento. Confundir daño efectivo con obligación de notificar es una interpretación que la AEPD ha rechazado repetidas veces en expedientes que ha resuelto.

8.3. «Firmar un contrato con el proveedor de software me exime de responsabilidad»

El contrato con el encargado del tratamiento es obligatorio y reparte responsabilidades entre las partes, pero no exime a la clínica de la suya como responsable del tratamiento. Ante la AEPD, el responsable es el que responde en primera instancia, y el contrato con el encargado sirve para acreditar diligencia y para repartir consecuencias entre las partes, no para trasladar íntegramente la responsabilidad frente a la autoridad de control.

9. Qué aporta obeliOmed con esto

La infraestructura del centro está diseñada para responder a la AEPD sin tener que improvisar circuitos.

9.1. Registro auditable de accesos

Cada acceso a datos de paciente queda registrado con quién, cuándo y a qué se accedió, con retención suficiente. Ante una reclamación o una inspección, la información está disponible en segundos y con el detalle que el expediente exige, sin necesidad de reconstruir a mano quién vio qué historia el trimestre pasado.

9.2. Derechos ARSOPL en el flujo

Las solicitudes de derechos —acceso, rectificación, supresión, oposición, portabilidad, limitación— entran por el mismo circuito que el resto de la operativa, se asignan al DPD, se gestionan en el plazo legal y se documentan con la respuesta entregada. La gestión de derechos es parte del funcionamiento habitual, no una excepción manual atendida a golpe de incidente puntual.

9.3. Notificación de brechas estructurada

Ante una brecha detectada, el sistema aporta la información estructurada que la notificación a la AEPD exige: naturaleza del incidente, categorías y número de afectados, consecuencias probables y medidas adoptadas. La notificación se prepara con datos objetivos del sistema, no con reconstrucciones aproximadas hechas contrarreloj bajo presión temporal severa.