Registro de actividades del tratamiento (RAT): cómo lo lleva una clínica

1. Qué exige el RGPD

El artículo 30 del Reglamento General de Protección de Datos obliga a llevar registro de actividades del tratamiento a todo responsable con más de 250 empleados y, con carácter general, a todo responsable que trate datos de categoría especial. Una clínica sanitaria trata datos de salud —categoría especial por definición— y por tanto está obligada, con independencia del número de empleados.

1.1. Responsable y encargado del tratamiento

El responsable del tratamiento es la clínica que decide qué se trata y para qué; el encargado es quien trata datos por cuenta del responsable —el proveedor de software, la asesoría, la empresa de dispensación—. El RAT es del responsable y refleja lo que hace la clínica directamente; los encargados llevan su propio RAT y cada uno se responsabiliza del suyo.

1.2. El formato lo elige la clínica

El RGPD no impone un formato concreto. Un documento en hoja de cálculo cumple si contiene lo que la norma exige; una base estructurada con revisiones fechadas es más útil pero no es obligatoria. Lo que sí exige la norma es que el RAT sea electrónico y accesible a la autoridad de control cuando lo requiera.

1.3. Lo que este artículo no cubre

Este artículo no ofrece asesoría jurídica de caso concreto. Cuenta qué exige la norma y qué elementos suele tener el RAT de una clínica; la decisión de cómo llevarlo, quién lo firma y qué se documenta ante la AEPD es de dirección clínica con el apoyo del DPO cuando lo haya, tema tratado en DPO en clínicas sanitarias: cuándo es obligatorio.

2. Qué contiene el RAT

El contenido mínimo del RAT viene fijado por el propio artículo 30 y por las guías que la AEPD publica sobre su aplicación. La lista es corta y todos los puntos son verificables.

2.1. Datos de identificación del responsable

Nombre y datos de contacto de la clínica como responsable del tratamiento, y del delegado de protección de datos cuando la clínica lo tiene designado. La identificación completa del responsable es lo que permite a la AEPD dirigirse a la persona jurídica correcta ante cualquier requerimiento o denuncia.

2.2. Fines del tratamiento

Cada tratamiento se anota con su fin concreto: asistencia sanitaria, facturación, gestión de citas, marketing consentido, formación con casos anonimizados, envío de comunicaciones al paciente. Los fines no son categorías genéricas: son las razones específicas por las que la clínica trata los datos, y cada una exige base legal propia.

2.3. Categorías de interesados y de datos

A quién pertenecen los datos —pacientes, familiares, empleados, proveedores— y qué categorías se tratan de cada uno. Los datos de salud son categoría especial y exigen justificación reforzada; los datos administrativos son categoría común. La distinción no es semántica: cambia el nivel de protección exigible y las medidas de seguridad aplicables.

3. El fichero de historia clínica dentro del RAT

La historia clínica es un tratamiento del RAT, no el RAT entero. Aparece como entrada extensa dentro.

El tratamiento principal de una clínica sanitaria es la historia clínica del paciente. Su entrada en el RAT es la más extensa del documento, y también la que más frecuentemente aparece incompleta.

3.1. La base legal específica

El tratamiento de datos de salud para asistencia sanitaria se apoya en el artículo 9.2.h del RGPD, que autoriza el tratamiento cuando es necesario para fines de medicina preventiva, diagnóstico médico o prestación de asistencia. La Ley 41/2002, básica reguladora de la autonomía del paciente, complementa esta base y define lo que el centro está obligado a conservar.

3.2. Los plazos de conservación por tipo de dato

La Ley 41/2002 establece un mínimo de cinco años desde la última asistencia para la historia clínica, aunque muchos elementos exigen conservación más larga por otras normas —consentimientos, imágenes diagnósticas, datos con implicación en procesos judiciales—. El desglose se cuenta aparte en historia clínica y RGPD: plazos de conservación.

3.3. Las medidas de seguridad aplicables

El RAT anota, sin necesidad de detalle técnico exhaustivo, las medidas de seguridad aplicadas al fichero: cifrado documental, control de accesos por rol, trazabilidad de aperturas, copias en la infraestructura. Cada una de esas medidas tiene su propia auditoría técnica, y el RAT solo las lista para que la AEPD sepa qué hay implantado.

4. Los tratamientos periféricos que se olvidan

La historia clínica es fácil de recordar en el RAT. Los tratamientos periféricos son los que suelen quedar fuera y los que más aparecen en denuncias cuando el paciente se queja de algo que no relacionó con su asistencia.

4.1. Videovigilancia de las instalaciones

Si la clínica tiene cámaras en recepción o pasillos, la videovigilancia es un tratamiento aparte con su propia base legal —interés legítimo del centro—, sus plazos de conservación —treinta días como referencia general— y sus deberes de información —cartel visible antes de que la persona entre en el ámbito de captación—.

4.2. Marketing y comunicaciones al paciente

Boletines por email, recordatorios de revisiones, encuestas de satisfacción posteriores a la visita. Cada uno es un tratamiento con base legal distinta —consentimiento en marketing, interés legítimo en algunos recordatorios— y con derecho de oposición del paciente. La ausencia en el RAT es una laguna frecuente.

4.3. Gestión de recursos humanos

Nóminas, control de presencia, evaluación de personal. Todo esto es tratamiento de datos y va en el RAT como fichero de recursos humanos. La confusión habitual es asumir que solo los datos de paciente entran en el registro, cuando la norma cubre todos los tratamientos que hace la clínica como responsable.

5. Cómo se actualiza sin dejarlo desfasado

Un RAT sirve mientras refleja la realidad de la clínica. La desactualización silenciosa es la forma más frecuente de que un documento que empieza bien acabe siendo peor que no tenerlo. La actualización se dispara por eventos concretos, no por revisión calendarizada exclusiva.

5.1. Cuando aparece un tratamiento nuevo

Nueva línea de servicio, nuevo canal de comunicación con el paciente, nuevo proveedor de software que trata datos por cuenta de la clínica. Cualquiera de esos eventos exige entrada nueva en el RAT esa misma semana, no en la próxima revisión anual.

5.2. Cuando cambia una base legal

Un cambio normativo —reforma de la Ley 41/2002, nueva guía de la AEPD, actualización del real decreto sobre protección de datos— puede cambiar la base legal aplicable a un tratamiento existente. La revisión del RAT tras cada cambio normativo relevante mantiene la coherencia del documento con el marco jurídico vigente.

5.3. Cuando termina la relación con un encargado

Cambio de proveedor de software clínico, cambio de asesoría, fin de contrato con una empresa de destrucción de papel. La salida del encargado se anota en el RAT junto con la fecha efectiva del cambio y el destino de los datos que trataba. La trazabilidad del ciclo del encargado protege ante requerimientos posteriores.

6. Auditoría interna del RAT

El RAT no es un documento estático que se lleva por cumplir. Es una herramienta de gestión que revela huecos en la propia práctica de la clínica cuando se lee con atención al menos una vez al año.

6.1. La revisión anual sistemática

Revisar cada entrada del RAT una vez al año: qué tratamiento sigue vivo, qué ha terminado, qué falta por incorporar. La revisión anual encuentra tratamientos periféricos que la práctica introdujo sin actualizar el RAT y tratamientos formalmente vigentes que en la práctica ya no se hacen.

6.2. La comprobación de coherencia con la política de privacidad

La política de privacidad que la clínica publica en su web y en los folletos de admisión debería listar exactamente los tratamientos del RAT. La divergencia entre lo publicado y lo registrado es un hallazgo habitual de auditoría, tema tratado en auditoría RGPD para clínicas: checklist paso a paso.

6.3. El calibrado con la realidad operativa

Una fuente eficaz de auditoría es cruzar el RAT con la operativa cotidiana: los procesos que el equipo describe cuando explica cómo trabaja tienen que aparecer todos en el RAT. Ese cruce revela los tratamientos que la clínica hace sin ser plenamente consciente y que la norma le atribuye igualmente como responsable.

7. La AEPD y el RAT en una inspección

La Agencia Española de Protección de Datos actúa a instancia de denuncia o por procedimiento de oficio. En ambos casos, el RAT es el primer documento que solicita para valorar el nivel de organización del responsable en materia de tratamiento de datos.

7.1. Qué se le entrega

El RAT completo actualizado en el momento del requerimiento, sin edición posterior a la fecha del requerimiento. La entrega electrónica es la vía habitual; el formato es el que la clínica utilice internamente, siempre que sea legible y accesible.

7.2. Qué revisa la AEPD del documento

Completitud —que todos los tratamientos consten—, coherencia con la política de privacidad y con los deberes de información, actualización razonable —revisiones fechadas—, y correspondencia con la práctica —los tratamientos declarados existen y los existentes están declarados—. La revisión es holística: no basta con tener el RAT.

7.3. Qué pasa si el RAT falta o está incompleto

La ausencia de RAT es una infracción autónoma sancionable con arreglo al régimen de sanciones de la AEPD, tema tratado en sanciones de la AEPD a clínicas sanitarias. La falta de RAT actualizado agrava la valoración de otras posibles infracciones porque revela una organización deficiente en el cumplimiento del RGPD.

8. Cuando se comparte con el DPO

El DPO no lleva el RAT: acompaña. La revisión conjunta es la práctica que sostiene el documento vivo.

Cuando la clínica tiene delegado de protección de datos designado, el RAT es el primer documento del que el DPO tiene que disponer y sobre el que ejerce su función de asesoramiento y supervisión.

8.1. La entrega inicial al DPO

Al firmar el contrato con el DPO, la clínica le entrega el RAT vigente junto con la política de privacidad, los contratos con encargados y la documentación de las medidas de seguridad. El DPO revisa el conjunto y propone actualizaciones o correcciones si detecta huecos.

8.2. La revisión periódica conjunta

El DPO no gestiona el RAT por sí mismo: acompaña a la clínica en su mantenimiento. La revisión conjunta anual o semestral es la práctica habitual, con reunión específica dedicada al documento y a los tratamientos que hayan podido aparecer o desaparecer.

8.3. El vínculo con las evaluaciones de impacto

Algunos tratamientos del RAT pueden exigir evaluación de impacto en protección de datos por el nivel de riesgo o por las características de los datos. La correspondencia entre entradas del RAT y evaluaciones de impacto realizadas es una de las revisiones habituales del DPO, y aparece en detalle en el propio documento cuando la clínica lo lleva bien.

9. Qué aporta obeliOmed

El RAT es responsabilidad de la clínica y no lo lleva el software clínico por ella. Lo que sí aporta un sistema clínico bien construido es la información técnica sobre los tratamientos que el propio software realiza como encargado, información que la clínica necesita para completar y mantener actualizado su RAT.

9.1. La información del encargado, disponible cuando toca

En obeliOmed la clínica tiene documentado qué datos trata el sistema, con qué finalidad operativa, en qué infraestructura viven —servidores en España— y qué medidas técnicas se aplican. Esa información se le entrega al responsable de la clínica cuando actualiza el RAT y cuando el DPO revisa el documento, sin que haya que reconstruirla cada vez. El RAT sigue siendo del centro; lo que el sistema aporta es no dejar al centro sin los datos que necesita para llevarlo con precisión.

9.2. Con qué se combina

El RAT se apoya en el resto del despliegue del RGPD: contratos con encargados, medidas de seguridad, deber de información al paciente. Todo eso se sostiene sobre el pilar del cumplimiento, desarrollado en RGPD en clínicas privadas: las 7 obligaciones concretas.