RGPD en la clínica dental: el checklist de lo que aquí es distinto

1. Lo que es específico de una clínica dental

El RGPD es el mismo para una clínica dental que para cualquier centro sanitario, y el marco general ya está contado en el cumplimiento del RGPD en clínicas privadas. Este artículo no lo repite: se queda con lo que en odontología es distinto, que es más de lo que parece.

1.1. Cinco cosas que en dental no son como en otra consulta

• Se produce imagen de forma rutinaria: radiografías, fotografías intraorales y modelos.
• Existe un encargado del tratamiento que otras consultas no tienen: el laboratorio de prótesis.
• Una parte importante de la agenda es pediátrica, con acompañantes y representantes legales.
• El antes y después es práctica comercial extendida en el sector, y es dato de salud.
• Muchas clínicas son de profesional individual, y eso cambia una obligación concreta.

1.2. Qué no vas a encontrar aquí

Ni una plantilla de registro de actividades rellena, ni un modelo de política de privacidad. Los dos existen en el mercado y los dos hay que adaptar; lo que se puede hacer desde aquí es que sepas qué tiene que salir en ellos en una clínica dental.

1.3. Y una advertencia de tamaño

La exención del registro de actividades que el RGPD prevé para organizaciones de menos de 250 empleados no se aplica cuando se tratan datos de categoría especial, y el dato de salud lo es siempre. Una clínica de tres personas está obligada igual que una de trescientas: lo que cambia es el trabajo de implantarlo, no si te obliga.

2. Base jurídica: por qué el consentimiento no es la tuya

Es el error de partida más común, y arrastra todos los demás. Si crees que tratas datos de salud porque el paciente te lo consintió, tienes mal el primer campo del registro de actividades.

2.1. Dónde está la base de verdad

La Ley Orgánica 3/2018, de 5 de diciembre lo resuelve de una forma poco conocida y muy útil: su disposición adicional decimoséptima declara amparados en las letras g), h), i) y j) del artículo 9.2 del RGPD los tratamientos de datos relacionados con la salud regulados en una lista de leyes, entre las que están expresamente la Ley 41/2002 y la Ley 44/2003.

Es decir: la base de tu tratamiento asistencial no es el consentimiento, es la propia legislación sanitaria.

2.2. Por qué importa la diferencia

Porque un tratamiento basado en consentimiento se puede retirar, y uno basado en obligación legal no. Si tuvieras el expediente clínico apoyado en consentimiento, un paciente podría retirarlo y dejarte sin base para conservar lo que la Ley 41/2002 te obliga a conservar. La incoherencia se nota el día que alguien ejerce un derecho de supresión.

2.3. Dónde sí hace falta consentimiento

En lo que no es asistencia: el envío de comunicaciones comerciales, la publicación de imágenes, la cesión a terceros que no intervienen en la asistencia. Ahí el consentimiento es explícito, separado y revocable, y conviene que no vaya escondido en el mismo documento que el consentimiento del tratamiento sanitario, que es otra cosa y está en qué debe contener un consentimiento informado dental.

3. El registro de actividades, con las finalidades de una dental

El artículo 30.1 del Reglamento (UE) 2016/679 enumera lo que tiene que contener. Lo que cambia de un sector a otro son las finalidades, y una clínica dental tiene varias que no son obvias.

3.1. Qué exige el artículo 30.1

Nombre y datos de contacto del responsable y, en su caso, del delegado de protección de datos; los fines del tratamiento; una descripción de las categorías de interesados y de datos; las categorías de destinatarios; las transferencias internacionales si las hay; cuando sea posible, los plazos previstos para la supresión; y, cuando sea posible, una descripción general de las medidas de seguridad.

3.2. Las finalidades que se olvidan en dental

• Envío de trabajo a laboratorio de prótesis, con los datos que viajen con la impresión o el archivo.
• Recordatorios de cita, con el canal que se use y quién los envía.
• Imagen clínica: radiografías, fotografía intraoral y modelos, como categoría de dato propia.
• Facturación a compañías y gestión de tarifas por entidad, si se trabaja con ellas.
• Gestión de impagos y reclamación de deuda, que es finalidad distinta de la asistencial.
• Publicación de imágenes con fines promocionales, si se hace, con su base y su consentimiento propios.

3.3. El plazo de supresión, que aquí no es libre

El registro pide los plazos previstos de supresión, y en documentación clínica no los eliges tú: el artículo 17.1 de la Ley 41/2002 fija un mínimo y varias comunidades lo amplían. El desglose del plazo está en cuánto hay que conservar la historia dental, y ahí está la coherencia que el registro tiene que reflejar.

4. El delegado de protección de datos: la frontera es cómo estás constituido

Es la obligación que más veces se resuelve mal en dental, porque la respuesta no depende del tamaño.

4.1. Qué dice el artículo 34.1.l)

La Ley Orgánica 3/2018 obliga a designar delegado de protección de datos a «los centros sanitarios legalmente obligados al mantenimiento de las historias clínicas de los pacientes». Una clínica dental constituida como centro sanitario entra de lleno.

4.2. Y la excepción que va justo después

El mismo apartado añade: «Se exceptúan los profesionales de la salud que, aun estando legalmente obligados al mantenimiento de las historias clínicas de los pacientes, ejerzan su actividad a título individual». Ahí está la frontera, y no la marca el número de empleados.

Un dentista que ejerce a título individual queda fuera de esa letra concreta. Todas las demás obligaciones del Reglamento le siguen aplicando igual. El caso a caso lo resuelve el delegado de protección de datos obligatorio.

4.3. Designar no es cumplir

La designación se comunica a la autoridad de control, y su régimen está en el apartado de designación de delegado de la AEPD. Pero un delegado que en doce meses no ha revisado el registro de actividades, no ha validado un contrato de encargo y no ha dejado nada por escrito es una casilla marcada con la función vacía.

5. Los encargados que una dental tiene y otras consultas no

Cualquier tercero que trate datos de tus pacientes por tu cuenta es encargado del tratamiento y necesita contrato. En odontología hay uno muy visible que a menudo no lo tiene.

5.1. El laboratorio de prótesis

Recibe una impresión o un archivo asociado a un paciente concreto, y a menudo con su nombre en la bolsa o en la orden. Eso es tratamiento de datos personales por cuenta de la clínica. Si no hay contrato de encargo, no hay reparto de responsabilidades cuando algo sale mal.

La vía razonable para reducir el problema es no enviar más dato del necesario: la trazabilidad interna puede ir por referencia en lugar de por nombre. Eso es minimización, y es exigible.

Una fotografía intraoral de una persona identificable es dato de salud de categoría especial.

5.2. Los demás, por orden de olvido

• Quien aloja el sistema clínico y quien le da soporte remoto.
• La gestoría o el servicio de facturación, si accede a datos de pacientes.
• El servicio que envía recordatorios de cita, si es un tercero.
• La empresa de destrucción documental.
• La agencia que gestiona la web o los formularios de contacto.
• El servicio de reclamación de impagos, si se externaliza.

5.3. Lo que hay que comprobar en cada contrato

Que identifica el tratamiento, que prohíbe usos propios, que regula la subcontratación, que fija qué pasa al terminar el servicio y que obliga a asistirte si hay una brecha o si un paciente ejerce un derecho. Un contrato firmado que no dice nada de eso está firmado, no resuelto.

6. La imagen: radiografías, fotos intraorales y el antes y después

Es el terreno donde una clínica dental acumula más dato sensible y menos control.

El acompañante no adquiere derecho de acceso por estar presente en el gabinete.

6.1. Es dato de salud, con todo lo que arrastra

Una radiografía o una fotografía intraoral de una persona identificable es dato relativo a la salud, de categoría especial. El régimen de soporte, seguridad y acceso que se le aplica está desarrollado en cuánto se conservan las radiografías dentales.

6.2. El antes y después no se ampara en la asistencia

Publicar una imagen con fines promocionales es una finalidad distinta de tratar al paciente, y necesita consentimiento explícito para esa finalidad concreta, separado del consentimiento del tratamiento y revocable. Y si se revoca, hay que poder retirar la imagen de donde esté, lo que en redes sociales no es trivial.

A eso se suman los límites de la publicidad sanitaria, que van por otra vía y están en los límites de la publicidad sanitaria dental.

6.3. Las copias que se escapan

La imagen exportada al escritorio para enseñarla en el mostrador, la enviada por mensajería para una consulta rápida, la que queda en la memoria del propio equipo. Cada copia fuera del sistema es un tratamiento sin las medidas que sí tiene el sistema, y es lo primero que aparece cuando se audita de verdad.

7. Menores, acompañantes y terceros

Una agenda con pediatría multiplica las situaciones en las que alguien que no es el paciente pide información.

7.1. Quién puede pedir la historia de un menor

El derecho de acceso del artículo 18.2 de la Ley 41/2002 puede ejercerse por representación debidamente acreditada. «Debidamente acreditada» es la parte que se salta: no basta con que alguien diga que es el padre o la madre.

7.2. El acompañante que entra al gabinete

No adquiere derecho de acceso por estar presente. El artículo 5.1 condiciona que se informe a las personas vinculadas al paciente a que este lo permita de manera expresa o tácita, y en mayores de dieciséis años eso cobra especial importancia por el régimen del artículo 9.4.

7.3. Los terceros con interés propio

Compañías aseguradoras, empresas que piden justificantes, otros profesionales que no intervienen en la asistencia. Cada uno necesita su base propia, y ninguna se presume. El artículo 18.3 añade un límite que protege también a tu equipo: el acceso no puede ejercitarse en perjuicio del derecho de los profesionales a oponer la reserva de sus anotaciones subjetivas.

8. Brechas, derechos y lo que se pide primero

La parte reactiva, que es la que decide si un incidente es un problema o un expediente.

8.1. Una brecha no es solo un ataque

Perder un dispositivo, enviar un correo al destinatario equivocado o quedarse sin acceso a las imágenes también son violaciones de seguridad. El procedimiento y los plazos de notificación los detalla la AEPD en su apartado de notificación de brechas, y conviene tenerlo escrito antes de necesitarlo, no después.

8.2. Los derechos, con el procedimiento montado

Acceso, rectificación, supresión, limitación, portabilidad y oposición. En una clínica el más delicado es la supresión, porque choca con la obligación legal de conservar: la respuesta correcta no es borrar, es explicar por qué no se puede y qué sí se puede hacer. Tenerlo redactado de antemano ahorra la reclamación.

8.3. Qué se pide primero cuando hay reclamación

El registro de actividades, los contratos de encargo y la designación del delegado si procede. Son tres documentos y ninguno se improvisa. Las cuantías y los criterios con los que se resuelve están en las sanciones de la AEPD a clínicas, y la auditoría completa en la auditoría de RGPD en clínicas.

9. Qué aporta obeliOmed

Un software no te pone al día en protección de datos: eso lo firma la clínica. Lo que sí puede es quitar de la mesa los fallos que nacen de que el dato viva fuera del sistema.

9.1. Que la imagen y el expediente sean lo mismo

El visor abre DICOM y JPG dentro del expediente del paciente, navega series, mide, anota y compara. Eso ataca directamente el fallo del apartado 6.3: si la imagen vive donde vive el resto del expediente, no hay una carpeta paralela con otras reglas.

9.2. Que quede rastro de quién accedió y quién anotó

Cada cambio queda registrado con su autor, su fecha y el valor anterior. Con cuatro roles dentales y tres especialidades definidos, el acceso asistencial del artículo 16.1 se puede reflejar en el sistema en lugar de depender de un ordenador compartido.

Y el consentimiento vive en el expediente: la clínica carga sus propias plantillas, las versiona y el paciente firma en su móvil con un enlace de un solo uso.

9.3. Lo que no hacemos, con sus límites dichos

• No estamos certificados en ningún esquema de seguridad, y no lo vamos a decir. Lo cierto: servidores en España y cifrado AES-256-GCM de documentos y campos marcados.
• No rellenamos tu registro de actividades, ni designamos tu delegado, ni formamos a tu equipo.
• No firmamos los contratos de encargo con tus otros proveedores, incluido el laboratorio.
• Las copias las hace el servidor —cada tres horas, diarias, semanales y mensuales—, no el software.
• Los avisos al paciente salen por WhatsApp y por email. Esos son los dos canales.

El mapa completo de obligaciones de la clínica está en el mapa de obligaciones de una clínica dental.