Transferencia internacional de datos clínicos: qué se puede enviar fuera de la UE
Para dirección clínica y para el responsable de protección de datos: qué exige el RGPD sobre transferencia internacional de datos clínicos, los países con nivel adecuado, las cláusulas contractuales tipo, el caso especial de EE.UU. y qué pasa cuando el proveedor cloud está fuera del Espacio Económico Europeo.
Sacar datos personales del EEE es transferencia. Sin vía legal, es ilícito por defecto.
1. La regla general del RGPD
El capítulo V del Reglamento General de Protección de Datos regula la transferencia internacional. La regla general es sencilla: los datos personales no pueden salir del Espacio Económico Europeo salvo que exista una de las garantías que la propia norma enumera. La transferencia sin garantía es ilícita.
1.1. Qué se considera transferencia internacional
Cualquier situación en la que datos personales acaben físicamente en un país fuera del Espacio Económico Europeo o resulten accesibles desde ese país. Enviar una historia clínica por correo a un país fuera de la UE es transferencia; almacenarla en un servidor cloud fuera también lo es; permitir el acceso remoto desde fuera también. La expresión no es geográfica de personas sino de datos y de accesos.
1.2. Las vías legales del capítulo V
El RGPD enumera cinco vías principales: decisión de adecuación de la Comisión Europea, cláusulas contractuales tipo, normas corporativas vinculantes, mecanismos de certificación aprobados y excepciones específicas para situaciones concretas. Cada vía tiene sus condiciones y no todas encajan con la actividad de una clínica sanitaria ordinaria.
1.3. Lo que este artículo no cubre
Este artículo no ofrece asesoría jurídica sobre transferencia concreta ni sustituye la valoración del delegado de protección de datos —cómo elegirlo se cuenta en cómo elegir un DPO para tu clínica sanitaria—. Cuenta cuándo hay transferencia, qué vías legales existen y qué exige cada una. La decisión sobre si una transferencia concreta es lícita y qué garantía aplicar corresponde al centro con asesoramiento cualificado.
Para directores de clínica
¿Tu clínica todavía gestiona esto de forma manual?
Descubre qué procesos puedes automatizar sin cambiar cómo trabajas, y cuánto tiempo recuperas cada semana.
2. Países con nivel adecuado
La primera vía legal es la decisión de adecuación: la Comisión Europea reconoce que un país tercero ofrece nivel de protección equivalente al del RGPD, y la transferencia hacia ese país no exige garantía adicional. La lista de países con adecuación es corta y cambia con el tiempo.
2.1. Cuáles son actualmente
La Comisión Europea mantiene actualizada la lista de países con decisión de adecuación vigente. En el momento de escribir este artículo figuran, entre otros, Andorra, Argentina, Canadá para operadores comerciales, Israel, Japón, Nueva Zelanda, Suiza, el Reino Unido y Uruguay. La lista concreta se comprueba siempre en el sitio oficial antes de enviar datos, porque una decisión puede modificarse o retirarse por revisión periódica.
2.2. Alcance de la adecuación
La adecuación no siempre cubre todos los tratamientos ni todos los sectores del país reconocido. Canadá, por ejemplo, tiene adecuación limitada a operadores sujetos a la ley federal de protección de datos personales, no a toda la actividad del país. La comprobación del alcance concreto es responsabilidad del centro que transfiere.
2.3. Revisión periódica
La Comisión revisa las decisiones de adecuación cada cierto tiempo. Un país que hoy tiene adecuación puede perderla si su marco jurídico cambia o si la revisión encuentra desviaciones respecto al estándar europeo. La consulta periódica de la vigencia forma parte de la diligencia razonable del responsable, tema tratado en RGPD en clínicas privadas: las 7 obligaciones concretas.
3. Cláusulas contractuales tipo
La segunda vía habitual es la firma de cláusulas contractuales tipo aprobadas por la Comisión Europea. Son un modelo de contrato entre el exportador de datos —la clínica— y el importador —el proveedor fuera de la UE— que obliga al importador a cumplir estándares equivalentes a los del RGPD.
3.1. Los modelos vigentes
La Comisión aprobó nuevas cláusulas contractuales tipo en 2021 que sustituyeron a las anteriores. Los modelos vigentes se firman según el rol de cada parte —responsable-responsable, responsable-encargado, encargado-encargado, encargado-responsable— y se anexan al contrato principal entre las partes.
3.2. El análisis de impacto de la transferencia
Firmar cláusulas contractuales tipo no basta por sí solo: el exportador tiene que verificar que en el país del importador se pueden cumplir efectivamente las cláusulas, valorando la normativa local que pudiera afectarlas. Este análisis se documenta y forma parte del expediente de la transferencia.
3.3. Medidas suplementarias cuando el análisis lo pide
Si el análisis identifica que la normativa del país receptor puede impedir cumplir las cláusulas —por ejemplo, leyes de acceso masivo de autoridades—, el exportador tiene que aplicar medidas suplementarias: cifrado extremo a extremo con clave fuera del país receptor, seudonimización previa, contratos adicionales, u otras. Sin medidas suplementarias suficientes, la transferencia sigue siendo ilícita aunque haya cláusulas firmadas.
4. El caso especial de EE.UU.
Marco actual con recursos pendientes. La revisión periódica de la validez es diligencia mínima.
Estados Unidos ha sido el caso más discutido de transferencia internacional por la ausencia histórica de un marco federal equivalente al RGPD. La situación ha evolucionado en los últimos años y hoy convive un mecanismo específico con las vías generales.
4.1. El marco de privacidad UE-EE.UU.
En 2023 la Comisión Europea adoptó una decisión de adecuación específica para EE.UU. —el marco de privacidad UE-EE.UU.— que permite transferir datos a organizaciones estadounidenses que se hayan certificado bajo el programa. La lista de organizaciones certificadas se publica en el sitio del Departamento de Comercio de EE.UU. y la clínica tiene que verificar que el proveedor concreto esté en la lista.
4.2. Los proveedores no certificados
Cuando el proveedor estadounidense no está certificado bajo el marco, la transferencia exige cláusulas contractuales tipo con el análisis suplementario correspondiente. La complejidad práctica es alta y muchos centros optan directamente por proveedores europeos para evitar la exposición asociada.
4.3. Los riesgos del historial reciente
Los dos marcos anteriores para transferencia a EE.UU. —Safe Harbor y Privacy Shield— fueron anulados por el Tribunal de Justicia de la Unión Europea. El actual marco de privacidad tiene recursos pendientes que podrían anularlo también. La revisión periódica de la validez del mecanismo por parte del centro es diligencia mínima.
Demo configurada para tu especialidad
30 minutos con datos reales de tu tipo de clínica. Sin ejemplos genéricos.
5. Consentimiento explícito del paciente
El artículo 49 del RGPD prevé excepciones para transferencias que no se apoyen en las vías anteriores. Entre esas excepciones, el consentimiento explícito del interesado tras haber sido informado de los riesgos específicos de la transferencia.
5.1. Requisitos del consentimiento explícito
El consentimiento tiene que ser específico para la transferencia, informado sobre los riesgos concretos que implica la ausencia de decisión de adecuación o de garantías adecuadas, y separado del consentimiento general sobre tratamiento de datos. Un consentimiento genérico incrustado en la política de privacidad no cumple el requisito.
5.2. Cuándo no basta con consentimiento
El consentimiento excepcional no es vía para transferencias masivas, sistemáticas o vinculadas al servicio principal de la clínica. Se reserva a transferencias ocasionales y específicas donde el paciente entiende exactamente qué se envía, adónde y con qué riesgos. Usarlo como mecanismo estándar para el funcionamiento diario del centro es un mal uso de la excepción.
5.3. La retirada del consentimiento
El paciente puede retirar el consentimiento en cualquier momento con la misma facilidad con la que lo prestó. La retirada obliga a suspender la transferencia y a valorar el destino de los datos ya transferidos. La operativa asociada exige planificación previa por parte del centro, no improvisación ante la primera retirada.
6. Trazabilidad de la transferencia
Cada transferencia internacional forma parte del registro de actividades del tratamiento del centro. La documentación exige detalle específico distinto del que se registra para tratamientos internos.
6.1. Qué se anota en el RAT
Destino de la transferencia —país o países—, categoría del destinatario, base legal específica de la transferencia —adecuación, cláusulas, consentimiento, otra—, medidas suplementarias aplicadas cuando corresponda, y una descripción general de los datos transferidos y de su finalidad. La entrada del RAT es más detallada que la de un tratamiento interno ordinario, tema tratado en el RAT en la clínica sanitaria.
6.2. La copia del expediente de transferencia
Además del RAT, la clínica conserva el expediente de cada transferencia: contrato con cláusulas contractuales tipo firmadas, análisis de impacto de la transferencia realizado, evidencia de la certificación del importador cuando aplique, decisión de adecuación aplicable en su versión vigente al momento de la transferencia. Este expediente es lo que se le entrega a la AEPD si lo requiere.
6.3. La información al paciente
El deber de información al paciente incluye la existencia de transferencias internacionales cuando las hay, con los destinos y las garantías aplicadas. La información se ofrece en el momento de recogida de los datos y es accesible en la política de privacidad publicada por la clínica. Ocultar la transferencia es infracción autónoma con independencia de que la propia transferencia sea lícita.
7. Cuando el proveedor cloud está fuera
El escenario más frecuente en la clínica actual es la contratación de un proveedor cloud —almacenamiento, procesamiento, sistema clínico— cuyos servidores no están en el Espacio Económico Europeo. Cada uno de estos escenarios exige valoración específica.
7.1. Proveedor con servidores íntegramente fuera
Cuando toda la operativa del proveedor ocurre fuera de la UE, la transferencia es evidente y exige alguna de las vías legales del capítulo V. La opción operativa más limpia suele ser cambiar de proveedor por uno con infraestructura europea equivalente cuando exista.
7.2. Proveedor con servidores en la UE pero matriz fuera
Este escenario es más frecuente y más complejo. La ubicación física de los servidores no basta: hay que valorar quién tiene acceso a los datos y desde dónde, incluida la propia matriz del proveedor. Una filial europea de un grupo con matriz fuera de la UE puede estar sometida a peticiones de acceso de la jurisdicción de la matriz, y esa exposición requiere análisis específico.
7.3. Proveedor con servidores en España
Es la opción con menos exposición jurídica. Los servidores en España están sometidos íntegramente al marco europeo y no hay transferencia internacional por el mero hecho del almacenamiento. Esta característica es un argumento de decisión de proveedor, no una promesa de que el resto del cumplimiento se resuelva automáticamente.
8. Sanción por transferir mal
El régimen aplicado a clínica es más severo que el aplicado a sectores no sanitarios en los mismos supuestos.
Las transferencias internacionales sin garantía legal son infracción del capítulo V del RGPD y se sancionan con arreglo al régimen del artículo 83. La AEPD las persigue especialmente cuando aparecen en el marco de otra investigación por brecha de seguridad o por denuncia de paciente.
8.1. Cuantía de la sanción
El artículo 83 clasifica las infracciones sobre transferencia internacional entre las más graves del régimen sancionador, con cuantías que pueden alcanzar el 4 % del volumen anual global de negocio o veinte millones de euros, la mayor de ambas. La cuantía concreta se pondera con las circunstancias del caso: gravedad, duración, medidas adoptadas, cooperación con la Agencia.
8.2. Los agravantes en clínica sanitaria
Cuando la transferencia irregular afecta a datos de salud —categoría especial— la valoración de la infracción se agrava. La sensibilidad de los datos transferidos es factor determinante de la cuantía, junto con el volumen de interesados afectados. El régimen aplicado a clínica es más severo que el aplicado a sectores no sanitarios en los mismos supuestos, y el marco general español que suma al RGPD se cuenta en RGPD y LOPD en clínicas sanitarias, con las sanciones de la AEPD tratadas aparte a fondo.
8.3. La regularización posterior
Regularizar una transferencia irregular una vez detectada —firmar las cláusulas, incorporar el análisis de impacto, aplicar medidas suplementarias— no repara la infracción cometida durante el periodo previo pero puede considerarse en la ponderación de la sanción como medida correctora. La regularización nunca sustituye a la vía preventiva de hacer bien la transferencia desde el primer día.
9. Qué aporta obeliOmed
La decisión sobre transferencia internacional es del responsable del tratamiento, que es la clínica. Lo que aporta un sistema clínico bien construido es que la infraestructura donde viven los datos esté claramente localizada, para que el centro pueda decidir con información precisa qué transferencias internacionales realiza y cuáles no.
9.1. Servidores en España como referencia
En obeliOmed la infraestructura vive íntegramente en servidores en España, dentro del Espacio Económico Europeo, sin transferencia internacional por el mero hecho del almacenamiento y procesamiento del sistema. Esa localización es un dato verificable que el centro puede recoger en su RAT y en su política de privacidad sin ambigüedad. Si el centro contrata funcionalidades adicionales con terceros —envío de comunicaciones, herramientas de marketing, integraciones externas— cada una de ellas se valora por separado como posible transferencia según dónde viva el tercero.
9.2. Con qué se combina
La localización de servidores es una decisión que se apoya en el resto del despliegue del RGPD: RAT actualizado, contratos con encargados, medidas de seguridad. Todo eso vive en el mismo circuito, sostenido por el pilar del cumplimiento en RGPD en clínicas privadas.
10. Preguntas frecuentes sobre transferencia internacional
¿Un servidor cloud en EE.UU. es transferencia internacional aunque yo esté en España?
Sí. La transferencia internacional se determina por la ubicación física de los datos, no por la del responsable del tratamiento. Si la clínica en España contrata un servicio cloud cuyos servidores están en EE.UU. o son accesibles desde EE.UU., los datos personales de los pacientes están saliendo del Espacio Económico Europeo y la operación es transferencia internacional según el capítulo V del RGPD. La transferencia exige una de las vías legales previstas: decisión de adecuación —el marco de privacidad UE-EE.UU. actual, verificando que el proveedor concreto esté certificado—, cláusulas contractuales tipo con análisis de impacto, o excepción específica del artículo 49 cuando encaje. Sin ninguna de esas vías, la transferencia es ilícita con independencia de que el cifrado en tránsito y en reposo sea impecable, porque la ilicitud no viene de la falta de seguridad técnica sino de la ausencia de vía legal para el flujo transfronterizo.
¿Es más seguro tener los servidores en España que en otro país de la UE?
En términos jurídicos, dentro de la UE la protección es equivalente y no hay transferencia internacional por el mero hecho de que los servidores estén en Alemania, en Irlanda o en España. En términos operativos, algunos factores pueden favorecer la localización nacional: proximidad para peticiones de la AEPD, aplicación directa de la normativa española sin coordinación con otra autoridad europea, familiaridad con el marco jurídico local. Elegir servidores en España es una decisión de operativa y de simplicidad más que de nivel de protección, porque el RGPD garantiza protección homogénea en toda la Unión. Fuera de la UE es donde aparece la distinción legal específica del capítulo V con sus vías y sus exigencias documentales, y ahí la elección de proveedor sí tiene consecuencias jurídicas distintas según el país concreto donde vivan los datos.
¿Qué son las cláusulas contractuales tipo?
Son un modelo de contrato aprobado por la Comisión Europea que la clínica firma con un proveedor fuera de la Unión Europea para que el proveedor se comprometa a cumplir estándares equivalentes a los del RGPD sobre los datos transferidos. Los modelos vigentes fueron adoptados en 2021 y sustituyeron a los anteriores. Se firman según el rol de cada parte —responsable a responsable, responsable a encargado, encargado a encargado, encargado a responsable— y se anexan al contrato principal entre las partes. Firmar las cláusulas no basta por sí solo en todos los casos: la clínica tiene que verificar mediante un análisis de impacto de la transferencia que en el país del importador se pueden cumplir efectivamente las cláusulas, valorando la normativa local que pudiera afectarlas. Cuando el análisis identifica riesgos, hay que aplicar medidas suplementarias como cifrado con clave fuera del país receptor o seudonimización previa.
¿Puedo transferir datos con solo el consentimiento del paciente?
Se puede en casos específicos y con requisitos estrictos, no como vía general. El artículo 49 del RGPD prevé el consentimiento explícito del interesado como excepción para transferencias que no se apoyen en las otras vías, pero exige que el consentimiento sea específico para la transferencia concreta, informado sobre los riesgos particulares de enviar datos a un país sin decisión de adecuación o sin garantías adecuadas, y separado del consentimiento general sobre tratamiento. Un consentimiento genérico incrustado en la política de privacidad no cumple. La excepción se reserva a transferencias ocasionales y específicas, no a transferencias masivas o vinculadas al servicio principal de la clínica. Apoyarse en el consentimiento como mecanismo estándar para funcionar día a día es un mal uso de la excepción que la AEPD identifica con relativa facilidad en inspección.
¿Qué pasa si el país pierde la adecuación después de haber transferido?
La pérdida de adecuación no anula retroactivamente las transferencias realizadas mientras la decisión estaba vigente, pero exige interrumpir nuevas transferencias hasta que se articule una vía alternativa —cláusulas contractuales tipo con análisis de impacto, cambio de proveedor a un país con adecuación, medidas suplementarias específicas—. Los datos ya transferidos antes de la pérdida están en el país receptor y su tratamiento posterior queda sujeto a la protección que la relación contractual establezca. La clínica revisa el escenario con su DPO cuando la pérdida ocurre y adopta la decisión operativa correspondiente: continuar el servicio con la vía alternativa, cambiar de proveedor, o suspender temporalmente la operación afectada. La documentación de la reacción a la pérdida forma parte del expediente de cumplimiento y demuestra la diligencia razonable del centro ante el cambio del marco jurídico aplicable a la transferencia.
¿La clínica tiene que decirle al paciente que hay transferencia?
Sí, siempre que las haya. El deber de información del artículo 13 del RGPD exige informar al paciente de la existencia de transferencias internacionales cuando las hay, con los destinos y las garantías aplicadas. La información se ofrece en el momento de recogida de los datos, habitualmente en la propia política de privacidad y en el documento de admisión del paciente. Ocultar la transferencia es infracción autónoma con independencia de que la propia transferencia sea lícita. La forma habitual de cumplir es incorporar en la política de privacidad un apartado específico que liste las transferencias internacionales que la clínica realiza, con el país o los países de destino y la vía legal aplicable a cada una. La actualización de ese apartado sigue el ritmo de las incorporaciones o retiradas de proveedores fuera de la UE y forma parte de la revisión periódica del cumplimiento.
¿Qué es el análisis de impacto de la transferencia?
Es la verificación que el exportador de datos —la clínica— realiza antes de firmar cláusulas contractuales tipo con un proveedor de país tercero, para comprobar que en ese país se pueden cumplir efectivamente las cláusulas. El análisis valora la normativa local del país receptor, especialmente las leyes que permiten a las autoridades locales acceder a datos personales, y las prácticas efectivas del país en materia de protección de datos personales. Cuando el análisis identifica que las leyes locales podrían impedir cumplir las cláusulas —por ejemplo, acceso masivo de autoridades a datos alojados en servidores del país—, el exportador tiene que aplicar medidas suplementarias como cifrado con clave conservada fuera del país receptor o seudonimización previa antes de la transferencia. El análisis se documenta y forma parte del expediente de la transferencia junto con las cláusulas firmadas y las medidas suplementarias aplicadas.
¿Qué le entrego a la AEPD si me pregunta por una transferencia?
El expediente completo de la transferencia: entrada correspondiente del RAT con destino, categoría del destinatario, base legal específica y medidas suplementarias cuando corresponda; contrato con cláusulas contractuales tipo firmadas si aplica esa vía; evidencia de la certificación del importador cuando la vía es un marco específico como el de privacidad UE-EE.UU.; análisis de impacto de la transferencia realizado antes de arrancar; decisión de adecuación aplicable en su versión vigente al momento de la transferencia si esa es la vía; información al paciente correspondiente en la política de privacidad y en el documento de admisión. La entrega se hace en formato electrónico legible por los canales que la Agencia habilite en el requerimiento. Un expediente completo y bien organizado es la mejor defensa ante una eventual inspección; un expediente disperso o incompleto agrava la valoración de otras posibles infracciones que aparezcan en la revisión del caso.
Pide una demo de obeliOmed
Sin permanencia · Demo personalizada para tu especialidad · Te respondemos en menos de 24 horas.
Más sobre normativa y compliance en la clínica
Evaluación de impacto en protección de datos (DPIA): cuándo la exige la ley
Cuándo es obligatoria la evaluación de impacto en una clínica, quién la firma, cómo se documenta y cuándo…
Leer artículo →
RGPD y LOPD en clínicas sanitarias: qué añade la ley española
En una clínica española se aplican tres normas a la vez: el RGPD, la Ley Orgánica 3/2018 y…
Leer artículo →
Telepsicología segura: plataforma con cifrado, protocolo de crisis y documentación
Qué se registra de cada sesión de telepsicología: la nota, la constancia de la modalidad, el consentimiento con…
Leer artículo →Información adicional
- Reglamento (UE) 2016/679 (RGPD) — capítulo V sobre transferencia internacional (artículos 44 a 50).
- Agencia Española de Protección de Datos (AEPD) — información sobre transferencia internacional.
- Comisión Europea — decisiones de adecuación vigentes y cláusulas contractuales tipo.
- RGPD en clínicas privadas: las 7 obligaciones concretas
- RAT: cómo lo lleva una clínica sanitaria
- Sanciones de la AEPD a clínicas sanitarias
Última actualización: agosto de 2026.
