1. Informar al paciente
Antes de tratar sus datos, el paciente debe saber quién los trata, para qué, cuánto tiempo se conservan y cómo ejercer sus derechos. Suele hacerse con una cláusula informativa por escrito.
2. Registro de actividades de tratamiento
Al tratar datos de salud, debes tener un registro de actividades aunque trabajes solo: qué datos tratas, con qué finalidad, a quién se comunican, cuánto se conservan y qué medidas de seguridad aplicas.
3. Contratos con tus proveedores
Cualquier proveedor que acceda a los datos (programa de gestión, gestoría, copias de seguridad, correo) es un encargado del tratamiento y necesitas un contrato con él según el artículo 28 del RGPD.
4. Seguridad adecuada
Aplica medidas proporcionales al riesgo: cifrado, contraseñas robustas, equipos actualizados, copias de seguridad y acceso solo de quien lo necesite.
5. Conservación y derechos
La historia clínica se conserva al menos cinco años desde el alta (Ley 41/2002). Los pacientes pueden ejercer sus derechos de acceso, rectificación, supresión, oposición, limitación y portabilidad; tienes un mes para responder.
Una herramienta que te lo pone fácil
Datos clínicos cifrados y derechos del paciente en un clic.
Preguntas frecuentes
¿Necesito un delegado de protección de datos?+
Normalmente no si trabajas por tu cuenta, salvo que trates datos a gran escala.
¿Basta con que el paciente firme un consentimiento?+
No. El consentimiento informado clínico es una cosa y la información sobre protección de datos es otra; necesitas ambas.
Contenido informativo y general sobre seguridad y protección de datos. No es asesoramiento jurídico. Última revisión: octubre de 2026.