En una frase. El sector sanitario acumula el 6% del importe sancionador AEPD con casos típicos de acceso indebido a historiales clínicos (5.000-40.000 EUR), comunicaciones a terceros sin base jurídica y deficiencias en gestión del consentimiento informado.
Puntos clave
- 187 expedientes sancionadores AEPD al sector salud en 2024-2025.
- Sanción media: 18.000 EUR para clínicas privadas; apercibimiento al sector público.
- Acceso indebido a historiales: motivo más frecuente (38% de expedientes).
- Datos de salud son categoría especial (art. 9 RGPD) — sanciones agravadas.
- Hospitales públicos reciben apercibimiento conforme al art. 77 LOPDGDD.
1. Datos de salud: categoría especial
Los datos de salud están en categoría especial del art. 9 RGPD. Su tratamiento requiere base jurídica del art. 9.2 (consentimiento explícito, asistencia sanitaria, medicina preventiva, etc.) además de la del art. 6. La AEPD aplica agravantes sistemáticos por la naturaleza sensible: importes hasta el doble respecto a tratamientos ordinarios. El sector representa el 6% del importe total recogido en el tracker de sanciones AEPD 2025.
2. Acceso indebido a historiales clínicos
Motivo más frecuente de sanción al sector. Casos típicos:
- Sanitario que consulta historial de pareja, familiar o vecino.
- Administrativo que revisa historial de famoso o personal del centro.
- Médico que accede sin relación asistencial.
Sanciones: 5.000-40.000 EUR para clínicas privadas. Apercibimiento + medida correctora para hospitales públicos, conforme al régimen que analizamos en sanciones AEPD a administraciones públicas. La responsabilidad recae en el centro conforme al art. 4.7 RGPD.
3. Casos relevantes 2024-2025
| Centro | Importe (EUR) | Motivo |
|---|---|---|
| Hospital privado Madrid | 70.000 | Brecha sin notificar 72h |
| Cadena clínicas dentales | 40.000 | Acceso indebido masivo |
| Clínica fertilidad | 30.000 | Comunicación a tercero |
| Centro estética | 25.000 | Imágenes pacientes RRSS |
| Laboratorio análisis | 20.000 | Información insuficiente |
| Hospital público X | Apercibimiento | Historiales sin protección |
4. Comunicaciones a terceros sin base
Compartir información clínica con familiares, abogados, compañías de seguros o empleadores sin base jurídica adecuada genera sanción. Excepciones:
- Consentimiento explícito del paciente.
- Obligación legal (juzgados, salud pública).
- Interés vital cuando el paciente no puede consentir.
- Familiares próximos en situación de emergencia (interpretación restrictiva AEPD).
5. Brechas en sistemas de información sanitaria
Los hospitales son objetivo prioritario de ransomware. La AEPD exige:
Hospital privado de Madrid sancionado con 70.000 EUR en 2024 por notificación tardía de incidente que afectó a 40.000 pacientes.
6. Imágenes y redes sociales
Publicación de imágenes de pacientes en redes sociales del centro o de profesionales requiere consentimiento explícito específico (art. 9 RGPD) más cesión de derechos de imagen (LO 1/1982). Sanciones típicas: 15.000-50.000 EUR. Casos frecuentes en cirugía estética, odontología y veterinaria humana.
7. Investigación clínica y RGPD
La investigación con datos de salud requiere:
8. Hospitales públicos: régimen de apercibimiento
La LOPDGDD art. 77 sustituye la sanción económica por apercibimiento para administraciones públicas, incluidos hospitales del SNS. La AEPD impuso 47 apercibimientos al SNS en 2025. La sanción real es reputacional y obliga a medidas correctoras documentadas con seguimiento.
9. Consentimiento informado y RGPD
El consentimiento informado de la Ley 41/2002 es distinto del consentimiento RGPD pero coincidente en muchos casos. Buenas prácticas:
- Formulario separado para asistencia (art. 9.2.h RGPD) y otros tratamientos (investigación, marketing, fidelización).
- Información clara sobre conservación de la historia clínica (mínimo 5 años, máximo según finalidad).
- Posibilidad de revocar consentimiento para tratamientos no asistenciales.
10. DPO obligatorio en sanidad
Conforme al art. 37 RGPD y al art. 34 LOPDGDD, el DPO es obligatorio en:
- Centros sanitarios obligados a mantener historias clínicas.
- Establecimientos farmacéuticos.
- Cuando el tratamiento masivo de datos de salud sea actividad principal.
11. Telemedicina y RGPD
La telemedicina requiere base jurídica específica y medidas técnicas reforzadas:
12. Base normativa y doctrina europea
El tratamiento de datos de salud se rige por el art. 9 del Reglamento (UE) 2016/679, que prohíbe con carácter general tratar categorías especiales salvo excepción tasada. La más usada en sanidad es el art. 9.2.h (fines de medicina preventiva, diagnóstico y asistencia sanitaria), que además exige el deber de secreto profesional del art. 9.3. En el plano nacional, la LOPDGDD (Ley Orgánica 3/2018) fija en su Disposición adicional decimoséptima las condiciones para reutilizar datos de salud en investigación.
El Comité Europeo de Protección de Datos ha recordado, en sus dictámenes sobre historia clínica electrónica y espacios europeos de datos sanitarios, que el acceso debe regirse por el principio de need to know: solo el profesional con relación asistencial activa. La AEPD traslada este criterio a cada expediente por acceso indebido, exigiendo trazabilidad de accesos y alertas automáticas ante consultas anómalas.
13. Control de accesos: la medida técnica decisiva
El 38% de las sanciones del sector nacen de accesos indebidos. La medida que más las previene es un sistema de logs inmutables con:
- Registro de cada acceso: usuario, paciente, fecha, hora y motivo asistencial.
- Alertas automáticas ante consulta de historiales de personal del centro, familiares o personas con el mismo apellido.
- Bloqueo de acceso a historiales fuera del servicio asignado.
- Revisión periódica por muestreo con acta documentada.
La AEPD valora la existencia de estos controles como circunstancia atenuante (art. 83.2 RGPD) y su ausencia como agravante por falta de medidas técnicas y organizativas (art. 32 RGPD). Un hospital que detecta y sanciona internamente el acceso indebido demuestra diligencia; uno que no dispone de trazabilidad responde por el resultado.
14. Cómo cumplir RGPD en sector sanitario
Este tracker recoge el patrón sancionador; para el desarrollo completo de las obligaciones del sector consulte la guía de RGPD en sanidad y salud en España:
FAQ
¿Puede un médico acceder a mi historial sin tratarme?
No. Solo el personal sanitario con relación asistencial activa puede acceder. Acceso fuera de este supuesto es sancionable y debe ser denunciado al DPO del centro.
¿Mi familia puede ver mi historial?
Solo con su consentimiento explícito, salvo situación de emergencia con paciente incapaz. La interpretación AEPD es restrictiva.
¿Cuánto tiempo se conserva la historia clínica?
Mínimo 5 años desde la última asistencia (Ley 41/2002). En la práctica, indefinidamente para historias relevantes; consultar política específica del centro.
¿Pueden publicar fotos de mi tratamiento en redes?
Solo con consentimiento explícito específico para esa finalidad. La autorización del consentimiento informado sanitario no cubre publicación promocional.