Protección de datos de salud y conformidad RGPD para profesionales

Los datos de salud ocupan un lugar particular en el panorama normativo europeo. Calificados como datos sensibles de categoría especial por el RGPD (artículo 9), están sujetos a un régimen de protección reforzado que se aplica a todos los profesionales que los tratan: establecimientos sanitarios, mutualidades, editores de software sanitario, laboratorios, servicios de ayuda a domicilio, actores de la e-salud y telemedicina. En 2026, el panorama regulatorio se ha densificado aún más — entre la entrada en vigor progresiva del Espacio Europeo de Datos de Salud (EEDS), las recomendaciones actualizadas de la CNIL y las sanciones récord dictadas en la UE, la conformidad ya no es opcional. Este artículo describe, punto por punto, las obligaciones aplicables y las mejores prácticas a adoptar para asegurar sus tratamientos.

¿Qué es un dato de salud según el RGPD?

El RGPD (Reglamento n.° 2016/679, artículo 4, apartado 15) define los datos de salud como «los datos personales relativos a la salud física o mental de una persona física, incluida la prestación de servicios de asistencia sanitaria, que revelen información sobre el estado de salud de esa persona».

Un alcance más amplio de lo que parece

Esta definición abarca mucho más que los historiales médicos clásicos. Están incluidos:

• Los antecedentes médicos, diagnósticos, prescripciones y resultados de análisis;
• Los datos recogidos por objetos conectados (relojes inteligentes, sensores de glucosa, aplicaciones de seguimiento menstrual);
• Los datos administrativos que permiten inferir un estado de salud (tasa de reembolso, frecuencia de consultas);
• Los números de seguridad social (NIR) cuando se cruzan con información médica.

En Francia, la CNIL ha precisado, en particular en su decisión de referencia relativa a los almacenes de datos de salud (EDS), que la noción debe interpretarse en sentido amplio. Así, una simple foto que revele una discapacidad visible o un dato biométrico (huella retiniana) entra en el ámbito de aplicación.

¿Por qué una protección reforzada?

La sensibilidad particular de los datos de salud radica en su potencial discriminatorio. Revelar el estado de salud de una persona puede afectar su acceso al empleo, a seguros, al crédito o exponer su vida privada. La CNIL estima que las violaciones que implican datos de salud representaban, en 2024, más del 36 % de las notificaciones que recibió — la primera categoría de datos violados.

Las bases legales específicas para el tratamiento de datos de salud

El artículo 9, apartado 1, del RGPD establece un principio de prohibición del tratamiento de datos sensibles, con excepciones enumeradas de forma taxativa. Para los profesionales de la salud, las bases legales disponibles son principalmente:

El consentimiento explícito (art. 9, apartado 2, letra a)

El consentimiento debe ser libre, específico, informado e inequívoco, expresado mediante un acto positivo claro. En el sector sanitario, esta base es a menudo inadecuada para la atención ordinaria (desequilibrio de poder médico/paciente), pero sigue siendo imprescindible para tratamientos con fines de investigación, marketing o uso de aplicaciones sanitarias de consumo.

Buena práctica 2026: recurrir a la firma electrónica en sanidad para recabar el consentimiento de los pacientes de forma trazable y con marca de tiempo, lo que facilita la prueba en caso de auditoría.

La asistencia sanitaria y la medicina preventiva (art. 9, apartado 2, letra h)

Esta es la base legal principal para los profesionales de la salud que tratan datos en el contexto de la relación asistencial. Se aplica siempre que el tratamiento sea realizado por — o bajo la responsabilidad de — un profesional sujeto al secreto profesional médico.

El interés público y la investigación (art. 9, apartado 2, letras i y j)

Los tratamientos con fines de salud pública (vigilancia epidemiológica, farmacovigilancia) o investigación científica pueden apoyarse en estas excepciones. En Francia, la Ley de Informática y Libertades (artículos 65 a 68) y el decreto que regula el Sistema Nacional de Datos de Salud (SNDS) definen las condiciones de acceso.

Las obligaciones concretas de los responsables del tratamiento

Ya se trate de un consultorio médico o de un editor de solución sanitaria digital, las obligaciones se estructuran alrededor de cinco pilares.

1. El registro de tratamientos (art. 30)

Todo responsable del tratamiento o encargado del tratamiento debe mantener un registro documentando cada tratamiento: finalidad, base legal, categorías de datos, plazos de conservación, destinatarios, medidas de seguridad. La CNIL exige que este registro esté actualizado y disponible sin demora durante un control.

2. El análisis de impacto relativo a la protección de datos (AIPD / art. 35)

Los tratamientos de datos de salud a gran escala o con fines de elaboración de perfiles requieren obligatoriamente una AIPD (llamada DPIA en inglés). La CNIL ha publicado una lista de tratamientos sujetos obligatoriamente a AIPD, incluidos los almacenes de datos de salud, las aplicaciones móviles de seguimiento del estado de salud y los dispositivos médicos conectados.

En el valor jurídico de los documentos electrónicos en este contexto, los prestadores deben garantizar que sus mecanismos de recogida cumplan los requisitos probatorios.

3. La designación de un delegado de protección de datos (DPO)

La designación de un DPO es obligatoria para:

• Los profesionales de la salud agrupados (hospitales, residencias de ancianos, estructuras sanitarias de más de 50 personas);
• Las mutualidades y aseguradoras sanitarias;
• Los editores de software sanitario que tratan datos a gran escala.

Desde 2024, la CNIL ha reforzado sus controles sobre la efectividad del papel del DPO, verificando en particular su independencia real y sus recursos.

4. La seguridad de los sistemas de información (art. 32)

Las medidas técnicas y organizativas deben ser proporcionales al riesgo. La CNIL recomienda en particular:

• El cifrado de extremo a extremo de los datos almacenados y en tránsito;
• La seudonimización siempre que la finalidad lo permita;
• La implementación de controles de acceso estrictos (autenticación multifactor);
• Las copias de seguridad regulares probadas y desconectadas de la red principal;
• Un plan de continuidad de actividad (PCA) específico para datos de salud.

Desde la aplicación de la Directiva NIS 2 (transpuesta a la legislación francesa por la ley de 26 de marzo de 2025), las entidades esenciales del sector sanitario — incluidos los hospitales, fabricantes de dispositivos médicos y ciertos laboratorios — están sujetas a requisitos de ciberseguridad aún más estrictos, con notificación obligatoria de incidentes graves a la ANSSI en 24 horas.

5. La notificación de violaciones de datos (art. 33 y 34)

Toda violación de datos de salud debe notificarse a la CNIL en el plazo de 72 horas desde su descubrimiento. Si la violación es susceptible de causar un riesgo elevado para los derechos y libertades de las personas, los pacientes afectados también deben ser informados sin demora injustificada.

En 2024, la CNIL ha impuesto sanciones por retraso en la notificación, recordando que la rapidez de respuesta es en sí misma una obligación de conformidad.

El alojamiento de datos de salud: una obligación específicamente francesa

En Francia, la ley de 26 de enero de 2016 (artículo L. 1111-8 del Código de Salud Pública) exige que los datos de salud de carácter personal se alojen con un proveedor de alojamiento certificado HDS (Hébergeur de Données de Santé). Esta certificación, emitida por organismos acreditados COFRAC sobre la base de la norma ISO 27001 y del referencial HDS de la ANS, cubre seis actividades distintas.

¿Quién está sujeto a la certificación HDS?

Están sujetos todos los actores que alojan, administran o explotan sistemas de información que contienen datos de salud por cuenta de terceros: proveedores de nube, editores de DMP (historia clínica compartida), plataformas de telemedicina, y — desde 2023 — editores de aplicaciones sanitarias de consumo en cuanto conserven datos identificables.

El uso de un proveedor de alojamiento HDS certificado no exime al responsable del tratamiento de sus propias obligaciones: debe formalizar imperiosamente un contrato de tratamiento conforme al artículo 28 del RGPD, detallando las instrucciones dadas al proveedor, las garantías de seguridad y las modalidades de auditoría.

El Espacio Europeo de Datos de Salud (EEDS): ¿cuáles son los impactos en 2026?

El reglamento EEDS (adoptado a finales de 2025 y cuyas primeras disposiciones entran en aplicación progresivamente hasta 2027) establece el marco para el acceso transfronterizo a datos de salud para investigación, innovación y salud pública. Para los profesionales franceses, dos impactos inmediatos:

1. La obligación de respetar el derecho a la portabilidad reforzada (formato estructurado, legible por máquina) para las historias clínicas;
2. La prohibición de tratar datos de salud primarios con fines de segmentación publicitaria, incluso con consentimiento — una restricción más estricta que el RGPD solo.

Estas evoluciones hacen imprescindible una actualización de las políticas de privacidad y los contratos de tratamiento antes de finales de 2026. Para los profesionales que utilizan herramientas de firma electrónica conforme eIDAS, la trazabilidad de los consentimientos y autorizaciones constituye una ventaja considerable para demostrar conformidad durante una auditoría.

Derechos de los pacientes y ejercicio de derechos RGPD

Los pacientes disponen del conjunto de derechos RGPD (acceso, rectificación, supresión, limitación, portabilidad, oposición), con algunos ajustes sectoriales.

El derecho de acceso a los datos de salud

Un paciente puede solicitar acceso al conjunto de su historia clínica (artículo L. 1111-7 CSP). El profesional dispone de un plazo de 8 días (48 horas para datos recientes, hospitalizaciones recientes) y 2 meses para datos más antiguos. La CNIL y el Defensor de los Derechos han sancionado a instituciones que rechazaban o demoraban estas solicitudes.

El derecho al olvido y sus límites

El «derecho al olvido» está regulado por plazos legales de conservación: 20 años para historiales médicos de adultos, 28 años si el acto se realizó antes de la mayoría de edad. Estos plazos legales prevalecen sobre cualquier solicitud de supresión anticipada — el responsable del tratamiento debe explicarlo claramente al paciente.

La gestión de solicitudes por vía electrónica

Para instituciones que han desmaterializado sus procesos, las solicitudes de ejercicio de derechos pueden transmitirse y procesarse mediante formularios seguros. La marca de tiempo electrónica cualificada de solicitudes y respuestas constituye una buena práctica que permite demostrar el cumplimiento de los plazos regulatorios durante un control de la CNIL.

Marco legal aplicable a la protección de datos de salud

La conformidad de los profesionales de la salud y sus socios tecnológicos se basa en una articulación de textos europeos y nacionales que es necesario dominar.

RGPD — Reglamento (UE) n.° 2016/679, de 27 de abril de 2016: piedra angular del dispositivo, califica los datos de salud como datos sensibles (art. 4, apartado 15), prohíbe su tratamiento salvo excepciones taxativamente enumeradas (art. 9, apartado 2), requiere AIPD (art. 35), designación de DPO (art. 37), notificación de violaciones (art. 33-34) y medidas de seguridad proporcionales (art. 32). Las sanciones previstas alcanzan 20 millones de euros o el 4 % de la facturación mundial anual — la cantidad mayor será la que se aplique.

Ley de Informática y Libertades (ley n.° 78-17, de 6 de enero de 1978, modificada): transpone el RGPD a la legislación francesa, autoriza a la CNIL a adoptar referentes sectoriales específicos para sanidad y define las modalidades de acceso al SNDS.

Código de Salud Pública — art. L. 1111-7 y L. 1111-8: consagran el derecho de acceso del paciente a su historia clínica y la obligación de alojamiento con un proveedor HDS certificado.

Referencial HDS (Hébergeur de Données de Santé): publicado por la Agencia de Transformación Digital del Sistema de Salud (ANS), define seis actividades de certificación que cubren infraestructura física, plataforma y software de aplicación.

Directiva NIS 2 — Directiva (UE) 2022/2555, transpuesta en Francia por la ley de 26 de marzo de 2025: somete las entidades esenciales del sector sanitario (hospitales con más de 30 000 pacientes/año, fabricantes de dispositivos médicos clase IIb e III, laboratorios de referencia) a obligaciones reforzadas de ciberseguridad, en particular notificación a la ANSSI en 24 horas en caso de incidente significativo y planes de respuesta a incidentes probados anualmente.

Reglamento eIDAS n.° 910/2014 y eIDAS 2.0 (Reglamento (UE) 2024/1183): regulan el valor jurídico de las firmas electrónicas utilizadas para consentimientos, actos médicos desmaterializados y contratos con prestadores. La firma electrónica avanzada o cualificada se recomienda para todo acto cuya validez probatoria pueda ser impugnada.

Reglamento EEDS (Reglamento europeo sobre el Espacio Europeo de Datos de Salud, 2025): refuerza los derechos de los pacientes sobre sus datos primarios y regula el uso de datos secundarios para investigación, con la creación de organismos de acceso a datos de salud en cada Estado miembro.

Riesgos jurídicos concretos: además de las sanciones administrativas de la CNIL, los responsables del tratamiento se exponen a acciones de responsabilidad civil (art. 82 RGPD), a procesamientos penales (art. 226-17 del Código Penal, pena máxima de 5 años de prisión y 300 000 € de multa para personas morales), y a daño reputacional cuyo impacto económico frecuentemente supera el monto de la sanción misma.

Escenarios de uso: conformidad RGPD y datos de salud en la práctica

Escenario 1 — Un grupo de clínicas privadas que gestiona aproximadamente 1 200 camas

Un grupo de clínicas privadas de tamaño intermedio (aproximadamente 1 200 camas distribuidas en tres ubicaciones) trataba los consentimientos de pacientes en formularios impresos, almacenados en archivadores físicos poco seguros. Durante una auditoría interna preparatoria para un control de la CNIL, se identificaron varias deficiencias: imposibilidad de localizar rápidamente un consentimiento fechado hace más de dos años, falta de trazabilidad para consentimientos relativos a videovigilancia médica y transmisiones a terceros (aseguradoras, médicos derivantes).

La dirección implementó una solución de firma electrónica cualificada integrada en el sistema de información hospitalario. Resultados medidos a los seis meses: el plazo de procesamiento de solicitudes de acceso a la historia clínica se redujo de 14 a 4 días laborales (reducción del 71 %), el tiempo de búsqueda de un consentimiento cayó a menos de 2 minutos frente a un promedio de 45 minutos anteriormente, y el grupo obtuvo su certificación HDS para la capa de aplicación.

Escenario 2 — Un editor de solución de telemedicina para especialistas independientes

Una empresa editora de una plataforma de consulta a distancia para especialistas independientes (aproximadamente 4 000 médicos usuarios activos) estaba expuesta a un riesgo importante: sus servidores estaban alojados con un proveedor de nube estadounidense sin cláusula contractual conforme al artículo 28 del RGPD y sin certificación HDS. La plataforma recogía, sin embargo, resúmenes de consulta, recetas médicas y fotos clínicas.

Tras un análisis de impacto (AIPD) realizado con un DPO externo, la empresa migró a un proveedor de alojamiento certificado HDS ubicado en Francia, revisó todos sus contratos con tratadores y integró un mecanismo de consentimiento informado con marca de tiempo antes de cada consulta. También implementó un procedimiento de notificación interna de incidentes en menos de 12 horas, permitiendo cumplir el plazo regulatorio de 72 horas hacia la CNIL. El coste de la adecuación se estimó en 180 000 € — comparado con los 400 000 € de sanción pronunciada por la CNIL contra un actor comparable del sector el mismo año.

Escenario 3 — Una red de farmacias independientes

Una asociación de una cuarentena de farmacias independientes utilizaba un software de gestión centralizado que trataba historiales de recetas y datos de fidelización (vinculados a perfiles de salud implícitos). Sin DPO designado y sin registro de tratamientos actualizado, la asociación no estaba en condiciones de responder a una solicitud de ejercicio de derechos de un paciente en 30 días.

Un proyecto de conformidad desarrollado durante ocho meses permitió designar un DPO compartido (solución común y lícita para asociaciones de PYMES), documentar 23 tratamientos distintos en el registro, revisar la política de plazos de conservación (los datos de fidelización se conservaban 10 años sin justificación), y capacitar a todo el personal oficinal sobre los pasos correctos en caso de solicitud de un paciente o un auditor. El riesgo de sanción estimado previamente superaba 150 000 €.

Preguntas frecuentes

¿Los datos de salud recogidos por una aplicación móvil están sujetos al RGPD?

Sí, en cuanto la aplicación recoge datos que permiten inferir el estado de salud de una persona (frecuencia cardiaca, seguimiento menstrual, glucemia, alimentación), estos datos constituyen datos de salud según el artículo 4, apartado 15, del RGPD. El editor es responsable del tratamiento y debe obtener consentimiento explícito, alojar los datos con un proveedor certificado HDS y realizar una AIPD si el tratamiento es a gran escala.

¿Un médico independiente que ejerce solo debe designar un DPO?

No, la designación de DPO no es obligatoria para un médico independiente que ejerce solo o en consulta de menos de algunos profesionales, salvo que los tratamientos recaigan sobre datos de salud a gran escala. No obstante, este médico sigue siendo responsable del tratamiento y debe mantener un registro de tratamientos, aplicar el principio de minimización de datos y estar en condiciones de responder a solicitudes de ejercicio de derechos de sus pacientes en los plazos regulatorios.

¿Qué sanciones puede imponer la CNIL en caso de violación de datos de salud?

La CNIL dispone de poder para imponer sanciones administrativas de hasta 20 millones de euros o el 4 % de la facturación mundial anual, aplicándose la cantidad superior. Más allá de la multa, puede pronunciar una orden de cumplimiento con coercitivo, o hacer pública la decisión. En el plano penal, el artículo 226-17 del Código Penal prevé hasta 5 años de prisión y 300 000 € de multa para personas morales.

¿Es responsable un encargado del tratamiento (software, nube) en caso de fuga de datos de salud?

Sí. El RGPD (art. 28 y 82) establece responsabilidad conjunta del responsable del tratamiento y del encargado del tratamiento frente a las personas interesadas. El encargado del tratamiento es directamente responsable si actuó fuera de las instrucciones del responsable del tratamiento o si no cumplió sus propias obligaciones RGPD. Es por tanto esencial formalizar un contrato de tratamiento preciso y asegurar que el proveedor de alojamiento está certificado HDS para datos de salud.

¿Es obligatoria la certificación HDS para todos los actores del ámbito digital sanitario?

La certificación HDS es obligatoria para todo proveedor que aloje, administre o explote sistemas de información que contengan datos de salud de carácter personal por cuenta de un tercero. Se aplica por tanto a proveedores de nube, editores de SaaS médico y plataformas de telemedicina. No obstante, un profesional de la salud que aloja sus propios datos (sin confiarlos a un tercero) no está directamente sujeto a esta obligación, pero sigue obligado a aplicar las medidas de seguridad del artículo 32 del RGPD.

Conclusión

La protección de datos de salud constituye, en 2026, uno de los desafíos normativos más complejos y vigilados del sector digital. Entre el RGPD, la Ley de Informática y Libertades, la obligación de alojamiento HDS, la Directiva NIS 2 y la emergencia del Espacio Europeo de Datos de Salud, los profesionales deben mantener una vigilancia permanente y estructurar su conformidad alrededor de cinco pilares: registro de tratamientos, AIPD, DPO, seguridad técnica y gestión de derechos de pacientes.

Certyneo acompaña a los actores del sector sanitario en la desmaterialización segura de sus procesos: recogida de consentimientos con marca de tiempo, firma electrónica cualificada de contratos con proveedores, trazabilidad probatoria de cada acto. Descubra cómo nuestra solución puede reforzar su conformidad RGPD visitando nuestro espacio dedicado a profesionales de la salud o iniciando gratuitamente en Certyneo.