Proteccion de Datos Sanitarios en Espana: Del RGPD al EHDS
¿Que son los datos sanitarios y por que tienen proteccion especial?
Todo lo que tiene de un paciente es un dato sanitario. Todo. El RGPD (articulo 9) los clasifica como "categoria especial" — el nivel mas alto de proteccion que existe en el derecho europeo. Diagnosticos, resultados de laboratorio, medicacion, alergias, historial quirurgico, notas clinicas, imagenes medicas, datos geneticos, datos de dispositivos medicos, hasta datos de pulsera de actividad cuando se vinculan a salud. El RGPD prohibe tratar estos datos salvo excepciones tasadas (articulo 9.2): consentimiento explicito, atencion sanitaria directa (articulo 9.2.h), interes vital, obligacion legal o interes publico en salud publica. Con el EHDS (Reglamento UE 2025/327, Capitulo II, articulos 3-12), la obligacion cambia de forma. Ya no basta con proteger estos datos. Ahora hay que poder intercambiarlos en formato estandarizado (EEHRxF sobre FHIR R4) cuando el paciente lo pida (articulo 5) o cuando la infraestructura nacional lo exija. La proteccion de datos sanitarios en 2026 ya no es "no los pierdas y no los compartas sin permiso." Es "protegelos, estructura los en formato europeo y deja que el paciente se los lleve cuando quiera."
Sanciones reales de la AEPD en el sector sanitario
La AEPD publica todas las sanciones en su web (aepd.es/resoluciones) — son de acceso publico y se pueden buscar por sector. El sanitario es de los que mas multa recibe, y la tendencia va a mas entre 2024 y 2026. Cifras reales publicadas: 300.000 EUR a un hospital privado por brecha de datos no notificada en las 72 horas que exige el articulo 33 del RGPD. 150.000 EUR a un centro de diagnostico por implantar un sistema nuevo sin haber hecho la Evaluacion de Impacto del articulo 35. 90.000 EUR a una clinica estetica por subir fotos de pacientes a Instagram sin consentimiento especifico (infraccion del articulo 9). 50.000 EUR a una clinica dental porque un empleado cotilleo el historial de un conocido — lo que la AEPD llama "acceso por curiosidad", el tipo de brecha mas frecuente en sanidad. 30.000 EUR a una consulta que envio datos a un laboratorio externo sin contrato de tratamiento del articulo 28. Lo que asusta no es la cuantia — es que todas estas infracciones eran prevenibles con medidas basicas. Y el EHDS (Anexo II, seccion 3) va a ampliar lo sancionable: autenticacion individual obligatoria, registro de auditoria inmutable y cifrado en reposo y transito. Lo que hoy es "buena practica" manana sera obligacion con multa.
Del RGPD al EHDS: que cambia para su clinica
El EHDS no reemplaza al RGPD. Se suma. Pero hay diferencias importantes en como afectan a su clinica. El RGPD dice: "protege los datos y no los compartas sin base legal." El EHDS dice: "protege los datos Y compartelos en formato estandarizado cuando el paciente lo pida o cuando la regulacion lo exija." El RGPD exige consentimiento. El EHDS va mas alla: exige que el paciente pueda restringir granularmente quien ve que datos (no solo si/no, sino medico X ve seccion Y). El RGPD exige medidas de seguridad. El EHDS especifica cuales: autenticacion individual (no cuentas compartidas), cifrado en reposo y transito, y registro de auditoria completo (quien accedio, cuando, a que). El RGPD habla de portabilidad (articulo 20). El EHDS la hace operativa: portabilidad en formato EEHRxF sobre FHIR, descargable electronicamente, en un plazo razonable. Si su clinica ya cumple bien el RGPD, la adaptacion al EHDS es mas un tema de tecnologia (FHIR, interoperabilidad) que de gobernanza. Si no cumple el RGPD, tiene que resolver las dos cosas a la vez.
Confidencialidad de datos sanitarios: lo basico que muchas clinicas fallan
Antes de hablar de EHDS y FHIR, hablemos de lo que la AEPD multa hoy. Pantallas visibles: en muchas clinicas, la pantalla del ordenador de recepcion muestra datos de pacientes a la vista de otros pacientes en la sala de espera. Infraccion clara. Cuentas compartidas: el equipo comparte usuario y contrasena del HCE. Cuando hay una brecha, es imposible saber quien accedio. Infraccion grave bajo RGPD y bajo EHDS. Whatsapp: comunicar datos de pacientes por WhatsApp (fotos, resultados, informes) sin cifrado clinico homologado. Altamente frecuente. Altamente sancionable. Papel a la vista: historiales en papel en areas accesibles al personal no clinico o a pacientes. Consentimientos genericos: usar un unico consentimiento que cubra "todo" en vez de consentimientos especificos por tipo de tratamiento y destinatario. Ausencia de politica de retencion: guardar datos indefinidamente sin politica de cuanto tiempo se conservan y cuando se destruyen. Cada uno de estos puntos es una infraccion real con multa potencial. Y ninguno requiere FHIR para resolverlo — solo buenas practicas.