Blog · Cumplimiento
RGPD en consulta: qué datos de salud puedes guardar y cómo pedir el consentimiento
Una guía serena para ordenar este asunto sin que te robe horas de consulta. Publicado el 15 de noviembre de 2026.
Información general y orientativa. Este artículo no es asesoramiento legal ni garantiza el cumplimiento de ninguna norma. Cada consulta debe validar su caso con un profesional jurídico o con su delegado de protección de datos.
Respuesta directa
Puedes guardar los datos de salud que necesites para atender a tus pacientes, con una base legal clara.
Una consulta puede tratar datos de salud cuando tiene una razón legítima y proporcionada para hacerlo, como prestar la asistencia, y cuando informa al paciente de forma transparente. El consentimiento es una de las bases posibles, no la única, y pide ciertos requisitos: debe ser explícito, informado y revocable. El resto del trabajo consiste en guardar poco, guardarlo bien y poder demostrarlo.
Qué son
Los datos de salud son una categoría especial.
Los datos de salud son cualquier información que revele el estado físico o mental de una persona: diagnósticos, tratamientos, pautas, informes, medidas, notas de sesión o incluso el motivo de una cita. El reglamento europeo de protección de datos los incluye entre las categorías especiales, lo que significa que exigen más cuidado que un nombre o un teléfono.
En la práctica, la agenda, el correo, los mensajes de WhatsApp y las fotografías de seguimiento pueden contener datos de salud sin que lo parezca. Por eso conviene mirar todos los lugares donde viaja la información, no solo la historia clínica.
Base legal
Consentimiento explícito, informado y revocable.
Para tratar datos de salud hace falta una base legal que lo permita. En la atención sanitaria suele existir una habilitación propia para la asistencia, y el consentimiento cobra protagonismo en otros usos: comunicaciones comerciales, fotografías, seguimiento por mensajería o cualquier finalidad añadida a la atención. Qué base aplica a cada tratamiento es algo que debe confirmar un profesional jurídico.
- Explícito: el paciente lo manifiesta con una acción clara, no con el silencio ni con una casilla ya marcada.
- Informado: antes de aceptar, sabe quién trata sus datos, para qué y durante cuánto tiempo.
- Revocable: puede retirarlo cuando quiera y con la misma facilidad con la que lo dio.
Contenido
Qué debe contener un consentimiento.
Un buen consentimiento es breve, claro y fácil de archivar. Como orientación general, suele incluir los puntos siguientes.
- Quién es el responsable del tratamiento y cómo contactarle.
- Qué datos se recogen y con qué finalidad concreta, separando cada finalidad.
- Quién puede acceder a ellos, incluidos los proveedores que actúan por encargo.
- Cuánto tiempo se conservarán o con qué criterio se decidirá.
- Qué derechos tiene el paciente y cómo ejercerlos, incluida la retirada del consentimiento.
- Fecha, identificación de la persona y forma en que lo ha aceptado.
Conviene redactarlo en lenguaje llano. Si el paciente no lo entiende, difícilmente será un consentimiento informado.
Registro
El registro de actividades de tratamiento, tu mapa de datos.
El registro de actividades de tratamiento es un documento interno que enumera qué datos tratas, para qué, con qué base, quién accede a ellos y cuánto tiempo los guardas. Sirve para tener una imagen ordenada de tu consulta y para poder explicarla si alguien te la pide. Si debes llevarlo o no depende de tu situación, así que es una de las preguntas que conviene resolver con un profesional jurídico o con tu delegado de protección de datos.
Aunque no fuera obligatorio en tu caso, hacerlo una vez ayuda a detectar sorpresas: una hoja de cálculo con nombres, una carpeta compartida sin protección o una aplicación que nadie recuerda haber contratado.
Conservación y accesos
Guardar lo necesario, el tiempo necesario, para quien corresponde.
La conservación de la documentación clínica tiene plazos propios fijados por la normativa sanitaria, y esos plazos pueden diferir de los de otros datos, como los de marketing. Pregunta qué plazo se aplica a cada tipo de documento y deja constancia de ello.
En cuanto a los accesos, aplica un principio sencillo: cada persona ve solo lo que necesita para su trabajo. Usa contraseñas individuales, un gestor de contraseñas, verificación en dos pasos y copias de seguridad. Si trabajas con proveedores, comprueba que existe un contrato que regule su tratamiento de datos por encargo.
Pacientes
Los derechos de tus pacientes, sin sobresaltos.
Los pacientes pueden pedir acceso a sus datos, su rectificación, su supresión cuando proceda, la limitación del tratamiento, la portabilidad y la oposición. También pueden retirar un consentimiento. Tener un correo de contacto visible y un procedimiento sencillo para atender estas solicitudes evita improvisar cuando llegan.
Lo importante es saber quién responde, dónde está la información y en qué plazo se contesta. Un procedimiento escrito de media página suele ser suficiente como punto de partida, siempre que lo valide un profesional jurídico.
Errores frecuentes
Los errores que más se repiten en consultas pequeñas.
- Pedir consentimiento para todo sin distinguir qué necesita realmente esa base y qué no.
- Mezclar finalidades en una sola casilla: la atención, los recordatorios y las novedades de la consulta.
- Usar WhatsApp personal para datos de salud, sin separar el número de la consulta.
- No guardar la prueba del consentimiento, de modo que no puede acreditarse después.
- Guardar de más: fotografías, informes o conversaciones que ya no tienen utilidad.
- No revisar a los proveedores que acceden a la información.
- Copiar un modelo genérico sin adaptarlo a los tratamientos reales de la consulta.
Recurso descargable: Plantilla de consentimiento, un modelo orientativo que debes adaptar y validar con tu profesional jurídico.
Preguntas frecuentes
Dudas habituales.
¿Necesito siempre el consentimiento del paciente para guardar su historial?
No siempre. Para la atención sanitaria en sí puede existir otra base legal distinta del consentimiento, y para otros usos, como enviar recordatorios comerciales o publicar un testimonio, sí suele hacer falta. Conviene que un profesional jurídico o tu delegado de protección de datos confirme qué base aplica a cada tratamiento.
¿Vale un consentimiento por WhatsApp o por correo?
Puede ser válido si queda claro quién consiente, a qué y cuándo, y si puedes demostrarlo después. Lo importante es que la información previa sea completa y que el registro se conserve de forma ordenada.
¿Qué pasa si un paciente retira su consentimiento?
Debe poder retirarlo con la misma facilidad con la que lo dio. A partir de ese momento hay que dejar de tratar los datos para esa finalidad, salvo que otra base legal, como una obligación de conservar la documentación clínica, justifique mantenerlos. Cada caso conviene validarlo con un profesional jurídico.
¿Un autónomo sin empleados tiene que llevar un registro de actividades de tratamiento?
Si tratas datos de salud de forma habitual, el artículo 30 del RGPD exige llevar un registro de actividades de tratamiento, aunque tengas pocos empleados. Confírmalo con tu delegado de protección de datos o con un asesor jurídico. Lo prudente es consultarlo con un profesional jurídico o con tu delegado de protección de datos antes de decidir que no lo necesitas.
¿Cosorro garantiza que mi consulta cumpla el RGPD?
No. Cosorro es una consultoría digital que ayuda a ordenar y automatizar los procesos no clínicos, con herramientas preparadas para datos de salud. La valoración legal de tu caso corresponde a un profesional jurídico o a tu delegado de protección de datos.
Siguiente paso
Menos papeleo, más horas libres.
En Cosorro ordenamos la parte digital no clínica de tu consulta con herramientas preparadas para datos de salud. Conoce nuestro servicio de cumplimiento, cobros y facturas, consulta los precios orientativos o empieza con el diagnóstico. La parte legal la valida siempre tu profesional jurídico.