Protección de datos de los pacientes: cláusula y permisos aparte
Para atender a un paciente, la clínica no necesita su consentimiento para usar sus datos de salud: la ley lo permite. Lo que sí tiene que hacer es informarle. El consentimiento se pide solo para lo demás, como enviarle publicidad o publicar sus fotos de antes y después. Este modelo hace las dos cosas, en una hoja distinta del consentimiento informado.
En 30 segundos
- Para atender al paciente y llevar su historia clínica, la clínica no necesita su consentimiento para tratar sus datos de salud, pero sí tiene que informarle.
- La AEPD recomienda dar esa información en una hoja separada del consentimiento informado del tratamiento.
- La publicidad y las fotos de antes y después sí necesitan permiso, aparte, uno por uno y revocable.
Qué debe incluir
- Quién trata los datos: la clínica o el profesional, con sus datos de contacto.
- El delegado de protección de datos, si la clínica tiene que tenerlo.
- Para qué se usan los datos y por qué la clínica puede usarlos.
- Quién más los recibe: laboratorios, aseguradoras o la administración sanitaria, cuando proceda.
- Cuánto tiempo se guarda la historia clínica.
- Los derechos del paciente y que puede reclamar ante la AEPD.
- Los permisos voluntarios, aparte y uno por uno.
Datos oficiales
puede la clínica tratar los datos de salud para atender al paciente; lo que sí debe es informarle.
recomienda la AEPD: una para el consentimiento sanitario y otra para la información de protección de datos.
como mínimo desde el alta de cada proceso asistencial hay que conservar la documentación clínica.
Para atenderle, la clínica informa
Los datos de salud son una categoría especial: en principio, está prohibido tratarlos. El reglamento europeo prevé una excepción para la asistencia sanitaria:
«h) el tratamiento es necesario para fines de medicina preventiva o laboral, evaluación de la capacidad laboral del trabajador, diagnóstico médico, prestación de asistencia o tratamiento de tipo sanitario o social, o gestión de los sistemas y servicios de asistencia sanitaria y social, sobre la base del Derecho de la Unión o de los Estados miembros o en virtud de un contrato con un profesional sanitario y sin perjuicio de las condiciones y garantías contempladas en el apartado 3;»
Reglamento (UE) 2016/679, artículo 9.2.h (excepción a la prohibición de tratar datos de salud) · Ver en la fuente oficial
En España, esos tratamientos tienen que apoyarse en una ley. La LOPDGDD enumera cuáles, y entre ellas incluye la ley del paciente:
«Se encuentran amparados en las letras g), h), i) y j) del artículo 9.2 del Reglamento (UE) 2016/679 los tratamientos de datos relacionados con la salud y de datos genéticos que estén regulados en las siguientes leyes y sus disposiciones de desarrollo: […] c) La Ley 41/2002, de 14 de noviembre, básica reguladora de la autonomía del paciente y de derechos y obligaciones en materia de información y documentación clínica.»
Ley Orgánica 3/2018, disposición adicional decimoséptima, apartado 1 · Ver en la fuente oficial
Así que para la consulta, el diagnóstico, el tratamiento y la historia clínica no pides «autorizo el tratamiento de mis datos». Informas. La AEPD lo resume así:
«En los casos que se acaban de señalar pueden tratarse los datos de salud sin necesidad de consentimiento del interesado. Aunque sí será necesario informarle de determinados aspectos del tratamiento de sus datos en cumplimiento del deber de información previsto en el Reglamento General de Protección de Datos.»
AEPD, preguntas frecuentes sobre salud, profesionales sanitarios · Ver en la fuente oficial
No es el consentimiento informado
El consentimiento informado autoriza un tratamiento sanitario y lo regula la Ley 41/2002. La cláusula de protección de datos explica qué haces con los datos. Son dos cosas distintas, y la AEPD aconseja dar cada cosa en su hoja:
«Si se facilitase esa información por escrito, es recomendable que vayan separadas la hoja del consentimiento sanitario dirigida al paciente de la hoja de información referida al tratamiento de sus datos personales.»
AEPD, «Guía para profesionales del sector sanitario», legitimación para el tratamiento de los datos · Ver en la fuente oficial
Si necesitas el consentimiento del tratamiento, tienes la guía de consentimiento informado digital y los modelos de dental, fisioterapia, medicina estética y psicología.
Cuánto tiempo se guardan los datos
La historia clínica no se borra cuando el paciente se va. La ley del paciente dice cuánto tiempo hay que guardarla:
«Los centros sanitarios tienen la obligación de conservar la documentación clínica en condiciones que garanticen su correcto mantenimiento y seguridad, aunque no necesariamente en el soporte original, para la debida asistencia al paciente durante el tiempo adecuado a cada caso y, como mínimo, cinco años contados desde la fecha del alta de cada proceso asistencial.»
Ley 41/2002, artículo 17.1 · Ver en la fuente oficial
Revisa también las normas de tu comunidad autónoma, que pueden fijar plazos más largos.
El delegado de protección de datos
Muchas clínicas tienen que tener uno:
«Los centros sanitarios legalmente obligados al mantenimiento de las historias clínicas de los pacientes. Se exceptúan los profesionales de la salud que, aun estando legalmente obligados al mantenimiento de las historias clínicas de los pacientes, ejerzan su actividad a título individual.»
Ley Orgánica 3/2018, artículo 34.1.l (entidades que deben designar delegado de protección de datos) · Ver en la fuente oficial
Si trabajas por tu cuenta, sin formar parte de un centro, no estás obligado. Si lo tienes, pon su contacto en la cláusula.
Lo que sí lleva permiso
Publicidad. Enviar promociones o novedades por correo, WhatsApp o SMS no es parte de la asistencia. La ley prohíbe enviarlas por medios electrónicos sin que el paciente lo haya pedido o autorizado:
«Queda prohibido el envío de comunicaciones publicitarias o promocionales por correo electrónico u otro medio de comunicación electrónica equivalente que previamente no hubieran sido solicitadas o expresamente autorizadas por los destinatarios de las mismas.»
Ley 34/2002 (LSSI), artículo 21.1 · Ver en la fuente oficial
La AEPD admite otras vías en algunos casos, como el interés legítimo si el paciente fue informado y puede oponerse. Lo más claro es una casilla.
Fotos de antes y después. Muestran el resultado de un tratamiento, así que trátalas como datos de salud. Para publicarlas en la web o en redes, el reglamento pide el consentimiento explícito del paciente:
«a) el interesado dio su consentimiento explícito para el tratamiento de dichos datos personales con uno o más de los fines especificados, excepto cuando el Derecho de la Unión o de los Estados miembros establezca que la prohibición mencionada en el apartado 1 no puede ser levantada por el interesado;»
Reglamento (UE) 2016/679, artículo 9.2.a · Ver en la fuente oficial
Y como en cualquier permiso, separado del resto y fácil de retirar:
«Si el consentimiento del interesado se da en el contexto de una declaración escrita que también se refiera a otros asuntos, la solicitud de consentimiento se presentará de tal forma que se distinga claramente de los demás asuntos, de forma inteligible y de fácil acceso y utilizando un lenguaje claro y sencillo.»
Reglamento (UE) 2016/679, artículo 7.2 · Ver en la fuente oficial
«El interesado tendrá derecho a retirar su consentimiento en cualquier momento. La retirada del consentimiento no afectará a la licitud del tratamiento basada en el consentimiento previo a su retirada. Antes de dar su consentimiento, el interesado será informado de ello. Será tan fácil retirar el consentimiento como darlo.»
Reglamento (UE) 2016/679, artículo 7.3 · Ver en la fuente oficial
Las fotos que haces para la historia clínica, para seguir el tratamiento, no necesitan este permiso. Lo necesitan si las vas a publicar o a enseñar fuera de la consulta.
Modelo de cláusula y permisos
Modelo orientativo: adáptalo a tu tratamiento y revísalo con tu colegio profesional o tu asesor.
INFORMACIÓN SOBRE PROTECCIÓN DE DATOS PARA PACIENTES
Quién trata tus datos. ______________________ (nombre de la clínica o del profesional), NIF __________, dirección ______________________, teléfono __________, correo ______________________.
Delegado de protección de datos (si lo hay). ______________________, correo ______________________.
Para qué. Para atenderte: darte cita y recordártela, diagnosticarte, tratarte, llevar tu historia clínica y cobrar nuestros servicios.
Por qué podemos usarlos. Para atenderte no necesitamos tu consentimiento: lo permite el artículo 9.2.h del Reglamento (UE) 2016/679, con la Ley 41/2002, de autonomía del paciente. La facturación, por las obligaciones fiscales. Para todo lo demás, solo con tu permiso, en las casillas de abajo.
¿Es obligatorio darlos? Sí, los necesarios para atenderte con seguridad. Sin ellos no podemos prestarte la asistencia.
Quién más los recibe. Los profesionales de la clínica que te atienden, con deber de secreto. Los laboratorios o centros a los que te derivemos, solo lo necesario. Tu aseguradora, si la consulta la paga ella. La administración sanitaria, cuando la ley lo exige. Las empresas que nos dan servicio, como el programa de historia clínica, solo por cuenta nuestra: ______________________.
Fuera de la Unión Europea. ☐ No enviamos datos fuera de la UE. ☐ Sí, a ______________, con estas garantías: ______________.
Cuánto tiempo. La historia clínica, el tiempo adecuado a cada caso y, como mínimo, cinco años desde el alta de cada proceso, o lo que fijen las normas de nuestra comunidad autónoma. Los datos de facturación, lo que exijan las leyes fiscales. Los de los permisos de abajo, hasta que los retires.
Tus derechos. Puedes pedir el acceso a tus datos y a tu historia clínica, la rectificación, la supresión, la limitación o la portabilidad, u oponerte a su uso, escribiendo a ______________________. Si das un permiso, puedes retirarlo cuando quieras, sin que afecte a lo hecho antes. Y puedes reclamar ante la Agencia Española de Protección de Datos (www.aepd.es).
PERMISOS VOLUNTARIOS
Marca solo lo que quieras. Si no marcas nada, te atendemos igual. Puedes cambiar de opinión cuando quieras escribiendo a ______________________.
☐ Sí ☐ No: enviarme información y promociones de la clínica por ☐ correo ☐ WhatsApp ☐ SMS.
☐ Sí ☐ No: publicar fotos de antes y después de mi tratamiento, sin que se me reconozca la cara, en ☐ la web ☐ las redes sociales de la clínica.
☐ Sí ☐ No: publicarlas aunque se me reconozca.
☐ Sí ☐ No: usar mis fotos o mi caso, sin mi nombre, en formación y congresos para profesionales.
☐ Sí ☐ No: publicar mi opinión sobre la clínica con mi nombre de pila.
D./Dña. ______________________, con DNI/NIE __________. Si firma un representante: D./Dña. ______________________, con DNI/NIE __________, como ☐ padre ☐ madre ☐ tutor/a ☐ otro: __________.
Declaro que he recibido esta información y marco arriba los permisos que doy.
En ______________, a ____ de __________ de ______.
Firma del paciente o de su representante:
Firmarlo gratis en MultiDocs⬇ Descargar el modelo en WordAñade el logo, tus proveedores y los datos de tu clínica.
Si el paciente es menor de 14 años, los permisos voluntarios los dan sus padres o tutores. Desde los 14, puede darlos él mismo.
Cómo la firma el paciente
- Rellena el modelo con la información de tu tratamiento y guárdalo como PDF. Súbelo en Firmar gratis.
- En «¿Quién firma?», elige «Otras personas», o «Otras personas y yo» si también firmas tú. Marca dónde firma el paciente.
- Con «+ Añadir dato», pide «Nombre y apellidos», «DNI» y una «Casilla para aceptar». Si quieres, añade «Foto del DNI»: es opcional y solo te llega a ti.
- Envíaselo por correo, WhatsApp o SMS antes de la cita. Si está en la consulta, pulsa «Copiar enlace», ábrelo en la tablet y firma allí con el dedo.
- Te llega el PDF firmado con un justificante de la fecha y la hora. Guárdalo en su historia clínica o en su expediente.
Si el paciente viene a la consulta sin haberla firmado, puede firmarla allí mismo: te lo contamos en cómo firmar el consentimiento en una tablet en la clínica.
¿Dudas sobre la ley, los menores o cuánto guardarlo? Lo explicamos en la guía de consentimiento informado digital.
Preguntas frecuentes
¿Necesita la clínica el consentimiento del paciente para tratar sus datos de salud?
No para atenderle: el RGPD (art. 9.2.h) y la Ley 41/2002 lo permiten. Sí tiene que informarle de quién trata los datos, para qué y cómo ejercer sus derechos.
¿Puedo poner la cláusula en el mismo papel que el consentimiento informado?
La AEPD recomienda que vayan en hojas separadas: una para el consentimiento sanitario y otra para la información de protección de datos.
¿Hace falta permiso para publicar fotos de antes y después?
Sí. Muestran el resultado de un tratamiento: pide un permiso explícito, aparte y revocable, para cada sitio donde las publiques.
¿Cuánto tiempo se guardan los datos del paciente?
La historia clínica, como mínimo cinco años desde el alta de cada proceso (Ley 41/2002, art. 17.1), o más si lo fijan las normas de tu comunidad autónoma.
Fuentes oficiales
- BOE (DOUE): Reglamento (UE) 2016/679 (RGPD), artículos 7, 9 y 13
- BOE: Ley Orgánica 3/2018 (LOPDGDD), artículo 9
- BOE: Ley Orgánica 3/2018 (LOPDGDD), disposición adicional decimoséptima
- BOE: Ley Orgánica 3/2018 (LOPDGDD), artículo 34.1.l
- BOE: Ley 41/2002, básica reguladora de la autonomía del paciente, artículo 17
- BOE: Ley 34/2002, de servicios de la sociedad de la información (LSSI), artículo 21
- AEPD, preguntas frecuentes: «¿Es necesario que el médico o el centro sanitario solicite el consentimiento a los pacientes para tratar sus datos personales?»
- Agencia Española de Protección de Datos: «Guía para profesionales del sector sanitario» (junio de 2022, revisada en octubre de 2024)
Hemos consultado cada fuente el 6 de noviembre de 2026. Si ves un dato desactualizado, escríbenos a info@multidocs.es.