RGPD para Healthtech: Datos de Salud, Art. 9 y DPIA

Las bases jurídicas más habituales en healthtech son: consentimiento explícito (Art. 9(2)(a)) para apps de salud y investigación; tratamiento necesario para fines de medicina preventiva, diagnóstico médico o prestación de asistencia sanitaria (Art. 9(2)(h)) para centros sanitarios y profesionales; y razones de interés público en el ámbito de la salud pública (Art. 9(2)(i)) para autoridades sanitarias. La elección depende del contexto: asistencia sanitaria directa, investigación, salud pública.

La DPIA (Art. 35 RGPD) es obligatoria para tratamientos de alto riesgo, incluyendo el tratamiento a gran escala de categorías especiales de datos (salud, biometría). En healthtech, casi cualquier tratamiento de datos de salud a gran escala requiere DPIA. Debe documentar el análisis de riesgos, las medidas de mitigación y la valoración residual. Es un requisito previo al inicio del tratamiento.

La LOPDGDD (Arts. 7-11) regula adicionalmente los datos de salud en España. Establece requisitos específicos para el tratamiento sanitario, la investigación, la historia clínica electrónica, los datos genéticos y los datos biológicos. Por ejemplo, el Art. 11 regula el tratamiento de datos de salud para fines de investigación científica, exigiendo anonimización o seudonimización cuando sea posible.

El Art. 32 RGPD exige medidas técnicas y organizativas apropiadas al riesgo. Para datos de salud, las medidas deben ser reforzadas: cifrado de datos en reposo y en tránsito, control de acceso estricto (acceso basado en roles, autenticación multifactor), registro de accesos, resiliencia, copias de seguridad, auditorías periódicas, y procedimientos de respuesta a incidentes. El ENS (Esquema Nacional de Seguridad) establece requisitos adicionales para sistemas sanitarios públicos.

La AEPD ha sancionado a Marina Salud, S.A. con €500.000 (2025) por encargo de subencargado ilícito bajo el Art. 28 RGPD. Aunque no es un caso de datos de salud específicamente, ilustra la supervisión activa de la AEPD en el sector sanitario. La AEPD también ha publicado guías para profesionales del sector sanitario y para pacientes y usuarios, y una nota técnica sobre apps móviles de salud.

Si tu healthtech utiliza proveedores cloud fuera del EEE, debe cumplir las normas de transferencias (Arts. 44-49): decisión de adecuación (Marco UE-EE.UU. 2023), Cláusulas Contractuales Tipo (CCT 2021), Normas Corporativas Vinculantes (BCR), o códigos de conducta/certificaciones. Además, debe realizarse una TIA (Evaluación de Impacto de la Transferencia) con especial rigor para datos de salud, considerando las leyes de vigilancia del país tercero y las garantías complementarias.

Los pacientes tienen los mismos derechos que cualquier interesado (Arts. 15-21): acceso, rectificación, supresión, limitación, portabilidad, oposición. Especialmente relevante es el derecho de acceso a la historia clínica, regulado adicionalmente por la normativa sanitaria. El derecho de supresión tiene límites: los datos de la historia clínica deben conservarse según los plazos legales (generalmente 5-10 años según la normativa autonómica).

La AEPD supervisa el RGPD. Las autoridades sanitarias autonómicas supervisan la historia clínica y los centros sanitarios. La AEMPS supervisa los dispositivos médicos. En casos de IA médica, pueden intervenir la AESIA (AI Act), la AEMPS (MDR/IVDR) y la AEPD (RGPD). La AEPD ha publicado guías específicas para profesionales del sector sanitario, pacientes y apps móviles de salud.