RGPD cuando un tercero reserva las citas de sus pacientes: ¿quién es el responsable del tratamiento?
Quien decide por qué y cómo se usan los datos de los pacientes es el responsable del tratamiento, y una empresa que los maneja para la clínica es un encargado que necesita un contrato escrito.
¿Una solicitud de cita es un dato de salud?
Trátela como dato de salud: la definición del RGPD incluye la prestación de servicios de atención sanitaria (RGPD, artículo 4).
¿Quién es el responsable del tratamiento?
Quien determina los fines y los medios del tratamiento, lo llame como lo llame el contrato (Directrices 07/2020 del CEPD).
¿Qué debe decir el contrato?
Que el encargado (RGPD, artículo 28):
- usa los datos solo siguiendo sus instrucciones documentadas,
- obliga a su personal a la confidencialidad,
- protege los datos,
- recurre a otro encargado solo con su autorización escrita,
- suprime o devuelve los datos al final.
¿Y si no hay contrato?
Eso ya es una infracción, dice el CEPD.
¿Qué debe preguntar a una empresa de reservas?
- ¿Quién decide qué datos se recogen y cuánto tiempo se conservan?
- ¿Usan los datos de los pacientes para algo propio?
- ¿Qué otras empresas los manejan, y en qué países?
- ¿Qué ocurre con los datos cuando termina nuestro acuerdo?
- ¿Se presenta cada paciente a una clínica o a varias?
Esto no es asesoramiento jurídico.
¿Quiere citas con pacientes que acuden y cumplen sus criterios?
Compruebe si su clínica cumple los requisitos →Fuentes
- Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos), artículos 4 y 28. Texto adoptado el 27 de abril de 2016, consultado en legislation.gov.uk el 13 de octubre de 2026. legislation.gov.uk/eur/2016/679
- European Data Protection Board. Guidelines 07/2020 on the concepts of controller and processor in the GDPR, version 2.1. Adoptadas el 7 de julio de 2021, correcciones menores el 20 de septiembre de 2022. edpb.europa.eu