La historia clínica digital de tu paciente es un dato sensible
La historia clínica digital de tu paciente es un dato sensible: obligaciones de tu clínica bajo la LOPDP
Cuando un paciente abre la boca en tu sillón dental, confía en ti no solo con su salud, sino con información extremadamente personal. Los diagnósticos, tratamientos, medicamentos, condiciones sistémicas, imágenes radiográficas y el historial completo de sus consultas forman parte de su historia clínica: un conjunto de datos de salud que la Ley Orgánica de Protección de Datos Personales (LOPDP) clasifica como datos sensibles, los de mayor nivel de protección en el ordenamiento jurídico ecuatoriano.
No cumplir con la LOPDP en el manejo de estas historias clínicas expone a tu clínica a sanciones de la Superintendencia de Protección de Datos Personales (SPDP), cuyas multas se calculan como porcentaje del volumen de negocio anual.
¿Por qué los datos de salud son "sensibles"?
Los artículos 30, 31 y 32 de la LOPDP establecen que los datos relativos a la salud, incluyendo el historial médico, diagnósticos, tratamientos y cualquier información que revele el estado de salud presente o futuro de una persona, constituyen una categoría especial de datos que requiere protección reforzada.
Esto significa que las obligaciones que aplican a estos datos son más estrictas que para datos ordinarios (nombre, dirección, teléfono). No basta con guardarlos: hay que tratarlos bajo reglas específicas.
Qué información de la historia clínica está protegida
| Información | Categoría LOPDP |
|---|---|
| Diagnósticos odontológicos y sistémicos | Dato sensible (salud) |
| Tratamientos realizados y planificados | Dato sensible (salud) |
| Medicamentos prescritos y alergias | Dato sensible (salud) |
| Radiografías e imágenes clínicas | Dato sensible (salud) |
| Odontograma y periodontograma | Dato sensible (salud) |
| Antecedentes médicos familiares | Dato sensible (salud) |
| Nombre, cédula, fecha de nacimiento del paciente | Dato personal ordinario |
| Teléfono, correo, dirección | Dato personal ordinario |
Los siete principios que gobiernan el tratamiento
1. Licitud
El tratamiento debe tener base legal válida: consentimiento del paciente o habilitación normativa de salud.2. Finalidad
Los datos solo pueden usarse para el propósito por el que se recopilaron: atención clínica. No para marketing sin consentimiento adicional.3. Proporcionalidad
Solo recopilar los datos necesarios para la atención. No solicitar información irrelevante para el tratamiento dental.4. Calidad
Mantener los datos actualizados y exactos. Una historia clínica con información desactualizada puede generar responsabilidad clínica y legal.5. Seguridad
Implementar medidas técnicas y organizativas para proteger los datos de accesos no autorizados, pérdida o alteración.6. Conservación limitada
Conservar los datos el tiempo necesario. Para historias clínicas: 15 años desde la última atención, según normativa de salud.Bases legales para tratar datos de salud en una clínica dental
La LOPDP exige que todo tratamiento de datos tenga una base legal. Para clínicas dentales, las bases aplicables son:
- Consentimiento del titular: el paciente autoriza explícitamente el tratamiento de sus datos para su atención. Debe ser libre, informado y documentado.
- Obligación legal: la normativa MSP/ACESS obliga a mantener historia clínica. Esta obligación legal habilita el tratamiento sin necesidad de consentimiento adicional para ese fin específico.
- Interés vital: en situaciones de emergencia donde el paciente no puede dar consentimiento.
No necesitas obtener consentimiento explícito para mantener la historia clínica, porque la ley te obliga a tenerla. Pero sí necesitas consentimiento para cualquier uso adicional de esos datos: envío de promociones, compartirlos con terceros, usarlos en investigación, entre otros.
Obligaciones concretas para tu clínica
- Informar al paciente sobre el tratamiento de sus datos mediante una política de privacidad clara y accesible
- Definir claramente quiénes en la clínica pueden acceder a cada parte de la historia clínica
- Controlar el acceso mediante credenciales individuales con registro de auditoría
- Prohibir contractualmente a los empleados divulgar información clínica de pacientes
- Establecer procedimientos para atender solicitudes ARCO+ de los pacientes (acceso, rectificación, cancelación, oposición)
- Notificar a la SPDP en caso de brecha de seguridad que afecte datos de pacientes
- Si aplica, designar un Delegado de Protección de Datos (ver artículo específico)
Qué no puedes hacer con la historia clínica de tus pacientes
- Compartirla con terceros sin base legal (aseguradoras, empleadores) sin consentimiento del paciente
- Usarla para enviar publicidad o promociones sin consentimiento específico para ese fin
- Publicar casos clínicos con identificación del paciente sin su autorización expresa
- Transferirla a otro profesional o clínica sin el consentimiento del paciente o sin base legal
- Eliminarla antes de cumplir el plazo de conservación de 15 años
Preguntas frecuentes
¿Un paciente puede pedir que se eliminen sus datos de la clínica?
Puede solicitarlo, pero la clínica tiene el derecho —y la obligación legal— de mantener la historia clínica por 15 años desde la última atención. El derecho de supresión no puede ejercerse cuando existe una obligación legal de conservación. Sí puedes anonimizar datos que no sean estrictamente necesarios fuera del expediente clínico.
¿Qué pasa si un empleado accede a la historia clínica de un paciente sin tener autorización?
Es una brecha de seguridad interna que puede generar responsabilidad de la clínica ante la SPDP. Los sistemas de acceso basado en roles y los registros de auditoría son esenciales para detectar y documentar estos incidentes.
¿Las imágenes (radiografías, fotografías clínicas) también son datos protegidos?
Sí. Las imágenes clínicas forman parte de la historia de salud del paciente y tienen el mismo nivel de protección que el resto del expediente. Además, si permiten identificar a la persona, aplican también reglas sobre datos biométricos en ciertos contextos.
Dentexis gestiona el acceso a historias clínicas por roles, con registro de auditoría completo, control de permisos por módulo y cumplimiento de los requisitos de la LOPDP para establecimientos de salud.