¿Tu clínica necesita un Delegado de Protección de Datos?
¿Tu clínica necesita un Delegado de Protección de Datos? Lo que exige la LOPDP a establecimientos de salud
El Reglamento del Delegado de Protección de Datos Personales, derivado de la LOPDP, establece que determinadas organizaciones deben designar obligatoriamente a esta figura. Los actores del sistema de salud que mantienen historias clínicas están expresamente incluidos en esa lista —con una excepción relevante para profesionales que ejercen en forma individual.
Si tu clínica dental opera como sociedad, tiene varios odontólogos, o atiende un volumen significativo de pacientes, la pregunta ya no es si deberías tener un Delegado de Protección de Datos: es si ya lo tienes registrado.
¿Quién está obligado a designar un DPD?
El Reglamento del Delegado de Protección de Datos identifica como obligados a:
- Actores del sistema de salud obligados a mantener historias clínicas (salvo profesionales de la salud que ejerzan de forma individual)
- Establecimientos del sector farmacéutico
- Entidades financieras y aseguradoras
- Entidades que traten datos de menores de edad como parte de su actividad
- Instituciones educativas
¿Aplica a tu clínica dental?
La clave está en la distinción "actor del sistema de salud" vs "profesional que ejerce individualmente":
Obligados DPD obligatorio
- Clínica dental constituida como sociedad (S.A., Cía. Ltda.)
- Centro odontológico con varios profesionales bajo una razón social
- Clínica que tiene empleados y procesa historias clínicas de forma sistemática
Posiblemente exentos Evaluar caso a caso
- Odontólogo que ejerce solo, sin empleados, en su consultorio propio
- Profesional independiente con RUC personal y sin estructura societaria
¿Qué hace un Delegado de Protección de Datos?
El DPD no es simplemente un nombre en un registro. Sus funciones son concretas y continuas:
- Asesorar a la clínica sobre sus obligaciones bajo la LOPDP
- Supervisar el cumplimiento de las políticas de protección de datos
- Ser el punto de contacto con la SPDP
- Gestionar las solicitudes ARCO+ de los pacientes
- Coordinar la respuesta ante brechas de seguridad
- Participar en la evaluación de impacto sobre protección de datos cuando se implementen nuevos sistemas o procesos
¿El DPD debe ser un empleado de la clínica?
No necesariamente. El Reglamento permite que el DPD sea:
- Un empleado interno designado para la función
- Un profesional externo (abogado, consultor de privacidad) contratado para el rol
- Un DPD compartido entre varias organizaciones del mismo grupo o sector
Para una clínica dental mediana, la figura del DPD externo o el DPD compartido con otras clínicas puede ser la opción más eficiente en términos de costo.
Requisitos del DPD
| Requisito | Detalle |
|---|---|
| Conocimientos | Derecho de protección de datos, normativa LOPDP y resoluciones SPDP vigentes |
| Independencia | No debe tener conflicto de interés con sus funciones de supervisión |
| Recursos | La clínica debe proporcionarle tiempo y medios para ejercer sus funciones |
| Registro | Debe registrarse en el portal de la SPDP (spdp.gob.ec) |
| Confidencialidad | Sujeto a secreto profesional respecto a la información que maneja |
Cómo registrar al Delegado de Protección de Datos ante la Superintendencia de Protección de Datos Personales
- Ingresa al portal de la Superintendencia de Protección de Datos Personales: spdp.gob.ec
- Crea una cuenta de usuario como responsable del tratamiento
- Completa el formulario de designación del DPD con sus datos y funciones
- Adjunta la documentación requerida (designación interna o contrato si es externo)
- Conserva el comprobante de registro
Preguntas frecuentes
¿El DPD puede ser el mismo gerente o director médico de la clínica?
Depende del tamaño y estructura. El requisito de independencia implica que el DPD no puede supervisarse a sí mismo. Un gerente o director puede asumir el rol si no tiene conflicto de interés en la supervisión de las prácticas de datos de la clínica. Para clínicas pequeñas, un DPD externo es más seguro.
¿Qué pasa si la clínica cambia de DPD?
Debe notificarse a la SPDP y actualizarse el registro. El cambio debe documentarse internamente con la fecha de inicio y fin del rol de cada persona.
¿Existe multa específica por no tener DPD?
La LOPDP establece sanciones por incumplimiento de obligaciones del responsable del tratamiento. No designar un DPD cuando es obligatorio es una infracción formal que puede derivar en multa administrativa calculada sobre el volumen de negocio.
Dentexis facilita el trabajo del DPD con registros de auditoría completos, control de accesos por rol, trazabilidad de consultas a datos de pacientes y herramientas para responder solicitudes ARCO+.