privacidad de datos clínicos: preguntas sobre alojamiento y conservación
Por nexmin
Cuando eliges software para una consulta, «está en la nube» no explica qué ocurre con la información. Para comparar opciones, pide detalles verificables sobre la ubicación de cada servicio, los proveedores que intervienen y las reglas de conservación. La residencia de una base de datos tampoco describe necesariamente dónde se procesa el audio o dónde se presta soporte.
localiza cada parte del tratamiento
Haz un inventario de los datos que prevés guardar: agenda, datos de contacto, facturas, notas clínicas, audio y transcripciones. Pregunta qué proveedor recibe cada categoría, en qué región se aloja y si hay transferencias internacionales. Solicita la lista de subencargados y el acuerdo que describe las instrucciones, finalidades y medidas aplicables.
El RGPD reconoce los datos relativos a la salud como categoría especial y establece obligaciones para responsables y encargados. La ubicación europea puede ser relevante, pero no equivale por sí sola a cumplimiento. También importan el acceso, la finalidad, las medidas técnicas, las transferencias y el tiempo de conservación.
decide qué conservar
No todos los archivos tienen la misma utilidad. Una grabación puede servir para obtener una transcripción y después dejar de ser necesaria; una nota aprobada puede seguir un calendario distinto. Define para cada tipo de dato quién decide conservarlo, durante cuánto tiempo y cómo se elimina. Comprueba si existen copias de respaldo y cuánto tardan en desaparecer de ellas.
La eliminación no debe describirse como «olvido absoluto» sin verificar qué copias, obligaciones y registros quedan. Pregunta también cómo se responde a solicitudes de acceso, rectificación o supresión y qué información necesita el profesional para cumplir sus propias obligaciones.
interpreta el cifrado con precisión
Pregunta qué datos se cifran en tránsito y en reposo, quién gestiona las claves y qué perfiles pueden acceder a la información. «Cifrado» describe una medida, no una garantía total ni una certificación. Solicita políticas, controles de acceso y procedimientos de incidentes que puedas entender.
Antes de contratar, prueba la exportación con datos ficticios y confirma el formato, el alcance y el proceso de cierre de cuenta. Habla con tu asesoría o especialista en protección de datos si el tratamiento incluye audio clínico, menores u otras circunstancias complejas.
Fuentes: RGPD en EUR-Lex y orientación de la AEPD. La ubicación de un servidor es solo una parte de la evaluación de privacidad; contrasta también contratos, proveedores, finalidades y accesos.