Respuesta corta: bajo el RGPD, los datos relativos a la salud son una categoría especial. El artículo 9.1 prohíbe su tratamiento; el artículo 9.2 enumera las excepciones que levantan la prohibición. Para un equipo de producto, cuatro son importantes: (a) consentimiento explícito de la persona, (h) prestación de asistencia sanitaria por o bajo la responsabilidad de un profesional obligado a secreto, (i) salud pública y (j) investigación científica con salvaguardias conforme al artículo 89. Se necesita una excepción del artículo 9 además de una base jurídica ordinaria del artículo 6, no en su lugar. El tratamiento de datos de salud a gran escala también activa una EIPD (artículo 35) y un delegado de protección de datos (artículo 37).
Qué se considera datos de salud
Según el RGPD, los datos relativos a la salud son datos personales relacionados con la salud física o mental de una persona, incluida la prestación de servicios de atención sanitaria, que revelan información sobre su estado de salud (artículo 4, apartado 15). Entendido de forma amplia, abarca resultados de laboratorio, diagnósticos, medicamentos, citas y partes de baja por enfermedad, así como cualquier dato del que se pueda inferir una condición de salud.
El artículo 4.15 define los datos relativos a la salud como datos personales relativos a la salud física o mental de una persona, incluida la prestación de servicios de atención sanitaria, que revelen información sobre su estado de salud. El considerando 35 y la jurisprudencia lo interpretan de forma amplia: un valor de laboratorio, un diagnóstico, un medicamento, una cita médica, un justificante de baja por enfermedad, un recuento de pasos combinado con una afección cardíaca, una búsqueda de un síntoma vinculada a una cuenta. Los datos que revelan el estado de salud son datos de salud aunque no se hayan recopilado como tales. El Tribunal de Justicia confirmó en 2022 (OT, C-184/20) que los datos de los que se puede inferir un hecho de categoría especial son en sí mismos datos de categoría especial.
Las excepciones importantes
Las excepciones del artículo 9, apartado 2, del RGPD que más importan para los productos de salud son el consentimiento explícito (a), utilizado por las aplicaciones de salud para consumidores y los registros controlados por el paciente; la prestación de asistencia sanitaria (h), utilizada por las clínicas y sus proveedores de software bajo secreto profesional; la salud pública (i); la investigación científica (j) con las salvaguardias del artículo 89; y el interés público sustancial (g), en el que se basa el EHDS para el uso secundario.
| Artículo 9.2 | Quién lo utiliza habitualmente | Condiciones |
|---|---|---|
| (a) Consentimiento explícito | Aplicaciones de salud para consumidores, servicios de bienestar, registros controlados por el paciente | Libremente otorgado, específico, informado, inequívoco, mediante un acto afirmativo claro, tan fácil de retirar como de dar; no agrupado con el servicio a menos que el servicio necesite los datos |
| (c) Intereses vitales | Acceso de emergencia | Solo cuando la persona sea física o legalmente incapaz de dar su consentimiento |
| (h) Prestación de asistencia sanitaria | Clínicas, hospitales, médicos de cabecera, sus proveedores de software como encargados del tratamiento | Necesario para el diagnóstico, la atención, el tratamiento o la gestión de sistemas de salud, en virtud del derecho de la UE o nacional o de un contrato con un profesional, y bajo secreto profesional (artículo 9.3) |
| (i) Salud pública | Autoridades de salud pública, farmacovigilancia | Basado en la ley que establece medidas adecuadas |
| (j) Investigación, estadísticas, archivo | Institutos de investigación, registros, plataformas que permiten la investigación | Basado en la ley, proporcionado, con salvaguardias del artículo 89 (seudonimización, minimización) |
| (g) Interés público esencial | Infraestructuras nacionales de datos de salud | Basado en la ley; el EHDS se basa en él para el uso secundario |
Un registro de salud personal controlado por el paciente se basa en (a): la persona decide qué almacenar y con quién compartir. Una clínica que escribe en ese registro se basa en (h) para su propio tratamiento, y el consentimiento del paciente rige el intercambio. Una plataforma que sirve a ambos es un encargado del tratamiento para la clínica (contrato del artículo 28) y un responsable del tratamiento para la cuenta que ofrece a la persona. Escribir esto, por operación de tratamiento, es el núcleo de los registros exigidos por el artículo 30.
Consentimiento que realmente vale
El consentimiento explícito para los datos de salud según el RGPD solo es válido cuando se trata de una declaración separada y específica por finalidad, dada mediante un acto afirmativo claro, informada sobre los destinatarios, registrada con la hora y el método, y revocable tan fácilmente como se dio. Las casillas premarcadas, las finalidades agrupadas y las aplicaciones inutilizables sin consentir el análisis han sido declaradas inválidas.
Los reguladores han invalidado el consentimiento para aplicaciones de salud por las mismas razones repetidamente: casillas premarcadas; consentimiento solicitado para todo a la vez; ninguna forma de usar la aplicación sin consentir el análisis; textos de consentimiento que no nombran a los destinatarios; ninguna vía de retirada. El consentimiento explícito válido para datos de salud significa una declaración separada y específica ("Acepto que Anpheros almacene los resultados de laboratorio que subo"), granular por propósito (almacenamiento; intercambio con una clínica nombrada; estadísticas anonimizadas), con un registro de cuándo y cómo se dio, y un interruptor que lo revoque con efecto inmediato sobre el tratamiento futuro. Los datos de los niños requieren al titular de la responsabilidad parental, con umbrales de edad establecidos por cada Estado miembro entre 13 y 16 años.
Secreto, artículo 9.3
El artículo 9, apartado 3, del RGPD establece la condición de secreto para la excepción de asistencia sanitaria: los datos de salud solo pueden ser tratados en virtud del artículo 9, apartado 2, letra h), por o bajo la responsabilidad de un profesional obligado por el secreto profesional en virtud del Derecho de la UE o nacional, o por otra persona sujeta a una obligación de secreto equivalente.
Los proveedores de software para clínicas cumplen esto mediante contrato: el acuerdo de encargado del tratamiento impone la confidencialidad al personal con acceso, y el acceso se registra.
Más allá del artículo 9
Una excepción del artículo 9, apartado 2, no es la única obligación del RGPD para los datos de salud. El tratamiento también necesita una base del artículo 6, normalmente una EIPD en virtud del artículo 35 y un delegado de protección de datos en virtud del artículo 37, límites a las decisiones automatizadas en virtud del artículo 22, una herramienta del capítulo V para transferencias fuera de la UE, notificación de brechas en 72 horas y leyes nacionales de registros sanitarios.
- El artículo 6 sigue aplicándose: contrato (6.1.b) para la prestación del servicio solicitado por la persona, consentimiento (6.1.a), obligación legal, tarea de interés público o intereses legítimos, que no pueden utilizarse para anular el artículo 9.
- Artículo 35 EIPD es obligatorio para el tratamiento a gran escala de categorías especiales; la mayoría de las aplicaciones de salud y todas las plataformas cumplen los requisitos. Véase EIPD para una aplicación de salud.
- Artículo 37 DPO es obligatorio para las actividades principales que consisten en el tratamiento a gran escala de categorías especiales.
- Artículo 22 limita las decisiones basadas únicamente en el tratamiento automatizado con efectos significativos, lo que incluye la clasificación o elegibilidad automatizadas; los datos de salud solo pueden utilizarse para ellas con consentimiento explícito o una base jurídica en la ley, con salvaguardias.
- Artículo 44 y siguientes: las transferencias fuera de la UE requieren adecuación (el Marco de Privacidad de Datos UE-EE. UU. para empresas certificadas de EE. UU.), cláusulas contractuales estándar con una evaluación de impacto de la transferencia u otra herramienta del capítulo V. El alojamiento en la UE evita la cuestión de los datos en reposo; el personal de soporte en el extranjero no.
- Artículo 33-34: notificación de violaciones a la autoridad en un plazo de 72 horas y a las personas cuando el riesgo sea alto, lo que para los datos de salud suele serlo.
- La legislación nacional añade capas: leyes de secreto médico, leyes de registros de salud, períodos de retención y, en algunos países, normas específicas para aplicaciones de salud (certificación de alojamiento HDS en Francia, marco DiGA en Alemania).
El EHDS encima
El Reglamento del Espacio Europeo de Datos Sanitarios (2025/327) no modifica el artículo 9. Añade derechos de acceso y portabilidad de los datos de salud en un formato común, obligaciones para los sistemas de HCE y un sistema de permisos para el uso secundario que se basa en el artículo 9.2.g), h), i) y j) con sus propias salvaguardias y una exclusión voluntaria. Véase Sus datos médicos en la UE.
En Anpheros
Anpheros trata datos de salud con el consentimiento explícito de la persona para el registro que mantiene (artículo 9.2.a), por propósito y revocable en la aplicación, y como encargado del tratamiento para las clínicas que escriben en ese registro bajo su propia base del artículo 9.2.h). Cada acceso por parte de una clínica requiere la aprobación de la persona para un alcance y una duración, y aparece en su registro de accesos. Véase Plataforma de consentimiento del paciente y ¿Quién ha visto mi historial médico?.
Esta página explica la normativa para equipos de producto e ingeniería. No constituye asesoramiento legal; los textos enlazados en Fuentes son la autoridad, y su delegado de protección de datos, organismo notificado o asesor decide para su caso. Última revisión: octubre de 2026.
Páginas relacionadas
- EIPD para una aplicación de salud: lista de verificación y plantilla
- Sus datos médicos en la UE: RGPD, EHDS y sus derechos
- HIPAA vs RGPD
- Desidentificación de datos de salud
- Plataforma de consentimiento del paciente
- Mapa de la normativa de datos de salud
- RGPD para desarrolladores (sitio para desarrolladores)
Fuentes
- Artículo 9 del RGPD, EUR-Lex
- Artículo 4.15 y Considerando 35 del RGPD, EUR-Lex
- EDPB: Directrices 05/2020 sobre el consentimiento
- TJUE, C-184/20 (OT c. Vyriausioji tarnybinės etikos komisija), 2022
- EDPB: Directrices sobre el tratamiento de datos de salud para la investigación en el contexto de la COVID-19 (03/2020)
- Reglamento (UE) 2025/327 (EHDS), EUR-Lex
Preguntas frecuentes
¿Es un recuento de pasos un dato de salud?
Por sí solo, generalmente no. Combinado con otros datos que revelan un estado de salud (un diagnóstico, un programa de rehabilitación, una afección cardíaca), o tratado para inferir uno, se convierte en datos relativos a la salud. Los reguladores se fijan en el propósito y la inferencia, no solo en el campo bruto.
¿Puedo utilizar intereses legítimos para datos de salud?
No. Los intereses legítimos son una base del artículo 6; los datos de salud necesitan además una excepción del artículo 9.2, y ninguna de ellas son intereses legítimos. El análisis de datos de salud requiere consentimiento o anonimización.
¿Necesita una clínica el consentimiento del paciente para mantener registros?
No según el RGPD: trata los datos en virtud del artículo 9.2.h) y la legislación sanitaria nacional. El consentimiento se vuelve relevante cuando los datos se utilizan para algo más (intercambio con una aplicación, investigación, marketing) o cuando la legislación nacional lo exige.
¿Cuánto tiempo se pueden conservar los datos de salud?
El RGPD dice que no más tiempo del necesario; las leyes nacionales de registros de salud establecen períodos de retención concretos para los registros clínicos (a menudo de 10 a 30 años). Un registro personal que la persona controla se conserva mientras ella lo desee y se elimina a petición.
Pruébalo gratis en el sandbox
Tu primera llamada FHIR en 5 minutos. Una API HL7 FHIR R4 con el consentimiento del paciente integrado: pruébala en el sandbox y luego conecta tu propia app o sistema de clínica.
Gratis · 30 pacientes sintéticos · sin tarjeta
Anpheros crea un historial médico que el paciente controla y puede compartir con cualquier clínica, en una plataforma HL7 FHIR R4, con sede en la UE. Estas guías te ayudan a entender y organizar tu salud; no reemplazan a tu médico.
Sobre Anpheros →