Guías
Protección de datos para nutricionistas en España: guía práctica
Qué exige el RGPD y la LOPDGDD a una consulta de nutrición en España: base legal, datos de salud, medidas mínimas, encargados de tratamiento y qué hacer ante una brecha.
Los datos que manejas en consulta —patologías, medicación, medidas corporales— son categoría especial bajo el RGPD. Eso cambia la base legal que necesitas y el nivel de medidas exigible. Esta guía traduce esa exigencia a decisiones concretas de consulta.
En España conviven dos normas: el Reglamento General de Protección de Datos (Reglamento UE 2016/679, el RGPD) y la Ley Orgánica 3/2018 de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD), que lo desarrolla. La autoridad de control es la Agencia Española de Protección de Datos (AEPD).
Por qué tu consulta es un caso especial
El artículo 9 del RGPD prohíbe con carácter general tratar datos relativos a la salud, y luego abre excepciones. Todo lo que registras en una historia clínica nutricional —diagnósticos, medicación, alergias, composición corporal asociada a un estado de salud— entra en esa categoría. La consecuencia práctica es doble: necesitas una excepción del artículo 9 que ampare el tratamiento, y las medidas de seguridad que se te van a exigir son más altas que las de un negocio que solo maneja nombres y correos.
Qué base legal usar
Para la asistencia en sí, la vía habitual es la letra h) del artículo 9.2: tratamiento necesario para fines de medicina preventiva, diagnóstico médico o prestación de asistencia sanitaria. Esa base no depende del consentimiento y es más estable. El consentimiento sigue siendo necesario, y por separado, para todo lo que no es asistencia:
- Enviar comunicaciones comerciales o newsletters.
- Publicar fotografías de antes y después, aunque sea sin nombre.
- Usar el caso con fines docentes o de divulgación.
- Compartir datos con terceros que no participan en la asistencia.
La documentación que debes tener
| Documento | Para qué sirve | ¿Aplica a consulta individual? |
|---|---|---|
| Registro de actividades de tratamiento | Describe qué datos tratas, para qué y cuánto los conservas | Sí — la excepción por tamaño no cubre datos de salud |
| Cláusula informativa al paciente | Cumple los artículos 13 y 14: quién eres, para qué tratas y qué derechos tiene | Sí |
| Consentimientos separados | Ampara los usos que no son asistenciales | Sí, si haces marketing o divulgación |
| Contrato de encargado de tratamiento | Regula a los proveedores que acceden a datos por ti | Sí, con cada proveedor |
| Análisis de riesgos | Justifica las medidas de seguridad que has elegido | Sí |
| Evaluación de impacto (EIPD) | Obligatoria en tratamientos de alto riesgo a gran escala | Normalmente no en consulta individual |
Tus proveedores también cuentan
Cualquier servicio que trate datos de tus pacientes por cuenta tuya es un encargado de tratamiento y necesita un contrato del artículo 28: el software de gestión, la pasarela de pago, el correo electrónico, el almacenamiento en la nube, la herramienta de videollamada. No basta con que el proveedor sea grande y conocido; necesitas el contrato y saber dónde se alojan los datos.
- Pide a cada proveedor su acuerdo de encargado de tratamiento antes de contratar.
- Comprueba si hay transferencias internacionales y con qué garantías se amparan.
- Mantén la lista de proveedores actualizada: forma parte de tu registro de actividades.
- Al dejar de usar un proveedor, verifica que los datos se devuelven o se suprimen.
Medidas mínimas razonables en consulta
- Acceso individual con credenciales propias para cada persona que entre a los datos, nunca un usuario compartido.
- Segundo factor de autenticación en todo lo que contenga historias clínicas.
- Cifrado del disco en portátiles y del dispositivo móvil donde consultes datos.
- Copias de seguridad con restauración probada, no solo programada.
- Bloqueo automático de sesión en la sala de consulta.
- Revocación de accesos el mismo día en que alguien deja de colaborar contigo.
- Envío de documentación por canales que no dejen el archivo accesible por enlace público.
Si hay una brecha de seguridad
Ante una violación de seguridad que suponga riesgo para los derechos de los pacientes, hay 72 horas para notificar a la AEPD desde que tienes constancia. Si el riesgo es alto, además hay que comunicárselo a los afectados. Perder un portátil sin cifrar con historias clínicas dentro es una brecha notificable; el mismo portátil cifrado, en general, no.
Derechos de los pacientes
Acceso, rectificación, supresión, limitación, portabilidad y oposición. Tienes un mes para responder, prorrogable a tres si el caso es complejo. El punto que más dudas genera: el derecho de supresión no borra la obligación de conservar la historia clínica. Ante una petición de borrado, se suprime lo que no está sujeto a obligación legal y se bloquea el resto, explicándoselo al paciente por escrito.
Preguntas frecuentes
¿Necesito un delegado de protección de datos?
Una consulta individual normalmente no llega al supuesto de tratamiento a gran escala que obliga a designarlo. Un centro con varios profesionales y volumen alto debería analizarlo caso por caso.
¿Puedo usar WhatsApp con pacientes?
Se usa mucho y no está prohibido, pero conviene limitarlo a logística (recordatorios, confirmaciones) y no a contenido clínico, informar al paciente de que se usa ese canal y no dejar documentación sensible almacenada allí.
¿Y si trabajo desde casa?
Las obligaciones son idénticas. Cambia el análisis de riesgos: hay que considerar el acceso de terceros al domicilio, la red doméstica y el uso de dispositivos compartidos.
¿Sirve la plantilla de política de privacidad de mi web?
Cubre la web, no la consulta. El tratamiento de historias clínicas necesita su propia información y su propio registro de actividades.
Esta guía es informativa y no constituye asesoramiento legal. Consulta la normativa vigente en tu país y, si tienes dudas, con un profesional.
Próximo paso
Lleva la nutrición clínica al siguiente nivel con Almendra
Diseña planes, gestiona pacientes y automatiza seguimientos en una sola plataforma.