RGPD en sanidad: una destrucción indebida de datos acaba en sanción millonaria

La Agencia Española de Protección de Datos (AEPD) impuso una multa de 1,2 millones de euros a IDCQ Hospitales y Sanidad, parte del grupo Quirónsalud, por destruir un CD con información médica de una paciente sin garantizar su custodia adecuada. Este expediente sancionador se ha convertido en un caso clave para demostrar cómo el manejo incorrecto de datos de salud, considerados especialmente sensibles, puede acarrear consecuencias económicas y legales muy severas bajo el Reglamento General de Protección de Datos (RGPD).

Los hechos ocurrieron cuando una paciente entregó ese CD con resonancias magnéticas antiguas para compararlas con una nueva prueba, pero al volver meses después para recuperarlo el hospital ya no lo tenía. El centro aplicó un protocolo interno de destrucción automática de soportes físicos no reclamados, sin valorar el contenido ni su valor documental.

La AEPD consideró que esto implicó varias vulneraciones del RGPD: el artículo 9 relativo a la protección de datos de salud, el artículo 6 sobre licitud del tratamiento y, especialmente, el artículo 25 sobre privacidad desde el diseño y responsabilidad proactiva, al no existir un protocolo claro para gestionar datos externos aportados por pacientes. La mayor parte de la sanción se fundamentó en ese último incumplimiento.

El artículo destaca que este caso sienta un precedente importante, ya que la documentación clínica debe custodiarse adecuadamente durante un tiempo mínimo (al menos cinco años según la normativa aplicable) y cualquier organización que reciba datos de pacientes se convierte en responsable de su protección. Ignorar estos requisitos no solo pone en riesgo a los afectados, sino que también puede suponer sanciones económicas, legales y reputacionales graves para las instituciones sanitarias.

RGPD en sanidad

Ir al sitio web