Protección de datos en la clínica

Última actualización: 19 de mayo de 2026

Las fotografías clínicas son datos personales de categoría especial: muestran a una persona identificable e informan sobre su estado de salud. Por eso están sujetas a una protección reforzada por normativa española y europea. Esta página resume el marco legal aplicable y cómo el diseño de PhotoFlux ayuda a tu clínica a cumplirlo.

⚠️ Esta página tiene carácter informativo. No sustituye al asesoramiento legal de un Delegado de Protección de Datos ni a la política de privacidad propia de tu clínica.

1. Marco normativo aplicable

En el ámbito sanitario, las imágenes de pacientes están protegidas simultáneamente por:

• Ley 41/2002, básica reguladora de la autonomía del paciente y de derechos y obligaciones en materia de información y documentación clínica.
• Reglamento General de Protección de Datos (Reglamento UE 2016/679, RGPD).
• Ley Orgánica 3/2018, de Protección de Datos Personales y Garantía de los Derechos Digitales (LOPDGDD).

De estas tres normas se derivan obligaciones de confidencialidad, integridad, disponibilidad y trazabilidad que el centro sanitario debe garantizar mediante medidas técnicas y organizativas adecuadas.

2. Cómo PhotoFlux preserva la confidencialidad

El flujo de captura está pensado para minimizar la exposición de los datos en cada paso:

1. El profesional captura la foto desde la app móvil.
2. La imagen no se almacena en la galería del teléfono.
3. La foto se transfiere automáticamente por la red local de la clínica al ordenador previamente emparejado.
4. Se guarda directamente en el disco de ese ordenador, dentro de la carpeta del paciente.
5. El archivo queda bajo el control exclusivo de la clínica.

En ningún punto del trayecto la fotografía pasa por servidores de PhotoFlux ni de terceros.

3. Sin nube, sin terceros, sin riesgos añadidos

Al no enviar las imágenes a ningún sistema externo, PhotoFlux elimina de raíz varias fuentes habituales de incumplimiento:

• Transferencias internacionales de datos (no hay envíos a EE. UU. ni a otros países).
• Dependencia de proveedores cloud ajenos al sector sanitario.
• Cesiones a terceros (encargados o subencargados de tratamiento).
• Riesgos asociados a brechas en servicios externos.

Esto reduce la superficie de exposición y simplifica el registro de actividades de tratamiento que tu clínica debe mantener según el art. 30 RGPD.

4. Ventajas frente al derecho de acceso del paciente

Cuando un paciente ejerce su derecho de acceso (art. 15 RGPD) puede solicitar:

• Copia de sus datos.
• Finalidades del tratamiento.
• Destinatarios o categorías de destinatarios.
• Plazos de conservación.
• Origen de los datos.
• Información sobre transferencias internacionales.

Con PhotoFlux:

• No existen destinatarios externos que enumerar.
• No hay transferencias internacionales que documentar.
• La información permanece íntegramente bajo control de la clínica, lo que acelera y simplifica la respuesta al paciente.

5. Riesgo económico de no proteger las imágenes

Las infracciones graves pueden ser sancionadas con:

• Hasta 20 millones de euros, o
• Hasta el 4 % de la facturación anual global.

Casos reales incluyen sanciones de:

• 10.000 € por publicar imágenes de pacientes sin consentimiento.
• Miles de euros adicionales en reclamaciones e indemnizaciones.

6. Lo que sigue siendo responsabilidad de tu clínica

PhotoFlux te quita los riesgos del móvil y de la nube, pero el ordenador donde se guardan las fotografías sigue siendo tuyo, y por tanto la responsabilidad última de su custodia recae en la clínica. Recomendamos como mínimo:

• Control de accesos físicos al equipo donde se almacenan las fotos.
• Contraseñas robustas y, cuando sea posible, autenticación con segundo factor.
• Cifrado del disco del ordenador (FileVault en macOS, BitLocker en Windows Pro).
• Copias de seguridad periódicas, preferiblemente cifradas.
• Antivirus y actualizaciones del sistema operativo al día.
• Registro de accesos cuando lo exija el análisis de riesgos.
• Consentimiento informado del paciente antes de capturar y tratar imágenes con fines clínicos.
• Política de privacidad propia del centro y, si procede, registro de actividades de tratamiento.

7. Documentación útil

• Guía de la AEPD para centros sanitarios
• Política de privacidad de PhotoFlux
• Condiciones de uso

Si necesitas una declaración de no transferencia de datos o documentación adicional para el responsable de protección de datos de tu clínica, escríbenos a contact@photoflux.org y te la enviamos.