Soluciones · Clínicas dentales

CRM y automatización de procesos para clínicas dentales.

La información llega al colega y al sistema adecuados. La página actual pone la mecánica del servicio junto a las reglas que se aplican en clínicas dentales — sin pretender un proyecto que no hemos realizado.

Habla de tu escenario

Punto de partida

Cómo son las clínicas dentales antes de cualquier software

El teléfono suena mientras alguien sostiene el instrumento en la mano. En un pequeño consultorio, la persona que responde suele ser la misma que esteriliza, cobra y lleva al paciente al sillón. La llamada perdida no deja rastro en ningún sitio: no existe una línea en un sistema que diga que alguien llamó a las 14:20 y no fue atendido. El paciente llama a otro consultorio. No es un problema de amabilidad, es un problema de arquitectura — no existe un lugar donde la solicitud pueda esperar.

El dossier del paciente no está en un solo lugar, aunque todo el mundo hable de él en singular. Existe la ficha clínica propiamente dicha, llevada por el médico en papel o en un programa de consultorio. Existe la agenda de citas, muchas veces en un servicio de reservas en línea, con el nombre, el teléfono y la denominación del procedimiento. Y existe el hilo de mensajería en el que el paciente envió una foto del diente y describió desde cuándo le duele. El tercero es el que nadie declara como tratamiento, aunque contiene exactamente los mismos datos que el primero.

Entre lo cubierto por el seguro obligatorio y lo que se paga de su bolsillo pasa una línea que la recepción está obligada a explicar por teléfono, decenas de veces al día. La respuesta depende del estado de asegurado del paciente y del servicio exacto, no de su categoría general. Una lista de precios publicada sin esa distinción no ahorra ninguna llamada — la reproduce, porque plantea exactamente la pregunta a la que no responde.

La recepción no es el médico, y ese límite es jurídico, no de cortesía. La persona que responde conoce el horario, la dirección, la lista de servicios y quién está libre el jueves a las 16:00. No sabe ni tiene derecho a decir si el diente debe extraerse. Todo sistema construido para la recepción hereda ese límite: puede decir cuándo hay hueco, no puede decir qué tiene el paciente. Un sistema que cruza la línea no se vuelve más útil, se vuelve otra cosa — un tratamiento sin base legal.

La odontología funciona con imágenes. Ortopantomografías, radiografías retroalveolares, fotografías intraorales, comparaciones antes–después. Las imágenes circulan por mensajería, llegan a presentaciones y a páginas de redes sociales, y el consentimiento firmado para el tratamiento no es lo mismo que el consentimiento para la publicación. Son dos decisiones distintas, tomadas en momentos distintos, y en la práctica solo se toma la primera.

Convergen hacia una ficha, salen por frenos

Regulile

Lo que se aplica en las clínicas dentales, con el artículo del que proviene

Cada regla de abajo lleva el acto normativo que la impone. La verificación no exige que nos creas por nuestra palabra.

La ficha dental es una categoría especial de datos, no datos ordinarios

La ley parte de una prohibición, no de una अनुमति: el tratamiento de los datos relativos a la salud está prohibido, y lo que lo hace legal son las excepciones enumeradas de forma limitativa. La definición es amplia — «datos relacionados con la salud física o mental de una persona física, incluida la prestación de servicios de asistencia médica que revelen información sobre su estado de salud». En un consultorio, eso cubre la anamnesis, el diagnóstico, el plan de tratamiento, las radiografías y, en muchos casos, incluso la denominación del procedimiento programado. La diferencia práctica frente a los datos ordinarios: no basta con identificar una de las seis bases generales, también necesitas una excepción del artículo de las categorías especiales.

FuenteLey 195/2024, art. 9 párr. (1) y art. 4 (la definición de «datos relativos a la salud»); Reglamento (UE) 2016/679, art. 9 párr. (1)

La excepción médica se detiene en la puerta de recepción

La excepción en la que se apoya cualquier consultorio — el tratamiento necesario para establecer un diagnóstico, prestar asistencia o tratamiento — viene con una condición que se lee rara vez: los datos pueden tratarse con este fin solo por o bajo la responsabilidad de un profesional sujeto a la obligación de guardar el secreto profesional. La excepción está vinculada a la persona y al fin, no a la institución. Una cita no es un diagnóstico, así que no puede apoyarse en ella; para la cita, el fundamento natural es la ejecución de un contrato o las medidas adoptadas a petición de la persona antes del contrato. La consecuencia de diseño es simple y firme: el flujo de cita no debe pedir información clínica, porque no tiene con qué sostenerla.

FuenteLey 195/2024, art. 9 párr. (2) lit. h) y párr. (3); art. 6 párr. (1) lit. b)

El secreto médico es una segunda capa, con otros límites que la protección de datos

Por encima de la ley de datos hay una obligación más antigua y más estricta. Todos los datos sobre la identidad y el estado del paciente, los resultados de las investigaciones, el diagnóstico, el pronóstico y el tratamiento son confidenciales y deben protegerse también después de su muerte. Los médicos, los demás trabajadores médico-sanitarios y los farmacéuticos están obligados a mantener el secreto de la información relativa a la enfermedad y a la vida íntima y familiar del paciente. La divulgación sin consentimiento solo se admite en los casos enumerados — participación de otros especialistas en el proceso curativo, en el volumen necesario para la decisión; peligro real de propagación de enfermedades infecciosas; solicitud motivada del órgano de persecución penal o del tribunal, y los demás del mismo artículo. La diferencia que importa para el diseño: la ley de datos se refiere a las personas físicas, el secreto médico no se extingue con la muerte.

FuenteLey 263/2005 sobre los derechos y responsabilidades del paciente, art. 12 párr. (1)–(4); Ley de protección de la salud n.º 411/1995, art. 14 párr. (1)

El consentimiento informado para el tratamiento no es consentimiento para el tratamiento de datos

Son dos consentimientos distintos, exigidos por dos leyes diferentes, y se confunden casi sistemáticamente. El consentimiento del paciente para la intervención médica se perfecciona mediante la anotación en la documentación médica, y para las intervenciones con riesgo elevado —invasivas o quirúrgicas— obligatoriamente por escrito, en un formulario de consentimiento informado, que describe el propósito, los métodos, el riesgo, las consecuencias y las alternativas. El consentimiento para el tratamiento de datos, cuando se utiliza, es otra cosa: debe ser explícito para las categorías especiales, presentarse de una forma que lo diferencie claramente de los demás aspectos de una declaración escrita, en un lenguaje claro y sencillo, y su retirada debe ser tan sencilla como su otorgamiento. Un formulario que los mezcle no cumple ninguna de las dos exigencias.

FuenteLey 263/2005, art. 13 párr. (1)–(3); Ley 195/2024, art. 9 párr. (2) lit. a), art. 7 párr. (2) y (3)

El registro de los tratamientos es obligatorio independientemente del tamaño del consultorio; el responsable de protección de datos, no necesariamente

La exención para las organizaciones con menos de 250 empleados cae si el tratamiento incluye categorías especiales de datos —lo que es el caso de cualquier consultorio odontológico. Por tanto, el registro de las actividades de tratamiento, con los fines, las categorías de personas y de datos, los destinatarios, los plazos de supresión y la descripción de las medidas de seguridad, se lleva también en un consultorio con tres personas. La designación de un responsable de protección de datos es otra cuestión: se vuelve obligatoria cuando las actividades principales consisten en tratamiento a gran escala de categorías especiales. Y «a gran escala» tiene un criterio explícito: el tratamiento no debería considerarse a gran escala cuando se refiere a los datos de los pacientes de un solo médico o de otro profesional de la salud. Un consultorio pequeño no entra automáticamente, una red de clínicas es otra discusión.

FuenteLey 195/2024, art. 30 apdo. (5) y apdo. (1); art. 37 apdo. (1) lit. c); Reglamento (UE) 2016/679, considerando (91)

Cualquier proveedor que vea la ficha es encargado y necesita contrato

El servicio de citas online, el alojamiento, el horario del consultorio, el canal de mensajería por el que circulan las fotos —todos tratan datos en nombre del consultorio, así que son encargados. La ley exige un contrato escrito que establezca el objeto, la duración, la naturaleza, el propósito, el tipo de datos y las categorías de interesados, y que prevea que el proveedor trabaja solo según instrucciones documentadas, mantiene al personal sujeto a confidencialidad, no subcontrata sin autorización del consultorio, ayuda a responder a los pacientes y a notificar las brechas, y al final suprime o devuelve los datos. Dónde está el servidor cuenta por separado: las transferencias a Estados del Espacio Económico Europeo no requieren autorizaciones especiales, las demás necesitan una decisión sobre el carácter adecuado o garantías adecuadas, como las cláusulas tipo de protección de datos.

FuenteLey 195/2024, art. 28 apdo. (3), (4) y (8); art. 44 apdo. (2); art. 46 apdo. (2) lit. c)

Mecanica

Qué hace crm y automatización de procesos, concretamente

Las mismas capacidades que están en la página del servicio, donde cada una tiene su archivo y su línea de fondo.

Los datos entran en el flujo, con deduplicación por tres claves

Un archivo de hasta 50 MB se carga y se procesa en flujo, en lotes de 200 filas, para no superar el tiempo de ejecución de la base, y el progreso vuelve en tiempo real, una línea por cada paso. Antes de la importación se construye un índice de deduplicación por tres claves —el código fiscal, la dirección de email y el teléfono— y se validan las direcciones: formato, dominios de un solo uso, patrones inválidos. La misma organización no entra dos veces bajo dos denominaciones escritas de forma distinta.

Cada contacto se escribe en la ficha de la organización

Nueve canales de comunicación, desde el agente vocal y la llamada humana hasta la visita, y un recorrido de siete etapas con etiquetas reales: no contactado, contactado, respuesta recibida, oferta enviada, interesado activo, negociación, contrato firmado. Cada etapa tiene escrito al lado qué porcentaje debería pasar a la siguiente —no como promesa, sino como referencia para quien mira el embudo y quiere saber dónde se pierde.

La llamada del agente vocal mueve el lead sola

Cuando el agente termina una llamada, el resultado entra en el sistema mediante un webhook cuya firma se verifica: transcript, resumen, sentimiento, dirección de la grabación, duración. La organización se identifica por el número de teléfono, mediante una función escrita en la base para los formatos en los que aparecen los números en datos reales, y la llamada se vincula a su ficha. Si el resultado es «interesado» o «reunión programada», el lead sube automáticamente en el recorrido y se actualiza su fecha del último contacto.

El envío tiene frenos, no solo aceleración

Horas de trabajo escritas en el código: 08:00–18:00, huso horario de Chișinău, de lunes a sábado. Listas de exclusión para escuelas, institutos, guarderías, embajadas y consulados. Deduplicación por la dirección escrita en minúsculas —no por la organización, una distinción que importa muchísimo cuando varias empresas usan la misma bandeja de entrada. Enfriamiento de cinco días entre campañas para la misma dirección. Tope diario global, repartido proporcionalmente entre campañas, más un tope por ejecución, para que los envíos se dispersen a lo largo de varias horas, no en bloque.

Un interruptor que no se puede eludir

El orquestador de campañas comprueba una variable de entorno antes que nada. Si está activada, se niega a arrancar y sale —no existe argumento de línea de comandos que lo salte, no existe «forzar». Se añadió el 1 de mayo de 2026, después de un incidente de envíos duplicados. Un sistema que envía en tu nombre necesita una parada que pueda pulsar alguien que no es programador.

Darse de baja en un solo clic, en tres pasos

El primer paso es el encabezado estándar de cancelación de suscripción en un clic, conforme a RFC 8058 —el requisito que los grandes proveedores de email imponen para envíos en volumen. El segundo es un centro de preferencias, donde la cancelación de suscripción también se puede revertir. El tercero es la eliminación completa a petición, que borra la dirección de seis tablas, la añade a una lista permanente de bloqueo y deja una huella en el registro. Los tres están protegidos con un token ligado al destinatario, para que nadie pueda dar de baja a otra persona.

El servicio, en detalle

Los datos

Qué toca cualquier sistema de la industria

Las clases de datos que tiene la clínica odontológica, con la base de conservación allí donde la ley la establece.

La ficha clínica del paciente: La identidad, la anamnesis, el estado dental en la presentación, el diagnóstico, el plan de tratamiento, los procedimientos realizados y la evolución. Es el núcleo de la categoría especial y es, al mismo tiempo, la documentación médica que la ley del paciente exige firmada al dar el consentimiento. El paciente tiene acceso ilimitado a sus propios datos médicos y puede obtener copia de cualquier parte de sus propios dossiers, en la forma establecida por el ministerio — un sistema que no puede producir esa copia es un problema operativo, no solo jurídico.Conservación: No verificado para el plazo sectorial. El principio general es la conservación durante un período que no exceda lo necesario para la finalidad. El plazo concreto de archivo de la documentación médica se establece por actos del Ministerio de Sanidad, que no hemos podido abrir hoy — la fuente oficial consolidada devolvió 403.FuenteLegea 195/2024, art. 5 alin. (1) lit. e), art. 15; Legea 263/2005, art. 11 alin. (4), art. 13 alin. (2)
La imagen dental y las fotografías clínicas: Ortopantomografías, radiografías retroalveolares, fotografías intraorales, secuencias antes–después. Son datos sobre la salud por su contenido, no por su etiqueta. Su uso fuera del tratamiento —en el sitio, en redes sociales, en una presentación— es una finalidad distinta de aquella para la que se recopilaron, y la compatibilidad de una nueva finalidad se evalúa según criterios explícitos, entre ellos la naturaleza de los datos y las posibles consecuencias para la persona. En la práctica, para la publicación la base real sigue siendo el consentimiento explícito, dado por separado y revocable.Conservación: Cuánto dura la finalidad clínica para el original en la ficha. Para la copia publicada, hasta la retirada del consentimiento — la retirada no afecta a la legalidad de la publicación anterior, pero detiene la continuación.FuenteLey 195/2024, art. 4 (definición de «datos relativos a la salud»), art. 6 para. (5), art. 9 para. (2) lit. a), art. 7 para. (3)
Los datos de la cita: Nombre, teléfono, fecha y hora, el médico, el servicio solicitado. Parecen datos administrativos y, muchas veces, lo son. Se convierten en categoría especial en el momento en que la denominación del servicio revela el estado: una casilla de «extracción» o «tratamiento endodóntico» junto a un nombre es información sobre la salud de esa persona. El régimen cambia por el contenido del campo, no por el sistema en que se guarda, y eso importa cuando la agenda está en un proveedor externo.Conservación: En relación con el propósito de la programación y con la relación contractual que sigue. Los plazos previstos de eliminación por categorías constan en el registro de las actividades de tratamiento.FuenteLegea 195/2024, art. 6 alin. (1) lit. b), art. 9 alin. (1), art. 30 alin. (1) lit. f)
La condición de asegurado y el número de la póliza: La recepción necesita el estado de asegurado para responder correctamente a la pregunta sobre el coste. El número de identificación nacional —incluida la serie y el número del documento de identidad— tiene un régimen propio: se trata en las situaciones previstas para cualquier base, pero cuando se utiliza el interés legítimo, el responsable debe establecer garantías específicas —medidas técnicas y organizativas para la minimización de datos y para la seguridad, plazos de almacenamiento fijados según la naturaleza de los datos, y formación periódica de las personas que los tratan.Conservación: Cuánto sea necesario para la liquidación y para las obligaciones contables correspondientes. Los plazos específicos de supresión o de revisión con vistas a la supresión se exigen expresamente cuando la base es el interés legítimo.FuenteLey 195/2024, art. 53 para. (1) y (2); art. 4 (definición de «número de identificación nacional»)
El hilo de mensajería con el paciente: La fotografía del diente, la descripción del dolor, la pregunta después de la intervención. El contenido es idéntico al de la ficha, pero el lugar no es el del consultorio: es la infraestructura de un proveedor de canal, a menudo en otro estado. A esto se le pegan tres consecuencias — el proveedor es persona autorizada y exige contrato, el lugar de almacenamiento entra en el régimen de transferencias, y la información al paciente sobre los destinatarios y sobre la intención de transferencia debe darse en el momento de la recopilación.Conservación: En práctica, no definido — los hilos se quedan en la aplicación. Justamente por eso el plazo debe decidirse explícitamente y escribirse en el registro, no dejarse al comportamiento implícito de la aplicación.FuenteLey 195/2024, art. 28 apdo. (3), art. 13 apdo. (1) lit. e) y f), art. 44 apdo. (2), art. 30 apdo. (1) lit. f)
Los datos del paciente menor: Dos umbrales distintos, para dos cosas distintas, y ambos se aplican en un consultorio que trata a niños. Para los servicios de la sociedad de la información — una reserva online, por ejemplo — el tratamiento basado en el consentimiento es legal si el menor tiene al menos 14 años; por debajo de 14 años, el consentimiento lo da o lo autoriza el representante legal. Para la información médica, la ley del paciente prevé la presentación a los representantes legales en el caso de las personas que no han cumplido 18 años, informando al mismo tiempo al paciente en una medida adecuada a su discernimiento.Conservación: Como en la ficha clínica. El hecho de que la persona alcance la mayoría de edad no cambia el plazo, pero sí cambia quién ejerce los derechos.FuenteLey 195/2024, art. 8 párr. (1) y (2); Ley 263/2005, art. 11 párr. (6), art. 12 párr. (4) lit. d)

Limbajul

Las palabras que usa la gente de allí

Un agente que dice «programación» donde el sector dice otra cosa se oye de inmediato como extranjero. Por eso el vocabulario entra en la configuración, no en el glosario del final.

Prestador de servicios de salud: El término jurídico de la ley del paciente para las instituciones médico-sanitarias y farmacéuticas, independientemente de la forma de propiedad. Es la palabra con la que la ley se dirige al consultorio — no «clínica», no «proveedor».
Historia clínica del paciente: La documentación médica en la que se registran la anamnesis, el estado, el diagnóstico, el plan y los procedimientos. También en ella se formaliza el consentimiento para la intervención. Cuando las personas del consultorio dicen “ficha”, hablan de este documento, no del registro de la agenda online.
Consentimiento informado: El formulario escrito obligatorio para las intervenciones con riesgo elevado — invasivas o quirúrgicas. Contiene el propósito, el efecto esperado, los métodos, el riesgo potencial, las posibles consecuencias y las variantes alternativas. No es un formulario de protección de datos y no lo sustituye.
Sesión: La unidad real de trabajo para un tratamiento que se extiende a lo largo de varias visitas. Un paciente no tiene «una cita para un tratamiento de conducto», tiene la primera sesión de un plan. Un sistema que cuenta solo citas aisladas pierde precisamente el hilo.
Llamada para control: El regreso programado después de un tratamiento o para profilaxis. Es una comunicación vinculada al cuidado ya iniciado, no una campaña — la distinción importa, porque el marketing directo tiene un régimen propio de oposición.
OPG / ortopantomograma: La radiografía panorámica de ambas mandíbulas. En el lenguaje del consultorio es «la panorámica». Como dato, es una imagen médica, por tanto categoría especial.
Unidad de tarificación: Qué se cuenta exactamente en el precio: el diente, el conducto, la mandíbula, la extracción, la sesión, la visita, la consulta o el caso tratado. Dos consultorios pueden tener el mismo precio mostrado y facturas muy diferentes, porque cuentan otra cosa. Cualquier lista de servicios publicada sin unidad es una lista incompleta.
Asegurado / no asegurado: El estado que decide si un servicio está cubierto por los fondos del seguro obligatorio o se paga íntegramente. No es una propiedad del servicio, es una combinación entre servicio y persona — motivo por el cual la pregunta vuelve por teléfono por muy detallada que sea la lista de precios.

Dónde se rompe

Qué sale mal cuando las clínicas odontológicas se digitalizan con prisa

El canal de mensajería se convierte en historial médico sin que nadie decida eso

Nadie decide en una reunión que las fotografías intraorales se guardarán en una aplicación de chat. Sucede porque es el camino más corto entre el paciente y el médico. El resultado es una segunda ficha, mantenida en un proveedor con el que no existe un contrato de encargo, en un lugar que puede estar fuera del Espacio Económico Europeo, sin plazo de borrado y sin registro de quién leyó qué. Cuando llega una solicitud de acceso o una brecha, la consulta ni siquiera puede decir qué contiene.

Digitalización de la agenda sin tocar la pregunta sobre el coste

Se trasladan las citas a online y se espera una bajada de las llamadas. Las llamadas siguen, porque el motivo no era la cita, sino la pregunta de si el servicio está cubierto por el seguro para la persona que llama. Mientras la información publicada no vincule el servicio con el estado de asegurado y con la unidad de tarificación, cada visitante que tenga esa pregunta la hará igualmente por teléfono. El sistema nuevo asume la parte fácil del trabajo y deja intacta la parte difícil.

Una sola cuenta compartida en recepción

Tres personas entran con la misma contraseña, porque es más simple. A partir de ese momento ya no existe atribución: no se puede decir quién abrió la ficha de un paciente y cuándo. Eso afecta dos obligaciones a la vez — las medidas técnicas y organizativas adecuadas al riesgo, y la documentación de las infracciones para que la autoridad pueda verificar qué ocurrió. No es un problema que aparezca en la auditoría, es uno que aparece cuando alguien denuncia una divulgación y la consulta no puede demostrar nada, en ningún sentido.

Consentimiento marcado junto con los términos y condiciones

Una sola casilla para «estoy de acuerdo con el tratamiento de los datos y con los términos» parece económica. La ley exige que, en una declaración escrita que también se refiera a otros aspectos, la solicitud de consentimiento se presente en una forma que la diferencie claramente de los demás aspectos. Y el consentimiento no es libre cuando la prestación del servicio se condiciona a un tratamiento que no es necesario para ese servicio. La casilla única no produce un consentimiento débil — no produce ningún consentimiento, y con ello cae también la base jurídica en la que se apoyaban la publicación de las fotografías y los envíos de marketing.

Las copias de seguridad y las fotografías en el dispositivo personal

La radiografía enviada al teléfono del médico se queda allí, se sincroniza en una cuenta personal de cloud y sobrevive a cualquier borrado hecho en el programa de la consulta. El principio de limitación del almacenamiento y la obligación de seguridad no se detienen en los sistemas oficiales — se aplican a los datos, allí donde lleguen. Un plan de borrado que cubre solo la base de datos describe una realidad que no existe.

Preguntas

Qué pregunta alguien de una clínica odontológica antes de comprar software

¿Puede un sistema automático responder al paciente qué tiene y qué tratamiento necesita?

No, y no por prudencia comercial, sino porque le falta la base jurídica. La excepción que permite el tratamiento de datos de salud para diagnóstico y tratamiento exige que el tratamiento lo realice o lo supervise un profesional sujeto a la obligación de guardar el secreto profesional. Un sistema de programación no está en ese régimen. Puede decir qué servicios existen, cuándo hay disponibilidad, dónde está la consulta y qué documentos debe llevar el paciente. No puede establecer ni sugerir un diagnóstico.

¿Necesito un responsable de protección de datos para una consulta con dos médicos?

La obligación aparece cuando las actividades principales consisten en tratamiento a gran escala de categorías especiales de datos. El criterio europeo dice explícitamente que el tratamiento de los datos de los pacientes de un solo médico o de otro profesional del ámbito de la salud no debería considerarse a gran escala. Una consulta pequeña no entra automáticamente en la obligación. Una red de clínicas con gran volumen se evalúa por separado, y ahí la respuesta puede cambiar. Lo que sigue siendo obligatorio sin importar el tamaño es el registro de las actividades de tratamiento, porque la exención por menos de 250 empleados no se aplica a categorías especiales.

¿Necesito una evaluación de impacto antes de poner un sistema nuevo?

La evaluación se exige en especial para el tratamiento a gran escala de categorías especiales, para la evaluación sistemática y exhaustiva basada en tratamiento automatizado que produce efectos significativos, y para la monitorización sistemática a gran escala de una zona accesible al público. El mismo criterio sobre «gran escala» se aplica aquí. Pero la evaluación sigue siendo necesaria cada vez que el tipo de tratamiento pueda generar un riesgo alto, y el Centro aprueba la lista de tipos de operaciones que la exigen — la lista es el criterio que decide, no la impresión del proveedor de software.

¿A dónde van los datos si uso un servicio de programaciones de otro país?

Las transferencias a los Estados del Espacio Económico Europeo no necesitan autorizaciones especiales. Fuera de él, hace falta o bien una decisión del Centro sobre el carácter adecuado del nivel de protección, o bien garantías adecuadas — cláusulas estándar de protección de datos aprobadas por el Centro o adoptadas por la Comisión Europea, normas corporativas vinculantes, un código de conducta o un mecanismo de certificación con compromiso ejecutable. La pregunta práctica para cualquier proveedor es una sola y se formula por escrito: en qué Estado se almacenan los datos y en qué garantía se apoya la transferencia.

El paciente pide la eliminación de los datos. ¿Tengo que borrar la ficha?

El derecho de supresión no se aplica en la medida en que el tratamiento sea necesario para el cumplimiento de una obligación legal que prevea el tratamiento, por motivos de interés público en el ámbito de la salud pública, o para la formulación, el ejercicio o la defensa de un derecho en un procedimiento. La documentación médica entra típicamente en la primera categoría. En cambio, lo que se puede borrar casi siempre es lo añadido encima: el consentimiento de marketing, la fotografía publicada, el hilo de mensajes conservado sin plazo. La respuesta correcta a una solicitud así es una separación, no una negativa global.

¿Necesito consentimiento para enviar un SMS de recordatorio de la cita?

El recordatorio de una cita ya hecha está ligado a la ejecución de lo que el paciente ha pedido y se apoya en la base contractual, no en el consentimiento. Una oferta, una promoción o una reactivación convertida en campaña es marketing directo, y ahí la persona tiene derecho a oponerse en cualquier momento, y si se opone, los datos dejan de tratarse para ese fin. El derecho de oposición debe ponerse en conocimiento de forma explícita, clara y separada de cualquier otra información, como muy tarde en la primera comunicación.

¿Puedo publicar fotos antes–después con el acuerdo verbal del paciente?

Para categorías especiales, la excepción por consentimiento exige consentimiento explícito, para fines específicos. Cuando se da en el contexto de una declaración escrita que también se refiere a otros aspectos, la solicitud debe presentarse en una forma que la diferencie claramente del resto, inteligible y fácilmente accesible. Y el consentimiento no se da libremente si la prestación del servicio está condicionada a un tratamiento que no es necesario para el servicio. La traducción en la práctica: la publicación necesita su propio documento, separado del consentimiento informado para el tratamiento, y el tratamiento no puede depender de él.

¿Cuánto tiempo tengo si se filtran los datos de los pacientes?

La notificación al Centro se hace sin demoras injustificadas y, si es posible, en un plazo máximo de 72 horas desde el momento en que el operador tuvo conocimiento, salvo que la infracción sea poco susceptible de generar un riesgo. Pasadas 72 horas, la notificación debe ir acompañada de una explicación motivada del retraso. Si el riesgo para las personas es alto, el paciente también se informa, sin demoras injustificadas. Y el operador conserva la documentación de todos los casos, para que la autoridad pueda verificar. Lo que significa que un sistema sin registro de acceso hace imposible incluso describir la infracción.

¿Qué riesgo real existe si no hago nada este año?

La ley está en vigor desde el 23 de agosto de 2026, a los 24 meses de su publicación. Las multas llegan hasta 1.000.000 de leus o el 1% del volumen de negocios para las obligaciones del operador, y hasta 2.000.000 de leus o el 2% para los principios de tratamiento, los derechos de las personas afectadas y las transferencias, tomándose en cuenta el valor mayor. Existe, sin embargo, una aplicación por etapas explícita: desde el primer año se aplica el 10% del importe de la multa establecida, desde el segundo el 40%, desde el tercero el 100%. Así que la exposición crece, y este año es el año más barato en el que se puede equivocar.

Lo que no podemos sostenerNo tenemos un resultado medido propio para odontología que poner en esta página, y no lo sustituimos por una cifra tomada prestada. No somos proveedor de servicios de responsable de protección de datos y no emitimos opiniones jurídicas — lo que está escrito aquí son normas citadas con artículo, no asesoría para un caso concreto. No pudimos verificar el plazo de archivo de la documentación médica establecido por actos del Ministerio de Sanidad: la fuente oficial consolidada devolvió 403 el día de la verificación, y un plazo que no puedo mostrar sigue sin verificarse. No tenemos un código de conducta aprobado por el Centro Nacional para la Protección de Datos de Carácter Personal ni una certificación en el sentido de la ley. No hacemos software médico certificado como dispositivo y no nos ocupamos de la conformidad clínica del acto médico. No nombramos ningún consultorio y no publicamos ninguna información sobre los pacientes de nadie.

El servicio, en detalle Lo que hemos construido efectivamente Todos los escenarios

El servicio, aplicadoAún no hemos entregado exactamente esta combinación. Lo que has leído arriba es la mecánica de nuestro servicio, verificable en su página, puesta junto a las normas que lo rigen clinici stomatologice — cada uno con el artículo del que proviene. Lo que hemos construido efectivamente está en la página del servicio y en el portafolio.

Fuentes 8 fuentes · verificadas el 2026-09-07

¿Qué te gustaría que funcionara mejor?

Cuéntanos tu proceso. Juntos decidimos qué merece la pena construir, qué podemos conectar y cómo verificamos el resultado.

Vamos a hablar