Una brecha de datos en la clínica: qué hacer en la primera hora
Una cuenta comprometida, un portátil perdido o un acceso indebido al software no es “solo un problema informático”. Puede afectar a pacientes, agenda, reputación y continuidad asistencial.
Decisión para hoy
- →Designa a la persona de dirección que coordinará los incidentes de datos, con tu proveedor o asesor informático
- →Prepara una hoja con los contactos de software, informática y protección de datos.
- →Ensaya el protocolo con recepción y revísalo cada seis meses.
Por qué publicamos esta guía ahora
La AEPD acaba de comunicar que ha recibido más de 3.000 notificaciones de brechas de datos personales en el primer semestre de 2026: más que durante todo 2025. La noticia no afirma que las clínicas estén sufriendo un incidente concreto; es una señal para revisar si la clínica sabría responder cuando ocurriera algo tan cotidiano como una cuenta intervenida, un envío erróneo o una pérdida de equipo.
En una clínica, la importancia es mayor porque una brecha puede afectar a datos de salud. El RGPD los considera una categoría especial de datos, también llamada sensible o especialmente protegida: información íntima que exige un nivel de protección reforzado. Una respuesta lenta o desordenada puede afectar a los pacientes, interrumpir el trabajo y deteriorar la confianza. Esta pieza traduce la noticia en un plan que dirección y equipo pueden aplicar sin ser especialistas.
La idea clave
Una brecha es un incidente que afecta a datos personales: por ejemplo, una historia clínica enviada a quien no corresponde, un ordenador con la sesión abierta que desaparece, una cuenta de correo intervenida o un proveedor que comunica un acceso no autorizado. En la clínica, una historia o un dato asistencial puede ser un dato de salud, una categoría especial que merece protección reforzada. No todos los incidentes obligan a notificar a la AEPD, pero todos deben evaluarse y dejarse registrados.
Por qué conviene tener un plan
La AEPD ha informado de más de 3.000 notificaciones de brechas de datos personales en el primer semestre de 2026, una cifra superior a la de todo 2025. No significa que una clínica vaya a sufrir una, pero sí que improvisar ya no es una opción razonable.
El objetivo en los primeros minutos no es decidir si habrá sanción ni buscar culpables. Es frenar el problema, proteger a las personas y conservar la información necesaria para tomar decisiones con calma.
La primera hora: una secuencia sencilla
- Tramo
- 0-10 min · Detener
- Qué hacer
- Si es seguro hacerlo, desconecta el equipo de la red, cierra la sesión comprometida o pide al proveedor que bloquee el acceso. No borres correos, registros ni mensajes: pueden ser la prueba de lo ocurrido.
- Tramo
- 10-20 min · Avisar dentro
- Qué hacer
- Recepción o quien detecte el incidente debe avisar a una única persona responsable: dirección de clínica, responsable de protección de datos o DPD. Evita que cada persona llame por su cuenta a pacientes o proveedores.
- Tramo
- 20-40 min · Aclarar
- Qué hacer
- Anota qué pasó, cuándo se detectó, qué sistemas o cuentas estaban implicados, qué datos podrían estar afectados y qué se ha hecho ya. “No lo sabemos aún” es una respuesta válida si queda anotada.
- Tramo
- 40-60 min · Activar apoyos
- Qué hacer
- Contacta con el proveedor tecnológico o de ciberseguridad y con el DPD, si lo hay. Pídeles confirmación por escrito de las acciones realizadas y de los datos que puedan haber quedado expuestos.
| Tramo | Qué hacer |
|---|---|
| 0-10 min · Detener | Si es seguro hacerlo, desconecta el equipo de la red, cierra la sesión comprometida o pide al proveedor que bloquee el acceso. No borres correos, registros ni mensajes: pueden ser la prueba de lo ocurrido. |
| 10-20 min · Avisar dentro | Recepción o quien detecte el incidente debe avisar a una única persona responsable: dirección de clínica, responsable de protección de datos o DPD. Evita que cada persona llame por su cuenta a pacientes o proveedores. |
| 20-40 min · Aclarar | Anota qué pasó, cuándo se detectó, qué sistemas o cuentas estaban implicados, qué datos podrían estar afectados y qué se ha hecho ya. “No lo sabemos aún” es una respuesta válida si queda anotada. |
| 40-60 min · Activar apoyos | Contacta con el proveedor tecnológico o de ciberseguridad y con el DPD, si lo hay. Pídeles confirmación por escrito de las acciones realizadas y de los datos que puedan haber quedado expuestos. |
Qué debe quedar anotado
• Qué ocurrió: una descripción breve, sin suposiciones.
• Fecha y hora: de detección y, si se conoce, del inicio probable.
• Alcance: sistemas, cuentas, pacientes o categorías de datos que podrían verse afectadas.
• Medidas: quién hizo qué y a qué hora.
• Personas y proveedores avisados: incluyendo el DPD o asesoría de protección de datos.
No todo se resuelve igual
La clínica debe documentar el incidente y, con apoyo de su DPD o asesoramiento especializado, valorar si existe riesgo para los derechos y libertades de las personas afectadas. Si se concluye que procede notificar a la AEPD, el RGPD establece como referencia 72 horas desde que el responsable tiene conocimiento. Si el riesgo es alto, también puede ser necesario informar a las personas afectadas de forma clara y sin demoras indebidas.
No es una tarea para recepción ni para “el informático” a solas: dirección debe liderar la coordinación y confirmar quién toma cada decisión.
Lo que conviene evitar
• Esperar a tener todos los detalles para avisar internamente.
• Borrar mensajes o reiniciar equipos antes de guardar evidencias.
• Comunicar al paciente mensajes improvisados o con explicaciones que aún no se han confirmado.
• Dar por hecho que “el proveedor se encargará” sin pedir un resumen escrito.
Un protocolo mínimo que cabe en una hoja
Deja por escrito un teléfono de contacto para incidencias, una persona de dirección que coordine, el proveedor de software, el proveedor IT y el contacto del DPD o asesoría. Revísalo cada seis meses y haz una prueba breve: “¿qué haríamos si el correo de recepción enviara mensajes que nadie reconoce?”
Mensaje interno listo para usar. “Hemos detectado una posible incidencia que puede afectar a información de la clínica. No borres ni reenvíes mensajes relacionados. Si recibes cualquier aviso o llamada sobre el asunto, envíalo a [persona responsable]. Estamos revisando el alcance con el proveedor.”
Nota editorial
Esta guía es operativa y no sustituye el análisis jurídico o técnico de cada incidente.
Aplicación práctica
Qué significa para tu clínica
- →Designa hoy a la persona de dirección que coordinará cualquier incidente de datos, con tu proveedor o asesor informático
- →Prepara una hoja con los contactos de incidencias: software, IT y DPD o asesoría.
- →Ensaya una vez el protocolo con recepción y revísalo cada seis meses.
Siguiente paso
Convierte este análisis en una conversación de equipo
Recibe cada semana una selección breve de decisiones, herramientas y cambios relevantes.
Fuentes originales
Sigue leyendo
Dirección y rentabilidad
Tratar toda la caries pendiente en España costaría más de 2.500 millones de euros
El Consejo General de Dentistas sitúa el coste de cubrir las necesidades de tratamiento en una cifra que refuerza una idea conocida, pero todavía insuficientemente asumida: prevenir y tratar a tiempo es una decisión sanitaria y económica.
5 noviembre 2026 · 3 min
Normativa y gestión segura
Huelga general del 11 de noviembre: claves para organizar una clínica dental
El COEM recuerda que las clínicas no deben establecer servicios mínimos. La jornada puede mantenerse abierta, pero exige previsión, respeto al derecho de huelga y una comunicación clara con equipo y pacientes.
4 noviembre 2026 · 3 min
Personas y operaciones
Haces todo lo que se supone que tienes que hacer (pero algo falla)
Ros Megías explica por qué tantos propietarios de clínica sienten que ya no saben qué más hacer y propone tres preguntas para encontrar la pieza que suele quedarse fuera: la persona que dirige.
2 noviembre 2026 · 5 min