Protección de datos
para ópticas

Las ópticas que realizan exámenes de la vista y dispensan productos bajo prescripción tratan datos de salud (categoría especial del art. 9 RGPD). El art. 34 de la LOPDGDD contempla la posible obligación de designar un DPD en este tipo de establecimientos, aunque la aplicación concreta depende del tipo y escala del tratamiento. Conviene analizar el caso de forma individualizada.

Sí. La graduación visual, las prescripciones de lentes de contacto y cualquier dato relativo a la agudeza visual o patologías oculares del cliente son datos de salud según el art. 4.15 del RGPD. Su tratamiento requiere base jurídica reforzada (consentimiento explícito o necesidad para la prestación asistencial) y medidas de seguridad adicionales.

La normativa sanitaria establece plazos de conservación de la documentación clínica (mínimo 5 años desde la última asistencia en algunas Comunidades Autónomas). Los datos de facturación deben conservarse 4 años por obligación fiscal. La óptica debe establecer plazos de conservación diferenciados para los datos clínicos y los comerciales.

No directamente. Los datos de salud (graduación, tipo de lente prescrita) no pueden usarse para enviar comunicaciones comerciales sin el consentimiento explícito del cliente para esta finalidad específica. La excepción de cliente previo (art. 21.2 LSSI) permite enviar publicidad de productos similares a los ya adquiridos, pero solo si no implica el tratamiento de datos de salud para esa finalidad.

Solo a los datos necesarios para la atención del cliente que tienen asignado o que atienden en ese momento. El principio de minimización del RGPD exige que el acceso a los historiales de salud esté restringido al personal que necesita esa información para prestar el servicio. El acceso indiscriminado de empleados a historiales ajenos es una infracción de seguridad.

Con carácter general sí. Las plataformas de gestión de ópticas que almacenan historiales de clientes, prescripciones y datos de facturación pueden actuar como encargados del tratamiento. La relación jurídica exacta depende de las condiciones de cada proveedor; conviene revisarlas y, si actúa como tal, formalizar el DPA con medidas de seguridad específicas para datos de salud y verificar el cumplimiento del RGPD para datos de categoría especial.