Sector sociosanitario
Protección de datos para
residencias de mayores
Los expedientes clínicos, los datos de dependencia y la información personal de personas en situación de especial vulnerabilidad exigen el nivel de protección máximo bajo el art. 9 RGPD. Dependiendo de la naturaleza y calificación del centro, puede resultar aplicable la obligación de designar un Delegado de Protección de Datos. Cada caso requiere análisis individualizado.
Art. 9
RGPD — datos de salud y dependencia
Art. 34
LOPDGDD — analizar según centro
72 h
para notificar una brecha
24 h
propuesta personalizada
Contexto normativo
Obligaciones generales para residencias de mayores y centros sociosanitarios
Las residencias de mayores concentran en un mismo espacio datos de salud, datos sociales y datos de personas en situación de especial vulnerabilidad, con múltiples actores que acceden a esa información a diario.
Datos de salud y dependencia (art. 9 RGPD)
Los datos sobre el estado de salud, el grado de dependencia, la medicación y los diagnósticos son categoría especial bajo el art. 9 RGPD. Su tratamiento exige base jurídica específica, medidas de seguridad reforzadas y acceso estrictamente controlado.
Familiares autorizados y representación legal
La residencia solo puede facilitar información a familiares que el propio residente haya autorizado expresamente o que cuenten con representación legal acreditada. Gestionar estas autorizaciones y documentarlas correctamente es una obligación.
Videovigilancia en instalaciones
La videovigilancia en zonas comunes requiere cartelería informativa visible, acceso restringido y plazo de conservación máximo de 30 días. En habitaciones, solo cabe en supuestos excepcionales con consentimiento y análisis riguroso de proporcionalidad.
Coordinación con servicios sanitarios externos
Médicos externos, especialistas, servicios de urgencias y aseguradoras que reciben datos de residentes actúan como colaboradores en la prestación asistencial. Cada comunicación debe estar documentada y respaldada por su base jurídica correspondiente.
Datos de medicación y seguimiento
Los datos sobre medicamentos prescritos, dosis y administración son datos de salud de especial sensibilidad. El acceso debe limitarse al personal sanitario y auxiliar con funciones asistenciales directas, con credenciales individuales.
Personas con medidas de apoyo a la capacidad
Cuando el residente tiene reconocida una medida de apoyo a la capacidad jurídica, los derechos RGPD los ejerce su representante legal. La residencia debe documentar esta situación y actuar conforme a ella, respetando siempre la voluntad del residente en la medida de lo posible.
Delegado de Protección de Datos
El DPD en residencias de mayores: cuándo puede ser necesario
El art. 34.1.g de la LOPDGDD prevé la obligación de designar un Delegado de Protección de Datos en los centros sanitarios legalmente obligados al mantenimiento de la historia clínica de sus pacientes. La aplicación de este precepto a una residencia de mayores concreta depende de su naturaleza y calificación jurídica.
Las residencias con calificación sanitaria y obligación de historia clínica estarán generalmente sujetas a esta exigencia. Las de carácter exclusivamente social requieren análisis individualizado. El volumen de datos y la tipología exacta de los tratamientos son factores determinantes.
El DPD supervisa el cumplimiento normativo, actúa como punto de contacto con la AEPD y asesora al equipo directivo y asistencial. Certix asume esta función como servicio independiente, presupuestado a medida según las características del centro.
Centros donde puede resultar aplicable la designación de DPD
Lista orientativa. La obligación concreta de cada entidad requiere análisis individualizado.
El servicio
Qué incluye el servicio de protección de datos para tu residencia
El contrato estándar de Certix, adaptado a la casuística específica de una residencia de mayores o centro sociosanitario.
RAT y estructura técnico-organizativa
Registro de Actividades de Tratamiento adaptado: expedientes clínicos y sociales, videovigilancia, coordinación con servicios externos y software de gestión residencial.
Cláusulas informativas adaptadas
Textos adaptados a los contratos de ingreso, formularios de admisión, consentimientos sanitarios y comunicaciones con familiares y representantes legales.
Documentación web adaptada
Documentación adaptada para la web del centro: formulario de contacto, solicitud de información y gestión de cookies.
Contratos con encargados del tratamiento
Acuerdos de encargo para software de gestión residencial, sistemas de videovigilancia y servicios sanitarios o asistenciales subcontratados.
Protocolo de brechas de seguridad
Procedimiento interno para detectar, clasificar y notificar incidentes a la AEPD en el plazo de 72 horas exigido por el RGPD.
Atención a derechos del interesado
Procedimiento documentado para gestionar solicitudes de residentes y sus representantes legales en los plazos establecidos.
Plataforma de gestión documental
Acceso a plataforma privada con todos los documentos, plantillas y firma electrónica actualizados en tiempo real.
Soporte continuado
Soporte continuado ante cambios normativos, nuevas guías de la AEPD o cambios en la actividad del centro.
DPD externo (servicio independiente)
La designación formal de Delegado de Protección de Datos es un contrato separado, presupuestado a medida según las características del centro.
¿Necesitas una propuesta para tu residencia?
Cuéntanos tu actividad y el número de plazas. Propuesta personalizada en menos de 24 horas.
Buenas prácticas
Aspectos clave en el cumplimiento de una residencia de mayores
El cumplimiento normativo no termina en la documentación. En la práctica de una residencia, hay situaciones cotidianas que exigen criterio especializado:
- Acceso de familiares. La residencia debe contar con un protocolo claro sobre qué información puede facilitarse a los familiares y bajo qué condiciones. El consentimiento del residente o la acreditación de la representación legal son requisitos previos e innegociables.
- Videovigilancia. Los sistemas de cámaras en zonas comunes deben estar documentados, con cartelería informativa visible, acceso restringido a las grabaciones y plazo de conservación máximo de 30 días. La instalación en habitaciones exige análisis individualizado y justificación de proporcionalidad.
- Datos de residentes fallecidos. Tras el fallecimiento, los datos deben conservarse durante los plazos legales. Los familiares pueden solicitar el acceso al historial acreditando su vínculo y siempre que el residente no lo hubiera prohibido expresamente.
- Software de gestión residencial. Los sistemas de gestión en la nube pueden actuar como encargados del tratamiento según las condiciones de cada proveedor. Conviene verificar la ubicación de los datos, las medidas de seguridad y, si procede, formalizar el contrato de encargo correspondiente.
Bases jurídicas más habituales en residencias de mayores
Art. 9.2.h RGPD
Prestación de asistencia sanitaria y social — base principal para el tratamiento de datos de salud y dependencia.
Art. 6.1.b RGPD
Ejecución del contrato de prestación de servicios residenciales.
Art. 6.1.c RGPD
Cumplimiento de obligaciones legales: documentación exigida por la normativa de servicios sociales y sanitarios.
Art. 6.1.f RGPD
Interés legítimo — para videovigilancia en zonas comunes con finalidad de seguridad, previo análisis de proporcionalidad.
Art. 9.2.c RGPD
Interés vital — para tratamientos urgentes cuando el residente no puede prestar consentimiento y no hay representante disponible.
FAQ
Preguntas frecuentes sobre protección de datos en residencias de mayores
¿Es obligatorio el DPD en una residencia de mayores?
Depende del tipo de centro. El art. 34.1.g de la LOPDGDD prevé la obligación de designar DPD en centros sanitarios legalmente obligados al mantenimiento de la historia clínica. Las residencias con calificación sanitaria y obligación de historia clínica estarán generalmente sujetas a esta exigencia; las de carácter exclusivamente social requieren análisis individualizado. El volumen de datos y la naturaleza jurídica de cada centro son los factores determinantes.
¿Pueden los familiares acceder a los datos del residente?
Solo si el residente lo ha autorizado expresamente o si tienen representación legal acreditada (tutela, curatela o medida de apoyo a la capacidad jurídica). La residencia no puede facilitar información clínica o personal a familiares sin esa base. Cuando el residente carece de capacidad para ejercer sus derechos, los representantes legales son quienes actúan en su nombre.
¿Está permitida la videovigilancia en las habitaciones de una residencia?
La videovigilancia en habitaciones está sujeta a restricciones muy estrictas. En zonas comunes puede justificarse por razones de seguridad, con cartelería informativa visible y acceso restringido a las grabaciones. En habitaciones, solo cabe en supuestos excepcionales con consentimiento del residente o su representante legal y análisis riguroso de proporcionalidad. Las imágenes no pueden conservarse más de 30 días salvo requerimiento judicial.
¿Puede la residencia compartir datos médicos con el médico de cabecera del residente?
Sí, cuando la comunicación se encuadra en la prestación de asistencia sanitaria y el residente o su representante ha sido informado. La base jurídica es el art. 9.2.h RGPD. La comunicación debe documentarse y debe existir un procedimiento claro que regule estas transferencias.
¿Qué ocurre con los datos de un residente que fallece?
El RGPD no aplica a personas fallecidas, pero la residencia debe conservar el historial durante los plazos legales exigidos (Ley 41/2002 y normativa autonómica). Los familiares pueden solicitar el acceso al historial del fallecido acreditando su vínculo, salvo que el residente hubiera prohibido expresamente el acceso en vida.
¿Cómo se gestiona el consentimiento de residentes con incapacidad reconocida?
Cuando el residente tiene una medida de apoyo a la capacidad jurídica, el representante legal ejerce los derechos en materia de protección de datos en su nombre. La residencia debe documentar la representación y actuar conforme a ella, respetando en la medida de lo posible la voluntad y las preferencias del propio residente.
¿Cuánto tiempo hay que conservar el expediente del residente?
La Ley 41/2002 establece un mínimo de 5 años desde el último proceso asistencial. La normativa autonómica puede ampliar este plazo. Además, el expediente social puede tener sus propios plazos según la legislación de servicios sociales aplicable en cada comunidad. Durante el período de conservación legalmente exigido, los datos no pueden suprimirse aunque el residente o sus representantes lo soliciten.
Herramienta gratuita
Test general de protección de datos
Comprueba en 5 minutos tu grado general de adaptación en protección de datos.
Sin email · Anónimo · Sin compromiso
Sector sociosanitario
Cumplimiento RGPD
para tu residencia.
Un experto en protección de datos analiza tu actividad y te propone la solución más adecuada. Sin intermediarios, sin burocracia.
Propuesta en 24 h · info@certix.es
Nota legal: Este contenido es meramente orientativo y divulgativo; no constituye en ningún caso asesoramiento jurídico especializado. La aplicación de la normativa a cada caso concreto requiere análisis individualizado.