Datos de salud y otros datos sensibles en la nube: precauciones extra
Los datos sensibles en la nube, como la salud, la biometría, la orientación sexual o las creencias, exigen más cuidado que el teléfono de un cliente. En España, el artículo 9 del RGPD prohíbe tratarlos salvo excepciones como el consentimiento explícito o la asistencia sanitaria; en México hace falta consentimiento expreso y por escrito; Colombia, Argentina y Chile tienen definiciones y límites propios. En la nube, eso se traduce en menos datos, accesos mínimos, cifrado y una evaluación previa del riesgo.
Datos sensibles en la nube: por qué piden un trato aparte
Una psicóloga de Valencia que guarda notas de sesión en la nube, un gimnasio de Santiago que usa la huella dactilar para abrir la puerta o una consultora de recursos humanos de Bogotá que almacena certificados médicos tratan algo más delicado que una lista de correos. Casi todas las leyes de protección de datos reservan a esa información una categoría propia, con reglas más estrictas. En España se llaman «categorías especiales de datos» y las regula el artículo 9 del Reglamento General de Protección de Datos. Esta página completa, con precauciones prácticas, la guía sobre la ley y tus datos guardados en la nube.
La lógica es la misma en todos los países: si esos datos se filtran, el daño para la persona (discriminación, exposición de su salud o de su vida íntima) es mayor. Por eso la ley exige más antes de tratarlos y la nube que los guarda merece más capas de protección. Lo que sigue es información general: con datos de salud, conviene que un profesional de la protección de datos de tu país revise tu caso.
Qué es un dato sensible en cada país
Las listas no coinciden. Esta tabla recoge solo lo que dicen los textos vigentes a 13 de octubre de 2026; no traslada la regla de un país a otro.
| País y norma | Ejemplos de datos sensibles | Regla básica |
|---|---|---|
| España: RGPD, art. 9; LOPDGDD, art. 9 | Origen étnico o racial, opiniones políticas, convicciones religiosas o filosóficas, afiliación sindical, datos genéticos, biométricos para identificar, salud, vida u orientación sexual | Prohibido salvo excepciones, como el consentimiento explícito o la asistencia sanitaria; el solo consentimiento no basta si la finalidad principal es identificar ideología, afiliación sindical, religión, orientación sexual, creencias u origen racial o étnico |
| México: LFPDPPP 2025, arts. 2, fr. VI, y 8 | Origen racial o étnico, estado de salud presente o futuro, información genética, creencias, opiniones políticas, preferencia sexual | Consentimiento expreso y por escrito; no crear bases de datos sensibles sin una finalidad legítima y concreta |
| Colombia: Ley 1581 de 2012, arts. 5 y 6 | Origen racial o étnico, orientación política, convicciones religiosas o filosóficas, pertenencia a sindicatos u organizaciones sociales, salud, vida sexual, datos biométricos | Prohibido salvo excepciones, empezando por la autorización explícita del titular |
| Argentina: Ley 25.326, arts. 2, 7 y 8 | Origen racial y étnico, opiniones políticas, convicciones religiosas, filosóficas o morales, afiliación sindical, salud, vida sexual | Nadie está obligado a darlos; solo se tratan por razones de interés general autorizadas por ley o con fines estadísticos o científicos sin identificar; prohibidos los archivos que los revelen, aunque centros sanitarios y profesionales de la salud pueden tratar los datos de sus pacientes con secreto profesional |
| Chile: Ley 19.628, arts. 2 g) y 10, hasta el 30 de noviembre de 2026 | Hábitos personales, origen racial, ideologías y opiniones políticas, creencias religiosas, estados de salud, vida sexual | Solo si la ley lo autoriza, con consentimiento del titular o para beneficios de salud; desde el 1 de diciembre de 2026 la definición incluye también perfil biológico, biometría, orientación sexual, identidad de género y situación socioeconómica |
Fuentes: RGPD y LOPDGDD (BOE), LFPDPPP (Cámara de Diputados), Ley 1581 (MinTIC), Ley 25.326 (Infoleg), Leyes 19.628 y 21.719 (BCN y Diario Oficial de Chile), consultados el 13 de octubre de 2026.
Siete precauciones antes de subirlos a la nube
Ninguna de estas leyes prohíbe la nube como tal: lo que exigen es que el tratamiento esté permitido y protegido. Estas medidas, útiles en cualquier país, reducen el riesgo de forma concreta:
- Guarda menos. Antes de digitalizar un expediente completo, pregúntate qué parte necesitas de verdad. Un dato que no está en la nube no se puede filtrar.
- Sepáralos. Usa una carpeta o unidad compartida propia, con acceso solo para quien lo necesita, en lugar de mezclarlos con los archivos de trabajo.
- Prohíbe los enlaces públicos en esa carpeta y revisa cada trimestre quién tiene acceso.
- Exige la verificación en dos pasos a todas las cuentas que puedan abrirla.
- Cifra. Activa el cifrado del lado del cliente si tu servicio lo ofrece, o cifra los archivos antes de subirlos.
- Revisa el contrato y la región. Comprueba que el anexo de tratamiento del proveedor cubre estos datos y dónde se guardan.
- Evalúa el riesgo por escrito. En España, el RGPD exige una evaluación de impacto cuando se tratan categorías especiales a gran escala (art. 35.3.b). Aunque no llegues a ese umbral, una página con los riesgos y las medidas te servirá ante cualquier inspección.
En España, además, la herramienta Facilita RGPD de la AEPD no sirve para estos casos: está pensada para tratamientos de escaso riesgo y excluye expresamente los datos de salud. Y los centros sanitarios obligados a llevar historias clínicas deben designar un delegado de protección de datos, salvo los profesionales que ejercen a título individual (LOPDGDD, art. 34).
El marco general en España
Las precauciones anteriores se suman a las obligaciones de cualquier pyme española con datos en la nube: contrato, registro, información y brechas. El repaso de qué pide el RGPD a una pyme que usa la nube las ordena en una tabla.
Cifrado y regiones de datos en un servicio concreto
En Google Workspace, el cifrado del lado del cliente y la elección de región dependen de la edición. Los detalles están en la configuración de Drive para datos de clientes.
Un ejemplo de reglas latinoamericanas
Colombia exige un contrato de transmisión con el proveedor y reportar los incidentes a la SIC en quince días hábiles, reglas que pesan más cuando hay historias clínicas de por medio. Lo explica el caso colombiano de protección de datos en la nube.