Consentimiento para el tratamiento de datos de salud
En pocas palabras
Es la manifestación de voluntad con la que una persona autoriza que se recopilen, usen o compartan sus datos de salud para fines determinados. El RGPD y la LGPD le exigen requisitos más estrictos que para otros datos: que sea explícito, en el RGPD, o específico y destacado, en la LGPD. Pero no es la única base legal: el RGPD, HIPAA y la LGPD prevén bases propias para la atención sin consentimiento.
- Tipo
- Concepto
- Responsable
- Sin responsable único: concepto o tecnología genérica
- Revisado
- 25 de octubre de 2026
Explicación
Qué es
En protección de datos, el consentimiento es una base legal para tratar datos personales. En el RGPD es una manifestación de voluntad libre, específica, informada e inequívoca, mediante una declaración o una clara acción afirmativa (art. 4.11). No debe confundirse con:
- El consentimiento informado asistencial, que autoriza un procedimiento clínico.
- La gestión del consentimiento, la práctica y la tecnología que registran y aplican esas decisiones.
Requisitos según la jurisdicción
| Jurisdicción | Cuándo se pide | Requisitos y alternativas |
|---|---|---|
| Unión Europea (RGPD) | Una de las excepciones del art. 9.2 (letra a) | Explícito y para fines especificados; revocable en todo momento (art. 7.3); el responsable debe poder demostrarlo (art. 7.1). Hay otras bases, como la asistencia sanitaria (letra h) |
| Estados Unidos (HIPAA) | Autorización para usos fuera de tratamiento, pago y operaciones (§ 164.508) | Para tratamiento, pago y operaciones no se requiere; pedir consentimiento es opcional (§ 164.506) |
| Brasil (LGPD) | Art. 11.I | Específico y destacado, para finalidades específicas; el art. 11.II enumera supuestos sin consentimiento, como la tutela de la salud |
| Canadá (PIPEDA) | Principio 3 del anexo 1 | Conocimiento y consentimiento, salvo cuando no corresponda; el OPC publicó pautas con siete principios rectores para un consentimiento significativo |
| Argentina (Ley 25.326) | Art. 7 | Nadie puede ser obligado a proporcionar datos sensibles; el art. 8 permite a establecimientos y profesionales de salud tratar los datos de sus pacientes |
Aceptar u oponerse
Algunas normas no piden consentimiento, sino que dan derecho a oponerse. El Espacio Europeo de Datos de Salud permite a los Estados miembros prever una autoexclusión del acceso para uso primario (art. 10) y da a las personas el derecho de autoexcluirse del uso secundario en cualquier momento y sin dar motivos (art. 71).
Errores frecuentes
- Creer que el consentimiento es siempre la base adecuada. En el RGPD puede revocarse en cualquier momento (art. 7.3), y el art. 9.2 ofrece otras bases para la asistencia y la salud pública.
- Creer que sin consentimiento no se puede atender. El RGPD, HIPAA y la LGPD prevén bases para la asistencia.
- Confundir autoexclusión con consentimiento. En el uso secundario del EEDS, el silencio no equivale a una negativa; y aun tras la autoexclusión, un Estado miembro puede prever el mecanismo nacional del art. 71.4 para ciertos fines de salud pública o de investigación científica por razones importantes de interés público, a solicitud de organismos del sector público o con mandato de salud pública.
- Pedir un consentimiento genérico. El RGPD y la LGPD exigen fines especificados o específicos.
Ejemplos de uso
En la UE, un estudio basado en el consentimiento explícito (RGPD, art. 9.2.a) debe permitir retirarlo con la misma facilidad con que se dio (art. 7.3).
En Estados Unidos, una entidad cubierta necesita una autorización escrita del paciente para usos que HIPAA no permite sin ella (§ 164.508).
En Brasil, el consentimiento para tratar datos de salud debe darse de forma específica y destacada (LGPD, art. 11.I).
En Canadá, el principio 3 de PIPEDA exige conocimiento y consentimiento, y su nota reconoce que razones médicas pueden hacerlo impracticable.
En la UE, el EEDS da a las personas un derecho de autoexclusión del uso secundario de sus datos de salud electrónicos, reversible (art. 71).
En Argentina, el art. 7 de la Ley 25.326 establece que nadie puede ser obligado a proporcionar datos sensibles.
Relación con otros términos
Se apoya en1
- Protección de datos de saludFuerte
El consentimiento es una de las bases legales que las leyes de protección de datos de salud regulan; sus requisitos dependen de esas leyes.
Dependen de este1
- Gestión del consentimientoMediana
La gestión del consentimiento registra y aplica decisiones cuyo valor legal fijan las normas sobre consentimiento para el tratamiento de datos de salud.
Fuentes
- EUR-Lex — Regulation (EU) 2016/679 (GDPR)eur-lex.europa.eu
- EUR-Lex — Regulation (EU) 2025/327 on the European Health Data Spaceeur-lex.europa.eu
- eCFR — 45 CFR Part 164 (HIPAA Privacy Rule, §§ 164.506 and 164.508)ecfr.gov
- Planalto — Lei nº 13.709/2018 (LGPD), texto compiladoplanalto.gov.br
- Office of the Privacy Commissioner of Canada — Guidelines for obtaining meaningful consentpriv.gc.ca
- Argentina.gob.ar — Ley 25.326 de Protección de los Datos Personalesargentina.gob.ar