# GDPR y datos de salud para desarrolladores > Datos de salud del Artículo 9 como tareas de ingeniería: base legal, DPA, residencia en la UE, seguridad, acceso y eliminación, DPIA — mapeados a lo que Anpheros cubre. HIPAA: BAA bajo petición. No es asesoramiento legal. Source: https://developers.anpheros.com/es/guides/gdpr-health-data-developers **Bajo el GDPR, los datos de salud son una categoría especial de datos personales (Artículo 9): su procesamiento está prohibido a menos que se aplique una de una breve lista de condiciones, como el consentimiento explícito de la persona o la prestación de atención médica, y requiere salvaguardias más sólidas que los datos personales ordinarios.** Para los equipos de software, esto se traduce en decisiones de diseño concretas: una base legal documentada, un acuerdo de procesador con cada proveedor que toque los datos, residencia de datos en la UE o una transferencia legal, control de acceso y registro, y formas de dar a las personas sus datos y eliminarlos. Esta página mapea esos requisitos al trabajo de ingeniería y muestra qué partes ya cubre una plataforma de datos de salud como Anpheros. Es una guía técnica, no asesoramiento legal. ## Los requisitos, como tareas de ingeniería | Requisito GDPR | Qué significa en código y operaciones | En Anpheros | |---|---|---| | Base legal del Artículo 9 | Decida y registre por qué procesa datos de salud (consentimiento explícito, atención médica, salud pública, investigación…) | A su decisión y documentación; el acceso por parte de otras aplicaciones se realiza a través de consentimiento OAuth explícito, y cada concesión registra el propósito declarado por la aplicación | | Acuerdo de procesador del Artículo 28 | Firme un acuerdo de procesamiento de datos con cada procesador | El acceso a producción requiere un DPA firmado | | Transferencias del Capítulo V | Mantenga los datos en la UE/EEE, o utilice un mecanismo de transferencia legal | Almacenado y procesado en la UE (Google Cloud `europe-west4`, Países Bajos) | | Seguridad del Artículo 32 | Cifrado, control de acceso, aislamiento, registro, resiliencia | Aislamiento por proyecto, IDs de pacientes emparejados, documentos cifrados con una clave gestionada por el cliente, un registro de acceso | | Derecho de acceso del Artículo 15 | Proporcione a la persona una copia de sus datos | `Patient/$everything` (registro FHIR completo) y `$summary` (IPS) | | Derecho de supresión del Artículo 17 | Elimine cuando finalice la base o la persona lo solicite | Elimine a través de la API; las eliminaciones son lógicas y se conservan versiones para auditoría — planifique cómo su política de retención las maneja | | Protección de datos por diseño del Artículo 25 | Recopile solo lo que necesita; limite quién puede verlo | Los ámbitos SMART y los filtros de categoría limitan lo que cada aplicación lee | | Registros de tratamiento del Artículo 30 | Documente qué trata y por qué | Procedencia en cada escritura: autor, organización, sistema de origen | | Notificación de violación del Artículo 33 | Detecte e informe en 72 horas | Su proceso de incidentes; la plataforma registra cada acceso | | DPIA del Artículo 35 | Evalúe el tratamiento de alto riesgo antes de comenzar | A su cargo redactarlo; la plataforma documenta sus propias medidas | ## El consentimiento no es la única base legal El consentimiento explícito (Artículo 9(2)(a)) es común para las aplicaciones de pacientes, pero las clínicas suelen basarse en la prestación de atención médica (Artículo 9(2)(h)) y los proyectos de investigación en el Artículo 9(2)(j) con la ley nacional. Elija la base por propósito, regístrela y no solicite un consentimiento que no vaya a cumplir: el consentimiento debe ser tan fácil de retirar como de otorgar. En Anpheros, una persona revoca el acceso de una aplicación desde la página de consentimiento y la siguiente solicitud falla. ## El Espacio Europeo de Datos Sanitarios se suma al RGPD El Reglamento (UE) 2025/327 (EHDS) mantiene el RGPD y añade derechos y formatos: las personas obtienen acceso electrónico a sus datos prioritarios (resumen del paciente, recetas, resultados de laboratorio, imágenes, informes de alta) y pueden compartirlos, y los sistemas de HCE deben admitir el formato de intercambio europeo. Consulte [EHDS para desarrolladores](https://developers.anpheros.com/es/guides/ehds-for-developers). ## ¿Y HIPAA? El GDPR se aplica a las personas en la UE; HIPAA se aplica a las entidades cubiertas y sus asociados comerciales en los EE. UU. Anpheros está diseñado para el GDPR y la residencia de datos en la UE, y los mismos controles sirven para HIPAA: Anpheros actúa como un Asociado Comercial para clínicas de EE. UU., con un acuerdo de asociado comercial (BAA) y una región de datos de EE. UU. disponible bajo solicitud para clientes de producción. Las salvaguardas de HIPAA se enumeran en la [página de seguridad](https://developers.anpheros.com/es/guides/security). ## Preguntas frecuentes ### ¿Son los datos de salud datos de categorías especiales según el RGPD? Sí. El Artículo 9 enumera los datos relativos a la salud entre las categorías especiales; su tratamiento requiere una de las condiciones del Artículo 9(2) además de una base legal del Artículo 6. ### ¿Necesito consentimiento explícito para procesar datos de salud? No siempre. El consentimiento explícito es una condición; otras incluyen la prestación de atención sanitaria o social, la salud pública y la investigación científica conforme a la legislación nacional. Elija y documente la que se ajuste a cada propósito. ### ¿Deben almacenarse los datos de salud en la UE? El RGPD no exige el almacenamiento en la UE, pero las transferencias fuera del EEE necesitan un mecanismo legal (una decisión de adecuación o salvaguardias apropiadas). Mantener los datos en la UE evita esa cuestión; algunas normativas nacionales son más estrictas. ### ¿Cumple Anpheros con el RGPD? Anpheros está diseñado para el RGPD: residencia de datos en la UE, un acuerdo de procesamiento de datos para producción, consentimiento controlado por el paciente, aislamiento entre aplicaciones y un registro de acceso que el paciente puede leer. El cumplimiento de su producto también depende de su propia base legal, documentación y procesos. ## Relacionado - [Seguridad, privacidad y residencia de datos](https://developers.anpheros.com/es/guides/security) - [Espacio Europeo de Datos Sanitarios (EHDS) para desarrolladores](https://developers.anpheros.com/es/guides/ehds-for-developers) - [Plataforma de consentimiento del paciente para aplicaciones de salud](https://developers.anpheros.com/es/guides/patient-consent-platform) - [Procedencia de datos médicos explicada](https://developers.anpheros.com/es/guides/medical-data-provenance) - [API de EHR y API de registros médicos](https://developers.anpheros.com/es/guides/ehr-api)