Los datos de salud son la categoría de datos más protegida por el RGPD. Cada historial clínico, cada diagnóstico, cada resultado analítico que circula por la red de internet de un centro sanitario está sujeto al artículo 9 del Reglamento, que establece sanciones agravadas cuando se produce una brecha.
Y sin embargo, muchos centros tratan su conexión a internet como si fuera una utilidad más, sin considerar que la arquitectura de esa red forma parte del sistema de cumplimiento legal que la normativa exige.
La AEPD tramitó 187 expedientes sancionadores contra el sector sanitario entre 2024 y 2025, con una sanción media de 18.000 euros para clínicas privadas y un 38% de los casos originados en acceso indebido a historiales clínicos.
El internet para clínicas no es solo una cuestión de velocidad o cobertura: es una cuestión de seguridad, trazabilidad y responsabilidad legal.
Por qué la conexión de internet es parte del cumplimiento legal de un centro sanitario
La normativa que afecta a un centro de salud en materia de datos no solo regula qué información se recoge y cómo se almacena.
Regula también cómo se transmite. El artículo 32 del RGPD exige medidas técnicas y organizativas adecuadas para garantizar la seguridad de los datos en función del riesgo, y en el sector sanitario el riesgo es máximo por la naturaleza de los datos tratados.
En la práctica, esto significa que la red a través de la cual viajan los datos de los pacientes, ya sea para acceder a la historia clínica electrónica, transmitir resultados de pruebas, realizar teleconsultas o gestionar citas y facturación, debe cumplir tres requisitos técnicos que la ley convierte en obligaciones: cifrado en tránsito, control de acceso y trazabilidad.
Cifrado en tránsito: cualquier dato de salud que viaje por la red debe ir cifrado. Esto implica que la conexión entre los dispositivos del centro y los servidores donde está alojada la historia clínica o el sistema de gestión debe ser segura. Una red WiFi sin cifrado WPA3 en la que circulen datos clínicos incumple este requisito.
Control de acceso: la ley exige que solo las personas autorizadas accedan a los datos de los pacientes, y que ese acceso quede registrado. La red debe estar configurada para que un médico no pueda acceder involuntariamente a datos de un sistema al que no tiene permisos, y para que exista un log de quién accedió a qué y cuándo.
Notificación de brechas en 72 horas: si hay un incidente de seguridad que afecte a datos de salud, el centro tiene 72 horas para notificarlo a la AEPD. Tener visibilidad sobre lo que ocurre en la red (monitorización) es imprescindible para detectar incidentes en el plazo legal.
Además, todos los centros sanitarios legalmente obligados al mantenimiento de historiales clínicos deben designar un Delegado de Protección de Datos (DPO) y comunicarlo a la AEPD. La red de internet del centro forma parte del perímetro que ese DPO debe supervisar.
Internet para clínicas: qué necesidades concretas genera la actividad médica
La actividad de un centro de salud genera varios tipos de tráfico de red con necesidades distintas, y dimensionar la conexión requiere tenerlos todos en cuenta:
Historia Clínica Electrónica (HCE) en la nube: la mayoría de los sistemas de gestión clínica modernos son plataformas cloud. Cada consulta implica acceder, leer y escribir en esa plataforma en tiempo real. Si la conexión es lenta o inestable, el médico espera. En una jornada de veinte consultas, los segundos de espera suman y el impacto sobre la experiencia del paciente es directo.
Teleconsulta y videoconsulta: la telemedicina ha crecido de forma sostenida en España desde 2020. Una teleconsulta médica requiere entre 3 y 5 Mbps de velocidad de subida estables por sesión activa. Si hay varias teleconsultas simultáneas en el centro, la velocidad de subida de la línea se convierte en el factor limitante.
Transmisión de imágenes diagnósticas: radiografías digitales, ecografías, TAC, resonancias. Los archivos DICOM de imagen médica son grandes (decenas de megabytes por imagen) y deben transmitirse de forma segura entre el centro, el especialista y el sistema de almacenamiento. La velocidad de subida simétrica es aquí crítica.
Gestión administrativa: citas, facturación, comunicaciones con aseguradoras, recetas electrónicas. Todo digital y todo dependiente de la conexión. Una caída de internet en recepción puede paralizar la agenda del día.
Dispositivos médicos conectados: tensiómetros digitales, monitores de constantes, equipos de electrocardiografía, sistemas de llamada de pacientes. Cada vez más dispositivos del centro se conectan a la red, y cada uno es un punto que debe estar correctamente segmentado para que no genere riesgos de seguridad.
La segmentación de red que exige la normativa sanitaria
Una clínica no puede tener todos sus dispositivos en la misma red. No es solo una recomendación técnica: es una consecuencia directa de la obligación de controlar el acceso a los datos de salud.
La arquitectura de red de un centro sanitario debe contemplar al menos estas redes separadas:
Red clínica: exclusiva para los sistemas que contienen o acceden a datos de pacientes (HCE, sistema de gestión, imagen médica). Acceso restringido a dispositivos autorizados, cifrado extremo a extremo, registro de accesos activado.
Red de dispositivos médicos: equipos diagnósticos conectados en red, aislados del resto de sistemas para evitar que una vulnerabilidad en un dispositivo de fabricante externo comprometa los datos clínicos.
WiFi para pacientes: red de invitados en sala de espera, completamente aislada de la red clínica. El paciente conecta su móvil a esta red y en ningún caso puede ver ni acceder a nada del sistema interno del centro. Esta red debe tener además filtrado de contenidos y control de ancho de banda para que un paciente descargando un vídeo no sature la conexión del sistema de citas.
Red administrativa: recepción, facturación, administración. Separada de la red clínica para limitar la exposición de datos de salud a quienes no tienen acceso clínico.
Esta segmentación se implementa mediante VLANs en el switch gestionable del centro, algo que no es posible con infraestructura de red doméstica o no gestionable.
Qué velocidad y qué tipo de línea necesita una clínica
La conexión centro salud adecuada depende del tamaño del centro y de la intensidad de uso digital, pero hay criterios claros para cada perfil:
Consulta o clínica dental pequeña (1-3 consultorios): fibra simétrica de mínimo 300 Mbps con SLA incluido. El SLA es imprescindible: una caída de internet en una clínica dental no es solo un problema de productividad; puede implicar no poder acceder a la historia clínica de un paciente en silla. El tiempo de reparación comprometido en el contrato debe ser de horas, no de días.
Clínica mediana (4-10 consultorios, teleconsulta activa): fibra simétrica de 600 Mbps a 1 Gbps. Si hay teleconsultas simultáneas frecuentes, la velocidad de subida debe estar garantizada y no compartida. Una línea asimétrica no es adecuada para este perfil.
Centro médico o clínica especializada con imagen médica: 1 Gbps simétrico como mínimo. La transmisión de archivos DICOM y el acceso concurrente de varios especialistas a sistemas de imagen requieren ancho de banda real, no teórico.
Para todos los perfiles, la fibra internet centro médico debe ser empresarial con IP fija. La IP fija es necesaria para el acceso remoto seguro (VPN), para los sistemas de videovigilancia y para la conexión con las plataformas de historia clínica que requieren una dirección IP estable del centro.
Por qué la continuidad de la conexión es crítica en entornos sanitarios
Una clínica sin internet puede encontrarse en una situación que va más allá de la incomodidad operativa: sin acceso a la historia clínica electrónica, el médico no tiene información sobre el paciente sentado frente a él.
Por eso la fibra clínica dental o la conexión de cualquier centro sanitario debería incluir, además de la línea principal, una línea de respaldo 4G con failover automático.
Si la fibra cae, la conexión 4G toma el relevo en segundos y el acceso a los sistemas clínicos continúa sin interrupción. El coste de esta segunda línea (25-40 euros al mes en planes de respaldo) es marginal comparado con el impacto de una consulta paralizada por una avería.
La checklist de cumplimiento técnico-legal para tu clínica
Antes de revisar o contratar la conectividad de tu centro, estas son las preguntas que determinan si tu infraestructura actual cumple con lo que la normativa exige: ¿La red clínica está físicamente separada (VLAN) de la red de pacientes? ¿Los datos que viajan por la red van cifrados, incluyendo el acceso a la HCE y al sistema de gestión?
¿Hay registro de accesos a los datos clínicos que documente quién accedió a qué y cuándo? ¿Tienes contrato de encargado del tratamiento firmado con el proveedor de la HCE cloud y con el proveedor de internet?
¿La conexión tiene SLA con tiempo de reparación comprometido, no solo «alta disponibilidad»? ¿Hay una línea de respaldo que garantice continuidad si la fibra cae? ¿El DPO del centro ha validado la arquitectura de red como parte del sistema de seguridad?
Si alguna de estas respuestas es negativa, existe un riesgo de cumplimiento que conviene abordar antes de que derive en una incidencia de seguridad o en un expediente sancionador.
En Apolo Group trabajamos con clínicas y centros de salud para diseñar soluciones de conectividad que cumplen con los requisitos técnicos y legales del sector sanitario. Puedes ver más información en nuestra página de soluciones para centros de salud y clínicas.
