GDPR y apps de salud: qué exigir antes de instalar

Por qué el GDPR es relevante incluso fuera de la UE

El Reglamento General de Protección de Datos cubre a residentes de la UE y a las empresas que procesan sus datos. En la práctica, casi todas las apps internacionales aplican un único estándar GDPR, así que el nivel de protección llega también a usuarios de otras regiones. Es un punto de referencia útil incluso si vives fuera de Europa.

Qué dice sobre datos de salud

El artículo 9 del GDPR clasifica los datos médicos como «categorías especiales». Su tratamiento exige una base legal específica (consentimiento explícito, ejecución de un contrato sanitario, etc.) y aplican obligaciones reforzadas: minimización, limitación de la finalidad, evaluaciones de impacto, plazos de retención justificados.

Checklist práctico antes de instalar

• Identificación del responsable. Nombre, dirección y país de la empresa que recolecta los datos. Si solo aparece un alias o un correo de Gmail, mala señal.
• Base legal explícita. La política debería decir bajo qué base se procesan los datos médicos. «Interés legítimo» en este tipo de datos es discutible.
• Lista de subprocesadores. A qué proveedores se pasan los datos (hosting, analytics, soporte). Una app local-first no necesita subprocesadores.
• Plazo de retención. Cuánto tiempo se guardan los datos y bajo qué criterio. «Indefinidamente» no es una respuesta válida.
• Derechos del usuario. Cómo ejercer acceso, rectificación, oposición, portabilidad y supresión. Cuanto más claros los pasos, más serio el responsable.
• Transferencias internacionales. Si los datos salen de la UE, qué garantías existen (cláusulas tipo, decisión de adecuación). Especialmente relevante si la app es estadounidense.
• DPO o contacto de privacidad. Una empresa que trata datos de salud a escala debería tener Delegado de Protección de Datos identificable.

Banderas rojas frecuentes

• Política de privacidad genérica, copiada de un generador, sin nombres ni direcciones.
• «Compartimos con socios comerciales para personalizar tu experiencia». Si tu experiencia es leer recordatorios de medicación, no necesita personalización.
• Email de contacto que no responde o que cambia entre versiones.
• Botón de eliminación de cuenta enterrado a cinco niveles de profundidad.

Qué propone Medtaker

El modelo de Medtaker —sin cuenta, sin envío de datos a servidores, sin subprocesadores— simplifica el cumplimiento porque elimina la mayoría de los puntos donde una app suele fallar. La política cabe en una página y no necesita inventar bases legales para datos que no se procesan. Cuando agreguemos cualquier funcionalidad que requiera procesar información fuera del dispositivo, lo declararemos antes de habilitarla.