La privacidad de los datos de tus pacientes es uno de los activos más valiosos de cualquier clínica. Con la implementación de VeriFactu (el reglamento de los sistemas de facturación en España), muchos profesionales de la salud se pregunta: ¿dónde van mis datos clínicos? ¿Se comparten con el fisco? ¿Cumplo con GDPR?
La respuesta es tranquilizadora: los datos clínicos sensibles de tus pacientes permanecen completamente protegidos y no se envían a la AEAT. En esta guía te explicamos cómo funciona, qué se transmite realmente y qué garantías de privacidad tienes.
VeriFactu: ¿Qué Se Envía Realmente?
El mayor malentendido sobre VeriFactu es pensar que los detalles clínicos se envían a Hacienda. Esto es falso. VeriFactu solo transmite información fiscal mínima y necesaria para validar la factura.
Lo que SÍ se envía a AEAT:
- Número de factura
- Fecha de emisión
- Importe total
- Identificación del sujeto pasivo (DNI/CIF del paciente)
- Tipo de IVA aplicado
- Datos del proveedor (la clínica)
Lo que NUNCA se envía:
- Diagnósticos del paciente
- Descripciones de tratamientos
- Historial médico
- Síntomas o quejas
- Detalles clínicos de cualquier tipo
- Información sensible sobre la salud
Importante: Aunque la factura en tu sistema interno puede detallar "Tratamiento de caries" o "Sesión de fisioterapia", ese detalle se queda en tu clínica. La AEAT solo recibe el importe y la clasificación fiscal.
Diferencia Crítica: Detalle de Factura vs. Transmisión Fiscal
Es fundamental entender esta distinción:
En tu clínica: Tu sistema de facturación interno (Clinily, por ejemplo) almacena la información completa de la factura, incluyendo detalles del servicio. Esto es necesario para tu gestión interna, contabilidad y atención al paciente.
En AEAT: El sistema VeriFactu recibe solo los datos obligatorios para la auditoría fiscal. Los detalles clínicos se filtran automáticamente, transmitiendo únicamente los elementos necesarios para validar que la factura es correcta.
En la nube: La información se encripta en tránsito y en reposo, cumpliendo con los estándares de protección de datos exigidos por GDPR.
GDPR: Cómo VeriFactu Cumple la Normativa Europea
El Reglamento General de Protección de Datos (GDPR) establece principios clave para el tratamiento de datos personales. VeriFactu está diseñado para respetarlos:
1. Minimización de Datos
GDPR exige que solo se recopilen y procesen datos necesarios. VeriFactu implementa este principio filtrando la información: aunque factures los detalles completos en tu sistema, la transmisión a AEAT es selectiva y limitada.
2. Integridad y Confidencialidad
Todos los datos en tránsito se protegen con encriptación TLS/SSL. Los servidores cumplen con requisitos de seguridad estrictos, acceso controlado y auditorías periódicas.
3. Limitación de Propósito
Los datos solo se usan para el propósito fiscal especificado. No se reutilizan ni ceden a terceros sin autorización legal.
4. Derecho del Interesado
Tus pacientes tienen derecho a saber qué datos se procesan. Como clínica, debes informarles claramente en tu política de privacidad que:
- Se facturan los servicios prestados
- Información fiscal mínima se transmite a AEAT
- Los datos clínicos no se comparten
5. Responsabilidad del Controlador
Como clínica, tú eres responsable de garantizar el cumplimiento. Esto significa:
- Mantener políticas de privacidad claras
- Realizar evaluaciones de impacto (DPIA)
- Tener un registro de tratamientos de datos
- Comunicar incidentes de seguridad en 72 horas
Medidas de Seguridad y Protección de Datos
VeriFactu y plataformas integradas como Clinily implementan múltiples capas de seguridad:
A Nivel de Transmisión
- Encriptación end-to-end durante el envío a AEAT
- Certificados digitales para autenticar la clínica
- Firmas electrónicas en cada transmisión
- Protocolos TLS 1.2+ mínimo
A Nivel de Almacenamiento
- Bases de datos encriptadas en reposo
- Backups redundantes con copias en múltiples ubicaciones
- Control de acceso basado en roles (solo empleados autorizados ven datos sensibles)
- Auditorías de acceso registradas automáticamente
A Nivel de Gestión
- Política de retención de datos clara y legal
- Anonimización cuando sea posible
- Eliminación segura de datos cuando expira su propósito
- Cumplimiento LOPD-GDD (equivalente español de GDPR)
Ejemplos Prácticos: Qué Se Queda Privado vs. Qué Va a AEAT
Veamos casos reales:
Ejemplo 1: Clínica Dental
En tu factura interna:
Número: FAC-2024-001 Paciente: María García (DNI: 12345678X) Detalle: Tratamiento de caries molar derecha, obturación composite Cantidad: 1 Importe: 200€ IVA: 21%
Lo que VeriFactu envía a AEAT:
Factura VAL001 12345678X 200€ + 42€ IVA Código: Servicios dentales
Lo que NO sale de tu clínica:
- El paciente tiene fobia dental
- Ha tenido problemas de bruxismo
- Necesita anestesia reforzada
- Su historial de tratamientos previos
Ejemplo 2: Centro de Fisioterapia
En tu factura interna:
Paciente: Juan López (DNI: 87654321Y) Servicio: Sesión rehabilitación lesión LCA rodilla izquierda Cantidad: 5 sesiones × 60€ = 300€
Transmisión a AEAT:
DNI: 87654321Y Importe: 300€ Servicios sanitarios
Información privada:
- Detalles de la lesión deportiva
- Progreso del paciente
- Plan de recuperación personalizado
- Ejercicios específicos recomendados
Recomendaciones Prácticas para tu Clínica
- Actualiza tu política de privacidad: Explica cómo se manejan los datos en VeriFactu
- Capacita a tu equipo: Todos deben entender qué datos se protegen y cómo
- Usa facturas genéricas: Si es posible, evita descripciones ultra-detalladas (ej: "Servicio profesional" en lugar de diagnósticos específicos)
- Mantén registros: Documentar tu cumplimiento de GDPR es crucial
- Elige proveedores certificados: Asegúrate de que tu software de facturación cumpla GDPR
Conclusión
VeriFactu y GDPR no son enemigos; están diseñados para coexistir. La privacidad clínica está protegida porque:
✓ Los datos sensibles se filtran antes de la transmisión ✓ La AEAT solo recibe información fiscal mínima ✓ La encriptación protege todo en tránsito y en reposo ✓ Tu clínica mantiene control total sobre los registros clínicos ✓ El marco legal respeta el derecho a la privacidad del paciente
Tus pacientes pueden estar seguros: sus diagnósticos, tratamientos y detalles médicos permanecen en tu clínica, protegidos bajo las garantías más estrictas de privacidad. VeriFactu solo toma lo que necesita fiscalmente, nada más.
¿Preguntas sobre cómo funciona en tu clínica? Revisa la documentación oficial de la AEAT o consulta con tu asesor legal especializado en protección de datos.
Última actualización: Marzo 2026 Este artículo es informativo y no constituye asesoramiento legal. Consulta con un profesional especializado para casos específicos.
