Wearables conforme al RGPD: de la base jurídica al análisis de los datos

Quien utiliza wearables en clínicas, rehabilitación, gestión de la salud en la empresa o estudios trata datos sensibles. Por eso, la cuestión de los wearables y el RGPD no es un trámite: decide si un proyecto puede ponerse en marcha. Esta guía recorre los fundamentos jurídicos, muestra adónde fluyen técnicamente los datos y compara las vías para llevar los datos de los wearables de forma controlada a una base de datos propia.

¿Son los datos de los wearables datos de salud según el RGPD?

Según el art. 4, punto 15, del RGPD, los datos relativos a la salud son datos personales relativos a la salud física o mental de una persona que revelan información sobre su estado de salud. Pertenecen a las categorías especiales de datos personales del art. 9 del RGPD. Su tratamiento está prohibido por principio, salvo que se aplique una de las excepciones del art. 9, apartado 2.

Para los wearables, esto significa que la mayoría de los valores de medición que interesan en aplicaciones profesionales entran en esta categoría.

• Claramente datos de salud: frecuencia cardiaca, variabilidad de la frecuencia cardiaca (VFC), señales de ECG, saturación de oxígeno, temperatura cutánea, fases y calidad del sueño
• Según la finalidad: pasos, minutos de actividad, volumen de entrenamiento o gasto calórico. En cuanto estos valores se utilizan para valorar la salud, la capacidad de carga o la recuperación de una persona, también deben tratarse como datos de salud.
• Siempre datos personales: aunque no lleve nombre, un registro es un dato personal mientras pueda atribuirse a una persona a través de un identificador, una cuenta o un dispositivo. Los datos seudonimizados siguen siendo datos personales.

Además del art. 9, siempre necesita una base jurídica conforme al art. 6 del RGPD. En la práctica, ambas se examinan conjuntamente.

Bases jurídicas: consentimiento, tratamiento médico, investigación

La base jurídica aplicable depende de la finalidad. Un mismo reloj inteligente puede funcionar con una base distinta en rehabilitación, en la gestión de la salud en la empresa y en un estudio. La siguiente tabla muestra las asignaciones habituales por ámbito de uso.

Ámbito de uso	Base jurídica habitual según el art. 9, apartado 2, del RGPD	Aspectos que debe tener en cuenta
Clínica y rehabilitación	Letra h) (asistencia sanitaria y tratamiento), complementada por el Derecho nacional; para finalidades adicionales, letra a) (consentimiento)	Secreto profesional, limitación de la finalidad al tratamiento, transferencia al HIS y a la historia clínica
Gestión de la salud en la empresa	Letra a) (consentimiento explícito)	Voluntariedad pese a la relación de dependencia, comité de empresa, solo análisis agregados para el empleador
Estudios e investigación	Letra a) (consentimiento tras la información del estudio) o letra j) (fines de investigación) con garantías según el art. 89	Protocolo del estudio, dictamen del comité de ética, seudonimización, plazos de supresión
Deporte de alto rendimiento	Letra a) (consentimiento explícito); en la atención médico-deportiva, también letra h)	Voluntariedad frente a la federación y el cuerpo técnico, permisos por rol

Un consentimiento debe cumplir los requisitos del art. 7 del RGPD: informado, libre, para una finalidad determinada, demostrable y revocable en cualquier momento. Como responsable del tratamiento, la carga de la prueba recae en usted. En el Datico^® Life Hub, un Double Opt-In documenta cada consentimiento con su fecha y alcance, la revocación es posible en cualquier momento, y la concesión, la confirmación y la revocación quedan registradas además en el Audit Trail.

Adónde fluyen los datos de los wearables: nube del fabricante, terceros países, encargo del tratamiento

La base jurídica es solo la mitad de la respuesta. Para la protección de datos en los wearables es igual de decisivo el recorrido que siguen los datos. En los wearables de consumo, la vía estándar es esta:

1. El wearable mide y almacena los datos en el dispositivo.
2. La app del fabricante transfiere los datos al smartphone por Bluetooth.
3. La app los transmite a la nube del fabricante. Para ello, cada persona necesita su propia cuenta con el fabricante.
4. Solo desde allí llegan los datos a su propio sistema a través de una interfaz del fabricante.

De ello se derivan tres puntos de control.

Papel del fabricante

Si la propia persona atendida crea una cuenta con el fabricante, surge una relación contractual propia entre ella y el fabricante. En ese caso, el fabricante suele tratar los datos según sus propias condiciones de uso y de protección de datos. Compruebe qué papel desempeña el fabricante en su proyecto y qué datos utiliza para fines propios.

Transferencias a terceros países

Si el fabricante o su proveedor de nube tiene su sede fuera de la UE, se aplican las normas del capítulo V del RGPD (art. 44 y siguientes). En ese caso, una transferencia solo es lícita con una decisión de adecuación, cláusulas contractuales tipo u otra garantía. Para Estados Unidos puede entrar en consideración el Marco de Privacidad de Datos UE-EE. UU., siempre que el destinatario esté certificado en él. Esto debe comprobarse y documentarse en cada caso.

Encargo del tratamiento

Todo proveedor que almacene o trate los datos por cuenta de usted necesita un contrato conforme al art. 28 del RGPD. Esto afecta tanto a la plataforma en la que realiza los análisis como a su alojamiento. Datico^® firma con cada cliente un contrato de encargo del tratamiento de este tipo. Los datos se encuentran en una base de datos propia para cada cliente en servidores ubicados en Alemania, sin transferencias a terceros países. Más información en Confianza y seguridad.

Tres vías para obtener datos de wearables conformes al RGPD

Datico^® Wearable Connect conecta wearables al Datico^® Life Hub de forma independiente del fabricante por tres vías. Cuál es la adecuada depende sobre todo de si la nube del fabricante es aceptable en el flujo de datos.

	Wearable Connect Cloud	Wearable Connect Bluetooth	Importación de archivos
Recorrido de los datos	Dispositivo, app del fabricante, nube del fabricante, por API al Datico® Life Hub	Dispositivo por Bluetooth directamente a la Datico® Life App, cifrado al Datico® Life Hub	El dispositivo genera un archivo que se importa en el Datico® Life Hub
Interviene la nube del fabricante	Sí	No	Depende de dónde se genere el archivo
Cuenta con el fabricante	Por lo general, para cada persona	No es necesaria	Según el dispositivo
Actualidad	Sincronización con la plataforma del fabricante	En tiempo real o en diferido, también sin conexión	Tras la importación
Punto fuerte	Aprovecha dispositivos y cuentas existentes, apenas supone esfuerzo para los participantes	Control total del flujo de datos, sin terceros de por medio	Integra también dispositivos sin interfaz
Uso típico	Prevención, deporte, gestión de la salud en la empresa con dispositivos existentes	Estudios con altos requisitos regulatorios, clínica, entornos críticos para la seguridad	Datos históricos, dispositivos especiales

Por las tres vías, los datos llegan a la misma base de datos estructurada, asignados con precisión a cada persona y momento. La diferencia está en el camino hasta ella.

En la vía de la nube, la nube del fabricante sigue formando parte de la cadena. Datico^® añade un tratamiento controlado en el Datico^® Life Hub, pero no sustituye la revisión de las condiciones del fabricante. En la vía Bluetooth a través de la Datico^® Life App, la nube del fabricante desaparece por completo. La app funciona en iOS y Android, asigna automáticamente los datos de medición al perfil correcto y los transmite cifrados. Para estudios es posible la seudonimización según el protocolo del estudio.

Qué dispositivos están conectados y por qué vía lo muestra la relación de Sistemas compatibles. Polar, por ejemplo, está conectado tanto a través de Polar Flow como por Bluetooth a través de la Datico^® Life App.

Wearables en la empresa: protección de datos en la gestión de la salud

En la gestión de la salud en la empresa rigen los criterios más estrictos, porque la plantilla depende del empleador. Para los wearables en la empresa, debería fijar estos puntos antes de entregar el primer dispositivo:

• Voluntariedad: la participación no puede acarrear desventajas ni incentivos encubiertos que ejerzan presión. En Alemania, el § 26 de la Ley Federal de Protección de Datos alemana (BDSG) regula la protección de datos de los trabajadores y establece criterios para determinar cuándo un consentimiento puede ser voluntario en la relación laboral.
• Comité de empresa: los wearables son dispositivos técnicos capaces de registrar el comportamiento o el rendimiento. Según el § 87, apartado 1, n.º 6, de la Ley alemana de Organización de las Empresas (BetrVG), el comité de empresa tiene derecho de codecisión. Un acuerdo de empresa aporta claridad a todas las partes.
• Separación de vistas: el empleador solo recibe análisis agregados por grupos, nunca valores individuales. Los valores individuales solo los ve quien atiende profesionalmente a la persona.
• Proveedor externo: con frecuencia, el programa de salud en la empresa lo gestiona un proveedor externo que trata los datos individuales. Esto facilita la separación respecto del empleador.

Técnicamente, la separación se implementa mediante permisos. Con Roles y permisos en el Datico^® Life Hub, usted determina quién puede usar qué función y qué personas y datos puede ver, hasta el nivel de atributo. Las mismas reglas se aplican a los accesos a través de interfaces.

Wearables en estudios e investigación

En los estudios, a las cuestiones del RGPD se suma el protocolo del estudio. Para la protección de datos de los wearables en estudios, hay que aclarar sobre todo estos puntos:

• Información y consentimiento: los participantes deben entender qué datos registra el wearable, durante cuánto tiempo y quién los analiza.
• Dictamen del comité de ética: el comité de ética también examina la gestión de los datos. Un flujo de datos claro, sin terceros innecesarios, facilita la evaluación.
• Seudonimización: los datos del estudio se gestionan separados de los datos de identidad. La clave solo la tienen las personas autorizadas.
• Calidad de los datos: la frecuencia de muestreo, las lagunas en el registro y la asignación a los momentos del estudio determinan si los datos son analizables.

Un ejemplo es el proyecto MEXT de la Universität der Bundeswehr München. Allí, una app desarrollada por Datico^® sobre la base de Wearable Connect Bluetooth registra las 24 horas del día y con alta resolución los datos de varios wearables Polar, como base de datos para la investigación de las crisis epilépticas. Los cuestionarios en momentos fijos del estudio se añaden con Smart Forms, que funcionan en la misma app. Encontrará más sobre investigación en Datico^® Life Participant.

Wearables en clínica y rehabilitación

En clínica y rehabilitación rara vez se trata solo del wearable. Lo interesante es que, entre dos citas, los datos complementen lo que se mide en la terapia: recuperación, sueño, actividad en el día a día. Para ello, los datos de los wearables deben reunirse en una misma evolución con los datos de los equipos, las valoraciones y los cuestionarios.

Desde el punto de vista de la protección de datos, aquí es importante la limitación de la finalidad. Los datos recogidos para el tratamiento no pueden utilizarse sin más para otros fines. Quien quiera usar más adelante los datos de los wearables también para el control de calidad o la investigación debería recogerlo desde el principio en el consentimiento y en el registro de las actividades de tratamiento.

Datico^® se entiende aquí como apoyo a la decisión basado en datos: los datos ofrecen al profesional una base mejor y la decisión la toma él. Qué resultados ve el paciente en la Datico^® Life App también lo controla el profesional. Los hallazgos sensibles pueden retenerse, por ejemplo hasta la siguiente consulta. Encontrará más sobre el uso clínico en Datico^® Life Patient.

De los valores de medición a la decisión

Un flujo de datos limpio es la condición previa, pero todavía no aporta valor. Los datos de los wearables solo lo adquieren cuando se clasifican y se condensan:

• Clasificar: con Reference Sets, cada valor de medición se asigna automáticamente a una zona de valoración, ajustada por ejemplo al sexo y a la categoría de edad.
• Condensar: con Index Management, usted agrupa datos de wearables, valores diagnósticos y resultados de cuestionarios en una puntuación, por ejemplo un índice de recuperación. Se recalcula en cuanto hay datos nuevos.
• Mostrar: los resultados autorizados aparecen para el profesional en el Health & Performance Workplace y para la persona atendida en la Datico^® Life App.

Esto también tiene una vertiente de protección de datos: cuanto más condensados están los datos, menos valores individuales deben llegar a personas sin un rol de atención profesional. A menudo basta un índice para la gestión y los informes; los datos brutos se quedan con los especialistas.

Lista de control: introducir wearables conforme al RGPD

Estos puntos deberían estar aclarados y documentados antes de empezar.

1. Definir la finalidad: ¿para qué se necesitan qué datos? Registre solo lo necesario para ello.
2. Determinar la base jurídica: art. 6 y art. 9, apartado 2, del RGPD, según el ámbito de uso, acordada con el delegado de protección de datos (DPD).
3. Elegir dispositivo y vía: ¿es aceptable una nube del fabricante? Si no lo es, elija un dispositivo con conexión Bluetooth sin obligación de usar la nube.
4. Revisar terceros países: ¿dónde tienen su sede el fabricante, la nube y la plataforma? Documente la base de cada transferencia fuera de la UE.
5. Firmar contratos: encargo del tratamiento conforme al art. 28 del RGPD con cada proveedor que trate datos por cuenta de usted.
6. Realizar la evaluación de impacto relativa a la protección de datos: conforme al art. 35 del RGPD, si cabe esperar un alto riesgo.
7. Diseñar el consentimiento: texto comprensible, separado por finalidades, demostrable y revocable.
8. Definir roles y permisos: ¿quién ve valores individuales y quién solo datos agregados?
9. Elaborar un plan de supresión: plazos para datos brutos, análisis y justificantes de consentimiento.
10. Aclarar la codecisión: en la empresa, implicar al comité de empresa.
11. Planificar el análisis: ¿qué indicadores, referencias e informes necesita y quién los ve?

Si desea repasar estos puntos para su proyecto, hable con nosotros en una primera conversación personal. Cómo funcionan en la práctica las dos vías con wearables Polar lo muestra el webinario conjunto de Polar y Datico^®. Encontrará la grabación y la próxima fecha, el 20 de enero de 2027, en Webinarios.