Muchas clínicas y centros sanitarios contratan primero un proveedor de almacenamiento en la nube solo por tener ISO 27001 y luego descubren que los datos de imagen médica deben residir en Azure EU-West y cumplir el Esquema Nacional de Seguridad en su categoría alta. Este error retrasa la puesta en marcha entre seis y nueve meses y obliga a rehacer contratos. El cumplimiento de ENS y GDPR en imagen médica exige además soporte explícito a la Ley 41/2002 para la cesión de estudios y la interoperabilidad nativa con DICOM 3.0, HL7 v2.x y FHIR R4. Sin estos requisitos, los informes no pueden circular legalmente entre sistemas del SNS ni entre centros privados. Los responsables de seguridad y compliance necesitan verificar desde el primer día que el proveedor mantiene los datos dentro de la UE, aplica cifrado en reposo y en tránsito según el Real Decreto 311/2022 y permite auditorías de la AEPD sin preaviso. Solo así se evita la sanción y la interrupción del servicio asistencial.
requisitos ENS para proveedores de imagen médica
El Esquema Nacional de Seguridad exige que cualquier proveedor que trate imágenes médicas alcance al menos el nivel alto cuando los datos procedan de centros del sector público o concertado. Esto implica controles de acceso con doble factor, registro de todas las consultas durante cinco años y copias de seguridad incrementales cada 24 horas con retención mínima de un año. Además, el hosting debe realizarse en centros de datos certificados dentro de la UE; Azure EU-West cumple esta ubicación y ofrece latencia inferior a 40 ms para consultas DICOM desde España. El proveedor debe entregar anualmente el informe de auditoría ENS emitido por un organismo acreditado por ENAC. En la práctica, menos del 15 % de las plataformas de teleradiología que operan en España disponen de esta certificación actualizada. Los CISO deben solicitar el alcance exacto del certificado antes de firmar cualquier acuerdo de tratamiento de datos.
interoperabilidad DICOM HL7 FHIR y Ley 41/2002
La Ley 41/2002 regula el consentimiento informado y la cesión de datos de salud. Para que un estudio DICOM pueda enviarse a otro centro, el paciente debe haber autorizado expresamente esa cesión o existir una norma legal que lo permita. Un proveedor certificado debe registrar esa autorización en el propio metadato FHIR y bloquear el acceso si falta. La integración nativa con HL7 v2.x permite recibir la orden de trabajo desde el HIS del hospital y devolver el informe estructurado en menos de 48 horas. FHIR R4 añade la posibilidad de consultar el estado del estudio mediante API REST con tokens OAuth 2.0. Sin esta trazabilidad, el centro receptor no puede demostrar que cumplió la Ley 41/2002 ante una inspección. Los enlaces a sistemas externos deben realizarse solo a través de nodos validados y con cifrado TLS 1.3.
hosting Azure EU-West para datos de imagen médica
Azure EU-West proporciona residencia de datos en Países Bajos y Bélgica, ambas jurisdicciones sujetas al RGPD. Esta ubicación evita la posible aplicación de la CLOUD Act estadounidense. El servicio de blobs y archivos de Azure admite cifrado AES-256 en reposo y permite claves gestionadas por el propio cliente a través de Azure Key Vault. Para modalidad TAC y RM, el volumen medio de un estudio oscila entre 800 MB y 1,2 GB; con 50 estudios diarios el consumo mensual supera los 1,5 TB. El proveedor debe garantizar que estos volúmenes se almacenan exclusivamente en EU-West y que las réplicas geográficas no salen de la UE. El SLA de disponibilidad publicado para Azure Storage en EU-West es del 99,9 % mensual. Cualquier caída superior a 43 minutos al mes genera derecho a compensación contractual.
auditorías y responsabilidades del DPO en teleradiología
El Delegado de Protección de Datos debe revisar trimestralmente los registros de acceso a los estudios DICOM y contrastarlos con las autorizaciones de la Ley 41/2002. El proveedor tiene que facilitar un panel de auditoría que muestre quién, cuándo y desde qué IP accedió a cada imagen. En caso de brecha, el plazo máximo para notificar a la AEPD es de 72 horas. Los contratos deben incluir cláusulas de subencargados que prohíban el uso de servicios fuera de la UE sin consentimiento previo del responsable. La mayoría de las plataformas que operan en España no publican el listado actualizado de subencargados, lo que impide al DPO realizar la evaluación de impacto requerida por el artículo 35 del RGPD.
Consejos prácticos
- Solicita el certificado ENS vigente y verifica que el alcance incluya el tratamiento de imágenes médicas antes de cualquier prueba de concepto.
- Exige que el contrato especifique Azure EU-West como única región de almacenamiento y que prohíba réplicas fuera de la UE.
- Comprueba que la plataforma permite adjuntar el consentimiento informado digitalizado según Ley 41/2002 al propio estudio DICOM.
- Pide acceso a logs de auditoría en tiempo real para que el DPO pueda realizar revisiones trimestrales sin depender de informes mensuales del proveedor.
- Verifica que los informes estructurados se entreguen en formato FHIR R4 o HL7 v2.x para garantizar interoperabilidad con el HIS del centro.
- Incluye en el contrato penalizaciones económicas si el proveedor supera las 48 horas de entrega o sufre una brecha no notificada en 72 horas.
En resumen
Elige únicamente proveedores que acrediten certificación ENS alta, residencia en Azure EU-West y soporte explícito a la Ley 41/2002. Revisa los contratos con el DPO antes de migrar cualquier volumen de imagen médica. Verifica estos requisitos en https://www.phosradiology.com antes de iniciar el proyecto.
Aviso editorial
La mayoría de proveedores omiten que el registro de consentimientos de la Ley 41/2002 debe viajar dentro del propio metadato DICOM para ser oponible ante la AEPD.
Evalúa el soporte a Ley 41/2002 y Azure EU-West en nuestro servicio certificado en phosradiology.com.
Accede al proveedor certificado →Preguntas frecuentes
¿Qué certificaciones debe tener un proveedor?+
Debe poseer certificación ENS en categoría alta con alcance específico para imagen médica, ISO 27001 actualizada y acreditación de residencia de datos en Azure EU-West. Además necesita demostrar interoperabilidad nativa DICOM 3.0, HL7 v2.x y FHIR R4 junto con mecanismos de registro de consentimientos conforme a la Ley 41/2002. Sin estos elementos el contrato no cumple los requisitos de la AEPD ni del Esquema Nacional de Seguridad.