Índice del artículo
Lo que el dueño de una clínica tiene que tener resuelto en protección de datos cabe en una hoja: registro de actividades de tratamiento, información clara al paciente, contrato con cada proveedor que toca datos, confidencialidad y formación del equipo, medidas de seguridad reales, un procedimiento para brechas y, en la mayoría de centros sanitarios, un delegado de protección de datos. Firmar lo que trae la consultora no basta: el responsable sigue siendo la clínica.
Esta guía es la visión de conjunto para el dueño. Si lo que te preocupa es la captación (formularios, anuncios, CRM), lo tienes en protección de datos de los leads; si es el uso de herramientas de inteligencia artificial, en IA y datos de pacientes.
Donde de verdad se escapan los datos
No suele ser un hacker. Es un martes a las 18:30: la higienista hace una foto de una radiografía con su móvil para enseñársela al doctor que está en la otra sala, se la manda por WhatsApp personal y se queda en el carrete junto a las fotos de sus hijos. O la pantalla de recepción, girada hacia el mostrador, con la agenda del día abierta mientras un paciente espera. O una llamada: «soy el marido de Carmen, ¿a qué hora tenía la cita?», y recepción contesta.
Ninguno de esos casos parece grave en el momento. Todos son tratamientos de datos de salud sin las garantías que exige la ley.
El marco, en cuatro líneas
- El Reglamento General de Protección de Datos considera los datos de salud una categoría especial, con protección reforzada.
- La Ley Orgánica 3/2018 lo desarrolla en España e incluye a los centros sanitarios obligados a mantener historias clínicas entre los que deben designar delegado de protección de datos, con excepción de los profesionales que ejercen a título individual. La AEPD lo explica en sus preguntas frecuentes para clínicas.
- La Ley 41/2002 regula la historia clínica, quién accede y cuánto tiempo se conserva (como mínimo cinco años desde el alta de cada proceso asistencial, salvo normas autonómicas más exigentes).
- La Agencia Española de Protección de Datos publica guías, herramientas y resoluciones útiles para el sector.
Lo que debe estar resuelto
| Elemento | Qué es | Pregunta de control |
|---|---|---|
| Registro de actividades de tratamiento | Qué datos se tratan, para qué, cuánto tiempo y quién accede | ¿Incluye el CRM, WhatsApp y las campañas, o solo la historia clínica? |
| Información al paciente | Cláusula clara en la primera visita, la web y los formularios | ¿La entiende un paciente sin ser abogado? |
| Contratos de encargado | Con cada proveedor que accede a datos | ¿Tienes el del software, el laboratorio, la agencia, la nube, la gestoría y el chatbot? |
| Confidencialidad del personal | Compromiso firmado y formación | ¿Lo ha firmado la última persona que entró? |
| Medidas de seguridad | Accesos por usuario, contraseñas, copias, cifrado | ¿Cada persona tiene su usuario en el programa de gestión? |
| Procedimiento de brechas | Qué hacer si se pierde o filtra información | ¿Sabe el equipo a quién avisar? |
| Delegado de protección de datos | Persona o servicio que asesora y supervisa | ¿Lo tienes designado y comunicado? |
| Ejercicio de derechos | Acceso, rectificación, supresión, oposición | ¿Sabe recepción qué hacer si un paciente pide su historia? |
Los fallos del día a día
- WhatsApp desde móviles personales: fotos y conversaciones de pacientes fuera del control de la clínica.
- Pantallas a la vista en recepción o en gabinetes con la puerta abierta.
- Datos por teléfono a quien dice ser familiar, sin comprobarlo ni tener autorización.
- Respuestas a reseñas que confirman que alguien es paciente o mencionan su tratamiento. Cómo contestar sin hacerlo está en responder reseñas sin saltarte el secreto profesional.
- Fotos de antes y después en redes sin consentimiento expreso y específico para ese uso (hay más en qué se puede publicar de antes y después).
- Listas de pacientes subidas a plataformas de anuncios sin base legal.
- Herramientas de IA con conversaciones o informes de pacientes pegados en cuentas personales.
- Contraseñas compartidas en el programa de gestión: si todos entran como «recepción», no hay forma de saber quién vio qué.
- Exempleados con acceso a correos, carpetas en la nube o grupos de WhatsApp.
Normas de una página para el equipo (para adaptar con tu asesor)
- Con pacientes solo usamos el WhatsApp y el correo de la clínica. Nunca el móvil personal.
- Las fotos clínicas se hacen con el dispositivo de la clínica y se guardan en la historia, no en el carrete.
- Por teléfono no damos información de salud ni citas a terceros sin autorización del paciente.
- Cada uno entra al programa con su usuario. Las contraseñas no se comparten ni se apuntan en pósits.
- Al levantarte, bloqueas la pantalla.
- No pegamos datos de pacientes en herramientas de IA que la clínica no haya contratado.
- Si algo se pierde, se envía a quien no es o sospechas de un acceso raro, avisas en el momento a [responsable].
Marketing y datos
Captar pacientes también es tratar datos. Un formulario que dice «me interesan los implantes» ya revela información de salud. Los formularios necesitan información y base legal claras, el seguimiento comercial debe respetar lo que el paciente aceptó, las comunicaciones comerciales por medios electrónicos tienen sus propias reglas y lo que se envía a Google o Meta para medir debe ser lo mínimo. Una agencia que trabaja con tus contactos es encargada del tratamiento y necesita contrato, igual que el CRM o la plataforma con la que automatizas WhatsApp.
En nuestro Método C.I.T.A., la A incluye la API de conversiones: enviamos a las plataformas solo identificadores cifrados y el evento («cita realizada»), nunca el tratamiento ni datos de salud. Lo explicamos en qué puede enviar una clínica a Meta.
Si hay una brecha
- Contener: cambiar contraseñas, bloquear accesos, pedir que se borre lo enviado por error.
- Evaluar: qué datos, cuántos pacientes, qué riesgo para ellos.
- Notificar: si hay riesgo para los derechos de los pacientes, a la AEPD en un máximo de 72 horas desde que lo conoces, como marca el RGPD, y a los afectados si el riesgo es alto. La AEPD tiene una herramienta para ayudarte a decidirlo.
- Documentar: qué pasó, qué hiciste y qué cambias para que no se repita. Aunque no notifiques, se registra.
Calendario mínimo de revisión
Revisión trimestral (30 minutos)
- ¿Hay datos de pacientes en móviles personales?
- ¿Todos los proveedores con acceso a datos tienen contrato firmado? ¿Ha entrado alguno nuevo (una herramienta, un chatbot, una agencia)?
- ¿Cada persona tiene su usuario? ¿Se han dado de baja los accesos de quien se fue?
- ¿Las fotos publicadas tienen el consentimiento guardado?
- ¿Funcionan las copias de seguridad? ¿Alguien ha probado a restaurar una?
- ¿Sabemos a quién llamar si hay una brecha?
Una vez al año
Actualizar el registro de actividades, repasar las cláusulas de la web y los formularios y repetir la formación al equipo.
Esto es una guía general para que sepas qué preguntar, no asesoría legal. Cada clínica debe revisar su situación con un profesional de protección de datos.
Si quieres que tu captación cumpla desde el formulario hasta el seguimiento, pide una consulta. Y si estás formando a una recepcionista nueva, incluye esta hoja en su primer día; lo explicamos en contratar recepcionista.
Preguntas frecuentes
¿Qué necesita una clínica para cumplir el RGPD?
Registro de actividades de tratamiento, información clara a los pacientes, contrato con cada proveedor que accede a datos, confidencialidad y formación del personal, medidas de seguridad como usuarios individuales y copias, un procedimiento para brechas y, en la mayoría de centros sanitarios, un delegado de protección de datos.
¿Necesita mi clínica un delegado de protección de datos?
La ley española incluye a los centros sanitarios obligados a mantener historias clínicas entre quienes deben designarlo, con excepción de los profesionales que ejercen a título individual. Si tu clínica tiene varios profesionales o es una sociedad, lo más probable es que sí. Confírmalo con tu asesor.
¿Puede el equipo usar WhatsApp con pacientes?
Sí, con un número y un dispositivo de la clínica, informando al paciente y evitando enviar datos de salud innecesarios. No desde móviles personales ni guardando fotos de pacientes en carretes personales. Si usas WhatsApp Business con un proveedor, necesitas contrato con él.
¿Necesito consentimiento para publicar fotos de antes y después?
Sí, un consentimiento expreso y específico para ese uso, guardado y revocable. El consentimiento para el tratamiento clínico no cubre la publicación. Además, revisa la normativa de publicidad sanitaria y las normas de tu colegio antes de publicarlas.
