Protección de datos en consulta: guía práctica para sanitarios

La protección de datos en consulta no es solo un cartel en la sala de espera. Cada historia clínica, cada llamada para recordar una cita y cada mensaje a un paciente implica datos de salud, que el Reglamento General de Protección de Datos considera de categoría especial. Esta guía resume, en formato práctico, lo que la Agencia Española de Protección de Datos (AEPD) explica a los profesionales sanitarios.

Es información general, no asesoramiento jurídico. Para tu caso concreto, consulta con tu delegado de protección de datos, tu colegio profesional o un especialista.

La referencia: la guía de la AEPD para el sector sanitario

En junio de 2022 la AEPD publicó la Guía para profesionales del sector sanitario, revisada después, que responde a las dudas más frecuentes de clínicas y profesionales. Según la nota de prensa de la AEPD, trata el concepto de dato de salud, las bases jurídicas, quién puede acceder a la historia clínica, los derechos de los pacientes, las comunicaciones a terceros y la confidencialidad en consultas, admisión y llamadas.

Estas son las ideas que más afectan al día a día de una consulta privada o una clínica.

¿Necesitas el consentimiento del paciente para tratar sus datos?

Para la asistencia sanitaria, por regla general, no. La guía de la AEPD indica que no es necesario pedir el consentimiento al paciente para tratar sus datos personales con fines asistenciales, porque el tratamiento se apoya en la legislación aplicable o en la relación con un profesional sujeto a secreto.

Dos matices importantes:

1. Informar sí es obligatorio. El paciente debe saber quién es el responsable, para qué se usan sus datos, la base legal, los destinatarios, los plazos de conservación y cómo ejercer sus derechos. La AEPD recomienda que esta información vaya separada del consentimiento informado sanitario.
2. Otros fines requieren otra base. Si quieres usar los datos para enviar publicidad o boletines, necesitas una base específica, como el consentimiento, y el paciente debe poder oponerse.

No confundas el consentimiento de protección de datos con el consentimiento informado de la Ley 41/2002, que regula las actuaciones sanitarias y sigue siendo necesario cuando la ley lo exige.

Quién puede acceder a la historia clínica

La AEPD es clara: solo puede acceder el personal implicado directamente en la asistencia del paciente y únicamente a los datos que necesita. En una clínica con equipo, esto se traduce en perfiles de acceso distintos:

La guía recuerda que todo el personal está sujeto al deber de secreto y que el acceso injustificado, aunque no se revele nada a terceros, puede tener consecuencias penales, disciplinarias y deontológicas.

Llamadas, WhatsApp y correo: cómo comunicarte con pacientes

Es donde más errores se cometen. Las recomendaciones de la AEPD:

1. Recordatorios de cita por teléfono o mensaje: sí, con la información mínima.
2. Grupos de mensajería: un mensaje en un grupo del que forma parte el paciente no es válido.
3. Redes sociales del paciente: no las uses para contactarle.
4. Correo electrónico con datos de salud: cifra la información.
5. Mensajería para datos sensibles: la guía considera que probablemente no es aconsejable.
6. Alternativas: ofrece siempre otros medios de comunicación al paciente.

En la sala de espera, la AEPD aconseja evitar llamar a los pacientes con su nombre completo y el motivo de la cita, y que los justificantes para acompañantes incluyan solo la información mínima.

Cuánto tiempo conservar la historia clínica

El artículo 17.1 de la Ley 41/2002 obliga a conservar la documentación clínica como mínimo cinco años desde la fecha del alta de cada proceso asistencial. La AEPD advierte de que eliminar documentación clínica indebidamente puede ser una brecha de seguridad.

Sobre los derechos del paciente, la guía explica que el derecho de supresión está limitado en la historia clínica: solo afecta a datos sin trascendencia asistencial. El paciente sí tiene derecho de acceso a su historia, con excepción de las anotaciones subjetivas de los profesionales, y cualquier limitación debe explicarse de forma motivada.

Delegado de protección de datos: ¿lo necesitas?

La guía de la AEPD distingue dos situaciones:

Si ejerces solo, algunos colegios profesionales ofrecen apoyo en esta materia. Si estás montando una clínica con varios profesionales, conviene planificar el DPD desde el principio.

Brechas de seguridad: qué hacer si ocurre

Un correo enviado al paciente equivocado, un portátil robado o un ataque de ransomware son brechas. La AEPD indica que hay que:

1. Evaluar el riesgo para los pacientes afectados.
2. Notificar a la AEPD sin dilación indebida si hay riesgo; el plazo no puede superar las 72 horas.
3. Comunicarlo a los afectados si el riesgo es alto.
4. Documentar la brecha, sus efectos y las medidas adoptadas.

Entre las medidas básicas que propone la guía están cifrar los dispositivos portátiles y las transmisiones, guardar copias de seguridad fuera de los equipos habituales, no compartir credenciales y no dejar el equipo desbloqueado.

Checklist de protección de datos en consulta

Agenda online y protección de datos

Una agenda online ordenada también ayuda a cumplir: centraliza las citas en lugar de tenerlas repartidas entre libretas, hojas de cálculo y chats. En BeMedi, los pacientes reservan contigo las 24 horas, reciben recordatorios por email y tu agenda nunca solapa citas, aunque trabajes en varios centros o en consulta online. Si diriges una clínica, puedes invitar a tu equipo, que debe aceptar la invitación, y ver la agenda de todos. El plan Gratis permite empezar y los planes Pro y Clínica no cobran comisión por cita.

Si quieres ver todas las funciones, lee así funciona BeMedi o date de alta como profesional.

Proteger los datos de tus pacientes es parte de cuidarles: revisa la checklist una vez al año y cada vez que entre alguien nuevo en el equipo.