RGPD en clínicas de estética y fisioterapia: guía práctica

Una clínica trata a diario algunos de los datos más delicados que existen: alergias, diagnósticos, tratamientos, fotos del cuerpo de sus pacientes. El Reglamento General de Protección de Datos (RGPD) y la Ley Orgánica 3/2018 (LOPDGDD) los consideran categorías especiales de datos y exigen protegerlos con especial cuidado.

Esta guía resume lo que una clínica de estética, medicina estética o fisioterapia debe tener en orden, con ejemplos del día a día.

Por qué los datos de una clínica son «especiales»

El artículo 9 del RGPD prohíbe, como regla general, tratar datos relativos a la salud, salvo en supuestos concretos. Uno de ellos es la prestación de asistencia o tratamiento sanitario por profesionales sujetos al secreto profesional. Por eso una clínica puede registrar la historia de sus pacientes sin pedirles un consentimiento aparte para ello, pero no puede usar esos datos para cualquier otra cosa.

Incluso un centro de estética que no es sanitario trata datos de salud cuando apunta una alergia, una contraindicación o un embarazo en la ficha de una clienta. Todo eso debe tratarse con el mismo cuidado.

Lo que debes tener en orden

1. Información clara al paciente

Cada paciente debe saber quién trata sus datos, para qué, con qué base jurídica, cuánto tiempo se conservan y cómo ejercer sus derechos. Lo habitual es entregarlo por escrito al dar de alta la ficha y tenerlo disponible en la recepción y en tu web.

2. Consentimientos separados para lo que no es asistencial

La asistencia está cubierta, pero hay usos que necesitan un consentimiento específico, libre y separado:

• Fotos de antes y después usadas en redes sociales, web o publicidad. Que el paciente acepte la foto clínica no significa que acepte su publicación.
• Comunicaciones comerciales: promociones, newsletter, ofertas de bonos.
• Encuestas y estudios que no formen parte del seguimiento clínico.

Guarda la prueba de cada consentimiento y permite retirarlo con la misma facilidad con que se dio.

3. Consentimiento informado del tratamiento

No hay que confundirlo con el anterior. El consentimiento informado de la Ley 41/2002 de autonomía del paciente es el documento en el que el paciente acepta un tratamiento conociendo sus riesgos (por ejemplo, una punción seca, un láser o un relleno). Debe firmarse antes del tratamiento y archivarse en la historia del paciente.

4. Conservación de la historia clínica

La Ley 41/2002 obliga a conservar la documentación clínica, como mínimo, cinco años desde la fecha del alta de cada proceso asistencial, y algunas comunidades autónomas amplían ese plazo. Durante ese tiempo, el paciente puede pedir que se supriman sus datos, pero la clínica puede negarse a borrar lo que la ley obliga a conservar, limitando su uso.

5. Registro de actividades de tratamiento

El artículo 30 del RGPD exige documentar qué tratamientos de datos haces (pacientes, empleados, videovigilancia, marketing…), con qué finalidad, qué categorías de datos incluyen, a quién se comunican y cuánto se conservan.

6. Delegado de protección de datos

La LOPDGDD obliga a nombrar un delegado de protección de datos (DPD) a los centros sanitarios legalmente obligados a mantener historias clínicas. Quedan exceptuados los profesionales sanitarios que ejercen a título individual. Si tu clínica tiene varios profesionales, es probable que necesites uno; puede ser externo.

7. Contratos con proveedores

Tu programa de gestión, tu gestoría o tu proveedor de correo acceden a datos de tus pacientes. Con cada uno necesitas un contrato de encargado del tratamiento (artículo 28 del RGPD) que fije qué pueden hacer con ellos y cómo los protegen.

8. Seguridad y control de accesos

El RGPD pide medidas adecuadas al riesgo, y con datos de salud el riesgo es alto. En la práctica:

• Cada persona del equipo con su propio usuario, nunca cuentas compartidas.
• Que recepción no vea las notas clínicas si no las necesita.
• Bloqueo de pantalla cuando el ordenador queda desatendido.
• Registro de quién consulta cada ficha.
• Nada de fotos clínicas en el móvil personal ni conversaciones con pacientes desde el WhatsApp privado de un empleado.

9. Qué hacer si hay una brecha

Si se pierde un portátil, alguien accede sin permiso o se envía un informe al paciente equivocado, puede ser una brecha de seguridad. Si supone un riesgo para los pacientes, debes notificarla a la Agencia Española de Protección de Datos en un plazo de 72 horas desde que la conoces y, si el riesgo es alto, informar también a los afectados. Documenta siempre lo ocurrido, aunque no haya que notificarlo.

10. Derechos de los pacientes

Acceso, rectificación, supresión, oposición, limitación y portabilidad. Tienes un mes para responder, ampliable en casos complejos. Tener los datos centralizados en una única ficha facilita mucho exportarlos o corregirlos a tiempo.

Errores frecuentes

• Usar fotos de antes y después en Instagram con un consentimiento genérico firmado al dar de alta la ficha.
• Guardar consentimientos en papel en un archivador sin control de acceso.
• Compartir una única contraseña del programa entre todo el equipo.
• Escribir a los pacientes desde móviles personales.
• No saber qué proveedores tienen acceso a los datos.

Cómo te ayuda Cliniq

Cliniq está pensado para trabajar con datos de salud: cifra los datos sensibles, protege el acceso con doble factor y bloqueo por inactividad, registra quién consulta cada ficha y permite que recepción, sanitarios y administración vean solo lo que necesitan. Los consentimientos se firman en tablet o desde el móvil y quedan archivados en la ficha, las fotos clínicas se sirven con enlaces que caducan y la historia clínica se conserva según la Ley 41/2002. También puedes exportar o anonimizar los datos de un paciente cuando lo pida.

Este artículo es informativo y no sustituye el asesoramiento jurídico. Revisa tu caso con tu delegado de protección de datos o con un especialista.