Datos de pacientes y de empleados: qué debe separar una clínica (RGPD)
En una clínica de fisioterapia conviven dos mundos de datos que casi siempre acaban en la misma carpeta: la información clínica de los pacientes y la información laboral del equipo. La protección de datos en una clínica de fisioterapia se complica justo ahí, porque son dos tratamientos distintos, con finalidades, plazos y personas autorizadas diferentes. Esto es una guía práctica de qué separar, no un dictamen jurídico: para tu caso concreto, consulta con tu asesor o con tu delegado de protección de datos.
1. Dos tratamientos, no uno
Los datos de tus pacientes se tratan para prestar asistencia sanitaria. Los de tus trabajadores, para gestionar la relación laboral. Aunque vivan en el mismo ordenador, son dos tratamientos distintos y así deben figurar en tu registro de actividades. La consecuencia práctica es simple: quien gestiona nóminas no necesita ver historias clínicas, y un fisioterapeuta no necesita ver los datos laborales de sus compañeros. Si una misma pantalla da acceso a las dos cosas, tienes un problema de diseño antes que de papeleo.
2. La historia clínica es categoría especial
Los datos de salud tienen protección reforzada, y eso se traduce en tres exigencias: acceso limitado a quien participa en la asistencia, saber quién ha consultado qué, y medidas de seguridad proporcionadas. Contraseñas individuales, copias de seguridad y nada de usuarios compartidos. El usuario de recepción que usan cuatro personas, con la misma contraseña desde hace años, es la vulneración más común y también la más fácil de corregir.
3. Distingue el consentimiento asistencial del comercial
El consentimiento informado para un tratamiento y el permiso para mandar comunicaciones comerciales o publicar una foto en redes no son lo mismo. Se recogen por separado y se pueden retirar por separado. Un paciente puede querer tratarse contigo y no querer recibir tu newsletter, y esas dos voluntades tienen que poder convivir sin que nadie tenga que acordarse de ellas.
4. El control horario también es un dato personal
El registro de jornada es obligatorio y hay que conservarlo cuatro años a disposición de la Inspección de Trabajo. Pero es información del trabajador: no debería ser visible para el resto del equipo ni mezclarse con la parte asistencial. Acceso limitado a dirección y administración.
5. Ni borrar por impulso ni guardar para siempre
La documentación clínica tiene plazos mínimos de conservación fijados por la normativa sanitaria, con reglas propias en cada comunidad autónoma, y la documentación laboral y fiscal tiene los suyos. Define por escrito cuánto conservas cada tipo de documento y por qué, comprueba el plazo que aplica en tu comunidad y no elimines nada porque «ya no viene».
6. Tu software es un encargado del tratamiento
El proveedor que aloja tus historias clínicas trata datos por cuenta tuya. Eso exige un contrato de encargo firmado, saber dónde están alojados los datos, qué medidas de seguridad aplica y cómo te avisaría ante una brecha. Si tu proveedor nunca te ha entregado ese documento, pídelo hoy.
7. Cómo se hace en Tufisio
Cada miembro del equipo tiene su propio perfil profesional con acceso independiente, así que no hay usuarios compartidos y cada acceso queda asociado a una persona concreta.
La historia clínica y la firma digital de consentimientos viven dentro de la ficha del paciente, con las plantillas que use tu clínica, sin papel suelto ni carpetas compartidas en el ordenador de recepción.
Y el registro de la jornada del equipo está en su propio apartado, pensado para cumplir con el control horario sin mezclarlo con la información asistencial.
Separar datos es proteger a la clínica
Esta separación no es una formalidad administrativa: es lo que evita que una consulta indebida, la salida de alguien del equipo o una inspección se conviertan en un problema serio. Y en la mayoría de los casos se resuelve con decisiones de configuración, no con más burocracia. El punto de partida es el mismo que el de la agenda: que cada cosa esté en un único sitio y con acceso definido.
¿Tienes las historias clínicas en carpetas compartidas y el control horario en una hoja de cálculo? Con Tufisio cada profesional tiene su acceso, los consentimientos se firman en digital y el registro de jornada queda donde debe estar. Pide una demo y revisamos cómo lo tienes montado.
