Datos de salud de pacientes: qué exige el RGPD a una consulta pequeña

El motivo de consulta, una lesión, un diagnóstico, un tratamiento, incluso "viene por ansiedad" escrito en la agenda: todo eso son datos de salud, y el RGPD los trata como categoría especial. Para una consulta con una o dos personas no es un asunto de grandes hospitales: la Agencia Española de Protección de Datos sanciona cada año a clínicas pequeñas, casi siempre por cosas básicas (un historial enviado al paciente equivocado, un formulario sin información, un ordenador compartido sin contraseña). Esta guía explica qué pide la norma y cómo ordenarlo. Es información, no sustituye a la norma ni a tu gestor o tu colegio profesional: la responsabilidad es de la consulta.

Qué dice la norma: categoría especial

El artículo 9 del RGPD prohíbe, como regla general, tratar datos relativos a la salud, y luego abre excepciones. Para una consulta cuentan dos:

• Consentimiento explícito de la persona (art. 9.2.a). Explícito quiere decir una acción afirmativa clara sobre ese tratamiento concreto: una casilla sin marcar, una firma, un sí por escrito. No vale "al reservar aceptas nuestra política".
• Fines sanitarios cuando el tratamiento lo hace un profesional sujeto a secreto profesional (art. 9.2.h y 9.3). Es la base habitual de un fisioterapeuta, un dentista o un psicólogo colegiado para la asistencia en sí.

En la práctica, la mayoría de consultas se apoyan en la segunda para atender y piden además el consentimiento explícito para lo que va más allá de atender: guardar notas en una agenda online, enviar recordatorios con el motivo de la cita, compartir con un seguro. La Ley Orgánica 3/2018 (LOPDGDD) completa el régimen en España, y la Ley 41/2002 de autonomía del paciente regula la historia clínica de los centros sanitarios.

Dos obligaciones que no dependen del tamaño: informar al paciente antes de recoger el dato (quién eres, para qué lo usas, con qué base, cuánto lo guardas y qué derechos tiene) y llevar un registro de actividades de tratamiento, porque la exención para pequeñas empresas del art. 30 RGPD no se aplica cuando se tratan datos de categoría especial. Nombrar un delegado de protección de datos es obligatorio para muchos centros sanitarios, pero la LOPDGDD exime a los profesionales que ejercen a título individual; si no sabes en qué lado estás, pregúntalo.

Qué guardar y qué no

La regla es la minimización: solo lo necesario para atender y cobrar. Una forma de aplicarla es separar los datos en tres cajones:

1. Identidad y contacto (nombre, teléfono, correo): datos personales ordinarios. Hacen falta para la cita y el recordatorio.
2. Lo necesario para atender (motivo de consulta, antecedentes relevantes, tratamiento, evolución): datos de salud. Van en la historia clínica, que es un documento con sus propias reglas, no en una nota de agenda.
3. Lo que no necesitas (una foto del DNI "por si acaso", la medicación completa de alguien que viene a un masaje relajante, el motivo de la consulta en el asunto de un correo): no se guarda. Si no sabes para qué sirve, sobra.

Un detalle que cuesta ver: la propia cita ya es un dato de salud cuando el servicio lo revela. "Revisión" no dice nada; "Sesión de terapia de pareja" o "Tratamiento de alopecia" sí. Por eso el recordatorio que se envía por correo o WhatsApp conviene que lleve lo justo, y por eso el consentimiento para esos avisos se pide aparte.

Quién puede verlo y cuánto tiempo se guarda

Dentro de la consulta, solo quien atiende al paciente necesita ver sus datos de salud. La persona de recepción necesita nombre, hora y teléfono; no el diagnóstico. Si compartís un programa, un ordenador o un cuaderno, piensa en quién lo tiene delante: el ordenador de recepción con la ficha abierta y la pantalla hacia la sala de espera es la infracción más tonta y una de las más frecuentes.

Hacia fuera, el dato de salud sale solo con base legal: el paciente lo pide (tiene derecho a copia), un seguro con su autorización, otro profesional que continúa el tratamiento, o una obligación legal. Un familiar que llama "para saber cómo va" no es ninguna de esas.

Sobre la conservación, la Ley 41/2002 fija un mínimo de cinco años desde el alta de cada proceso asistencial para la historia clínica, y varias comunidades autónomas lo alargan (en algunas, a quince o veinte años). Los datos de contacto y los cobros siguen otro reloj: la obligación fiscal de guardar justificantes es de cuatro años y la mercantil de seis. Lo que no tenga plazo que lo sostenga, se borra; "conservar por si vuelve" no es un plazo.

Veterinaria: la salud del animal no es un dato personal

Una clínica veterinaria maneja muchos datos de salud, pero son del perro o del gato, y el RGPD solo protege a personas físicas. El diagnóstico de una mascota no es dato de categoría especial de su dueño y no exige consentimiento explícito. Lo que sí es dato personal es todo lo del titular: nombre, teléfono, dirección, lo que paga, el número de microchip en cuanto se asocia a él. Para eso rigen las reglas ordinarias del RGPD: informar, guardar lo necesario y no cederlo sin base.

Hay un matiz: si en la ficha del animal anotas algo sobre la persona ("el dueño tiene alergia al pelo", "la familia está pasando una enfermedad"), eso vuelve a ser dato de salud de una persona y entra en el artículo 9. La solución es simple: la ficha del animal habla del animal. Los registros de tratamientos y medicamentos que te exige la normativa veterinaria son otra obligación distinta, con sus propios plazos.

Qué hace Glam Studio Cloud

En las plantillas de salud y bienestar (como la clínica dental o la consulta de psicología), cuando un paciente reserva online se le avisa de que la consulta podrá registrar datos relativos a su salud y se le pide, con una casilla propia sin marcar, el consentimiento explícito para ese tratamiento; la aceptación queda guardada con la fecha en su cita. El consentimiento para el recordatorio por WhatsApp se pide con otra casilla, separada. En la plantilla de veterinaria el aviso es distinto, porque lo que se anota es la salud del animal, y la ficha es de la familia con sus mascotas dentro.

En la ficha del paciente tienes contacto, citas, consentimientos, cobros y tus notas. No es una historia clínica estructurada y no pretende serlo: la historia clínica se lleva en el sistema que exija tu profesión. La app avisa, pide la declaración y guarda el dato; decidir qué anotas, informar a tus pacientes y cumplir con la norma sigue siendo responsabilidad de la consulta. Tu información se descarga en una copia cuando quieras.

Errores frecuentes

• Dar por hecho que la política de privacidad web cubre los datos de salud. No: la base de categoría especial se justifica aparte y el consentimiento, cuando hace falta, es explícito.
• Usar el WhatsApp personal para hablar de tratamientos. El dato queda en un móvil sin control y en copias de seguridad que no sabes dónde están.
• Enviar el recordatorio con el motivo de la consulta en el texto. Un recordatorio lo ve cualquiera que coja ese móvil; basta con el servicio genérico, la hora y el lugar.
• Guardar fotos de documentos o de lesiones en la galería del teléfono. Si necesitas una imagen clínica, va en la historia clínica, no entre las fotos de las vacaciones.
• No tener forma de atender una petición de copia. El paciente tiene derecho a sus datos en un plazo de un mes; si están en cuatro sitios, no llegas.

Mira cómo se pide el consentimiento en el asistente de reserva de la demo de la clínica dental sin crear cuenta, y si encaja, prueba siete días gratis, sin tarjeta con tu propio catálogo de tratamientos.