Clínicas, consultas y dentales tratan datos de salud: citas, historiales, pruebas, imágenes y, a menudo, datos de acompañantes o de menores. Son categoría especial: el RGPD y la LOPDGDD exigen medidas reforzadas, encargados bien contratados e información comprensible para el paciente. Farmacias, veterinarias, fisioterapia, ópticas y residencias tienen ficha propia.
El centro es, con carácter general, el responsable del tratamiento. El software clínico, el laboratorio, la teleconsulta, la centralita o una herramienta de IA actúan como encargados cuando tratan datos por vuestra cuenta.
En RNOVA Security ordenamos el cumplimiento para que la privacidad no dependa de un manual en un cajón: recepción, historia clínica, accesos, conservación, derechos y nuevas herramientas digitales.
Historia clínica, citas y recepción
La agenda, la llamada de confirmación, la pantalla de recepción y el propio historial concentran información muy sensible. Hay que limitar quién ve qué y no dejar historiales abiertos ni listados visibles para la sala de espera.
Revisamos:
- Inventario de tratamientos: pacientes, empleados, proveedores, marketing y videovigilancia si existe.
- Información en primera cita y cartelería o textos en web y WhatsApp.
- Perfiles de acceso al software (recepción, facultativo, administración).
- Conservación de la historia clínica y de las pruebas, alineada con la normativa sanitaria aplicable.
- Protocolo ante acceso, rectificación, oposición o reclamación.
Laboratorios, recetas y encargados
Laboratorio, radiología, plataforma de receta, hosting del software o servicio de copias de seguridad tratan datos por vuestra cuenta. No todo proveedor es encargado, pero si accede a historiales o copias, la relación debe quedar por escrito: confidencialidad, seguridad, subencargos y qué ocurre al terminar el contrato.
Teleconsulta, WhatsApp e imágenes
Enviar una foto clínica por WhatsApp o atender por videollamada personal no es lo mismo que un canal con contrato, cifrado y criterio de minimización. Definimos qué canales pueden usarse, qué no debe viajar por mensajería libre y cómo informar al paciente.
Inteligencia artificial en salud
La IA se usa para transcribir consultas, redactar informes, citar, clasificar imágenes o asistir al diagnóstico. El riesgo no es «usar IA», sino volcar historiales o pruebas en un proveedor sin saber qué hace con ellos.
Revisamos qué datos salen, si son necesarios, el contrato, el lugar de tratamiento, si se entrenan modelos, el aviso a pacientes y profesionales, y cuándo entra el Reglamento europeo de IA (sistemas de alto riesgo en ámbito sanitario).
Riesgos habituales
- Pantallas de agenda visibles desde la espera.
- Mismo usuario y contraseña para todo el equipo.
- Laboratorio o software sin contrato de encargado.
- Fotos clínicas en el móvil personal o en grupos.
- IA de transcripción o redacción con datos identificables sin filtro.
- Copias de seguridad en un disco o nube sin control.
- Marketing a pacientes sin base ni baja fácil.
Un diagnóstico ordena historia, accesos, encargados, canales e IA antes de una reclamación o de un cambio de software.
Qué entregamos
- Registro de actividades e información a pacientes y empleados.
- Contratos con software, laboratorio, nube y otros encargados.
- Criterios de acceso, conservación y respuesta a derechos.
- Revisión de videovigilancia, web y comunicaciones.
- Valoración de DPO cuando el tratamiento de salud sea habitual y a gran escala.
- Revisión de IA y teleconsulta si las usáis.
El objetivo es privacidad real en recepción y consulta, no solo documentación para una auditoría.
Preguntas frecuentes
¿Los datos de salud siempre exigen consentimiento?
No siempre. La asistencia sanitaria suele apoyarse en otras bases (obligación legal, interés vital, etc.). El consentimiento se reserva para finalidades distintas, como ciertas fotos o marketing. Lo mapeamos en cada centro.
¿Hace falta DPO en una clínica pequeña?
Depende del volumen y de si tratáis datos de salud de forma habitual y a gran escala. En el diagnóstico te lo decimos — y, si aplica, ofrecemos DPO externo.
¿WhatsApp vale para citar o enviar informes?
Citar de forma mínima puede plantearse; enviar informes o imágenes clínicas por el móvil personal suele ser un riesgo alto. Definimos alternativas y reglas claras para el equipo.
¿Cubrís dentales, veterinarias y farmacias?
Sí. El criterio de categoría especial y encargados es el mismo; adaptamos historia clínica, receta, laboratorio o cliente de farmacia a cada actividad.
¿Podemos usar IA para redactar informes?
Sí, con minimización, proveedor revisado y aviso cuando corresponda. No se vuelca el historial completo en una herramienta genérica sin contrato.
¿El cumplimiento sirve si cambiamos de software clínico?
Sí: dejamos el mapa de tratamientos y encargados para actualizarlo, no una carpeta atada a un programa concreto.
Protección de datos pensada para la consulta y el centro de salud reales.