RGPD en la ficha del paciente: qué guardar y cuánto

Principales conclusiones

• La ficha del paciente puede incluir datos de salud categoría especial solo si son necesarios para la asistencia y con una base de licitud adecuada, normalmente por obligación sanitaria.
• El plazo de conservación de la historia clínica no lo fija el RGPD de forma única: depende de normativa sanitaria aplicable y de criterios documentados de la clínica.
• El derecho de acceso del paciente obliga a responder con copia y explicaciones comprensibles, pero no implica entregar claves internas, notas no clínicas o datos de terceros.
• La forma más segura de cumplir es separar datos asistenciales de datos administrativos, controlar permisos por rol y registrar quién accede o modifica.

La ficha del paciente es el centro operativo de la consulta: lo que se apunta en recepción, lo que ve el profesional y lo que se usa para facturar. Con RGPD, el objetivo no es “guardar menos por miedo”, sino guardar lo necesario, durante el tiempo justificado y con control de accesos.

Qué es “ficha del paciente” a efectos de RGPD

En clínica privada, “ficha” suele mezclar tres cosas que conviene distinguir, porque no tienen el mismo encaje ni el mismo uso:

Datos administrativos y de contacto

Son los que permiten identificar y coordinar la atención: nombre, DNI/NIE, teléfono, email, dirección, persona de contacto, forma de pago, aseguradora, etc. No son datos de salud, pero siguen siendo datos personales y hay que tratarlos con orden.

Acción aplicable (hoy): revisa tu plantilla de alta y marca en dos colores qué campos son “administrativos” y cuáles son “asistenciales”; si están mezclados, sepáralos.

Datos asistenciales (historia clínica)

Aquí entran los datos que el profesional necesita para prestar asistencia: motivo de consulta, antecedentes relevantes, exploraciones, evolución, pruebas, informes, diagnósticos, tratamientos, consentimientos informados clínicos, etc. En RGPD son datos de salud categoría especial.

Según el RGPD, los datos de salud son una categoría especial y requieren un fundamento reforzado para tratarlos.

Acción aplicable: define por escrito qué documentos forman parte de tu historia clínica en tu centro (por ejemplo: anamnesis, notas de sesión, informes emitidos, consentimientos).

Datos de gestión interna (agenda, cobros, incidencias)

La agenda, los recordatorios, los cobros, las devoluciones, los “no show”, los mensajes de recepción, o una incidencia (“llegó tarde, reprograma”) suelen estar en el mismo sistema. No todo eso es historia clínica, pero puede contener información sensible si se redacta mal.

Ejemplo realista de recepción: en vez de “viene por ansiedad y medicación”, en agenda basta con “revisión” o “cita de seguimiento”. El detalle asistencial debe quedar en la parte clínica.

Acción aplicable: revisa 20 citas al azar de la agenda y comprueba si hay detalles clínicos innecesarios en el título o notas visibles para todo el equipo.

Qué datos se pueden guardar: el criterio de necesidad

La pregunta útil no es “¿puedo guardar X?”, sino “¿es necesario para prestar asistencia, cumplir obligaciones o gestionar la relación con el paciente?”. El RGPD exige minimización: guardar lo adecuado, pertinente y limitado.

Campos que suelen ser necesarios

• Identificación: nombre y apellidos, documento identificativo si lo necesitas para facturación/aseguradoras.
• Contacto: teléfono y/o email para confirmar citas y enviar documentación.
• Datos de facturación: datos fiscales cuando emites factura.
• Información asistencial relevante: lo que el profesional necesita para atender y dar continuidad.

Acción aplicable: en el formulario de alta, añade una nota interna por cada campo “por qué lo pedimos”. Si no puedes justificarlo en una frase, elimínalo o hazlo opcional.

Campos que suelen generar problemas

• “Observaciones” abiertas sin control: se convierten en un cajón de sastre.
• Datos de terceros (pareja, familiares) metidos como texto libre.
• Fotos o documentos subidos sin etiquetar ni motivo.
• Copias de documentos innecesarios (por ejemplo, guardar por sistema el DNI escaneado cuando no hace falta).

Práctica operativa: si necesitas una autorización de un familiar para acompañar o gestionar, crea un documento específico; no lo metas como “nota” en la ficha del paciente.

Cómo redactar notas sin exponerte

La mayoría de brechas de privacidad internas no vienen de hackers, sino de notas demasiado descriptivas en campos visibles para perfiles no clínicos.

• Recepción: registra lo justo para gestionar la cita (“prefiere tardes”, “necesita accesibilidad”), no el motivo clínico.
• Profesional: deja el detalle clínico en el apartado clínico, con acceso restringido.

Acción aplicable: crea una regla interna: “Si lo puede leer recepción, no debe contener diagnóstico ni medicación”.

Base de licitud: por qué puedes tratar esos datos

En una clínica, la base de licitud no es una frase para el cartel de privacidad; es la razón por la que puedes recoger, usar y conservar datos. Para datos de salud, además de la base general del artículo 6 RGPD, necesitas una excepción del artículo 9 RGPD.

Asistencia sanitaria: no es “consentimiento” en la mayoría de casos

Para el tratamiento asistencial, lo habitual es apoyarse en obligaciones y finalidades sanitarias, no en pedir un consentimiento RGPD para todo. El consentimiento RGPD debe ser libre y revocable; si lo usas como base para la asistencia, te metes en un callejón: ¿qué pasa si lo retira?

La normativa sanitaria aplicable (autonómica y estatal) y el RGPD encajan el tratamiento asistencial dentro de las condiciones específicas para datos de salud. Para el marco español, la LOPDGDD complementa el RGPD.

Acción aplicable: revisa tu texto de “consentimiento de protección de datos” en el alta. Si mezcla asistencia sanitaria con comunicaciones comerciales o recordatorios, sepáralo en casillas y finalidades distintas.

Gestión, facturación y obligaciones

• Facturación y contabilidad: suelen apoyarse en obligaciones legales y en la relación contractual.
• Citas y recordatorios: suelen encajar en la relación con el paciente (gestión del servicio) y en interés legítimo bien ponderado, según el caso. Si envías recordatorios por WhatsApp o SMS, documenta el canal y la preferencia del paciente.

Acción aplicable: define una política de comunicaciones: qué envías (confirmación, cambios, justificantes), por qué canal y con qué texto estándar sin datos clínicos.

Investigación, docencia, marketing: finalidades distintas

Si quieres reutilizar datos para investigación, docencia interna, publicaciones, testimonios o marketing, eso ya es otro terreno. Necesitas bases, garantías y, a menudo, anonimización o consentimiento específico. No lo mezcles con la ficha operativa.

Acción aplicable: crea un campo separado “autorizaciones” con fecha, finalidad y cómo se obtuvo; evita notas libres tipo “ok para todo”.

Plazo de conservación de la historia clínica: cuánto tiempo y por qué

El RGPD no da un número único para conservar historias clínicas; exige que conserves durante el tiempo necesario para la finalidad y que lo justifiques. En España, el plazo de conservación de la historia clínica se apoya en normativa sanitaria y en criterios clínicos y legales aplicables.

No confundir: “bloqueo” no es “borrado”

En España, la LOPDGDD introduce el concepto de bloqueo: cuando ya no necesitas tratar datos, puedes conservarlos bloqueados para atender responsabilidades legales o reclamaciones, limitando el acceso.

Acción aplicable: pregunta a tu asesor o DPD si tu procedimiento distingue “activo” vs “bloqueado” y cómo se implementa en tu sistema (permisos, exportación, auditoría).

Qué conservar más tiempo y qué depurar antes

• Documentación clínica relevante para continuidad asistencial: suele necesitar conservación prolongada.
• Duplicados y borradores: no deberían convertirse en “archivo eterno”.
• Documentos aportados por el paciente: conserva lo que sea relevante; el resto, depúralo con criterio.

Ejemplo de depuración mensual: PDFs repetidos (mismo informe subido dos veces), fotos sin etiqueta, documentos de otro paciente cargados por error (esto último además es incidente de seguridad).

Acción aplicable: crea una revisión mensual de “adjuntos sin clasificar” y una regla: todo adjunto debe tener tipo (informe, consentimiento, prueba, factura) y fecha.

Criterios prácticos para fijar tu política de conservación

• Define categorías: historia clínica, consentimientos, facturas, comunicaciones, incidencias.
• Para cada categoría: finalidad, responsable, acceso, conservación y destino (borrado o bloqueo).
• Documenta la decisión en tu Registro de Actividades de Tratamiento (RAT) según RGPD.

Acción aplicable: si no tienes una tabla de conservación interna, crea una primera versión en una hoja: cinco categorías, una frase de finalidad y el responsable de revisarla.

Derecho de acceso del paciente: qué debes entregar y cómo

El derecho de acceso del paciente implica que, si lo solicita, debes facilitarle confirmación de si tratas sus datos y acceso a los mismos, con información complementaria. En entorno sanitario, además, existe el acceso a documentación clínica según normativa sanitaria.

Qué suele incluir una respuesta correcta

• Copia de los datos personales del paciente en tu sistema (administrativos y clínicos que procedan).
• Información sobre finalidades, categorías, destinatarios, plazos previstos o criterios, y derechos.
• Si hay informes emitidos por tu clínica, entregarlos en formato entendible.

Acción aplicable: prepara una plantilla interna de respuesta a derechos: quién la tramita, cómo se verifica identidad, cómo se exporta la información y quién revisa antes de enviar.

Límites habituales: terceros y notas internas

• Si en la historia aparecen datos de terceros (por ejemplo, familiar), hay que protegerlos.
• Notas internas no clínicas o comentarios de gestión pueden requerir revisión para no revelar información de empleados u otros pacientes.

Práctica operativa: evita escribir en la ficha cosas que no defenderías si mañana el paciente las solicita. Si es una incidencia laboral (por ejemplo, “paciente agresivo”), gestiona el riesgo con un procedimiento interno, pero redacta con hechos y sin juicios.

Cómo gestionar solicitudes en recepción sin bloquear la agenda

Una solicitud de acceso suele llegar por email o en mostrador. El error típico es improvisar: “Te lo mando esta tarde” y luego no hay trazabilidad.

Flujo simple:

1. Recepción registra la solicitud (fecha, canal).
2. Verificación de identidad (presencial con documento o por canal seguro).
3. Responsable (gerencia/DPD) valida alcance.
4. Exportación desde el sistema y revisión de terceros.
5. Entrega por canal acordado y registro de entrega.

Acción aplicable: establece un buzón único (por ejemplo, privacidad@tudominio) y prohíbe gestionar derechos por WhatsApp.

Accesos, permisos y trazabilidad dentro de la clínica

RGPD no va solo de “qué guardas”, sino de quién lo ve y qué puede cambiar. En clínica, esto se decide por roles y por circuitos.

Roles típicos y qué deberían ver

• Recepción/administración: contacto, agenda, facturación, consentimientos administrativos; no detalle clínico.
• Profesionales sanitarios: historia clínica completa de sus pacientes y, si procede, acceso compartido por equipo asistencial.
• Gerencia: datos agregados y facturación; acceso clínico solo si está justificado y documentado.
• Proveedores externos: acceso mínimo y bajo contrato de encargado.

Esto se conecta con el principio de “necesidad de saber”.

Acción aplicable: lista a tu equipo y asigna un rol de acceso por persona (no por “sección”). Revisa altas y bajas: cuando alguien se va, se revoca acceso el mismo día.

Registro de accesos y cambios

En una inspección o un incidente, la pregunta es simple: “¿puedes demostrar quién accedió?”. Un sistema con trazabilidad ayuda, pero también necesitas procedimiento.

Acción aplicable: revisa semanalmente (10 minutos) si hay accesos desde cuentas genéricas o compartidas. Si existen, plan de eliminación: cada usuario, su cuenta.

Encargados de tratamiento: gestoría, laboratorio, hosting, mensajería

Si un proveedor trata datos por tu cuenta, debe haber contrato de encargado y medidas. Esto aplica a servicios de email, mensajería, almacenamiento y soporte informático.

Acción aplicable: pide a cada proveedor que toque datos personales: contrato de encargado, ubicación de datos, subencargados y procedimiento de incidentes.

Cómo aplicarlo en tu clínica

1. Gerencia: esta semana, convoca 30 minutos y define tres categorías de información en tu sistema: administrativa, clínica y gestión interna; deja por escrito un ejemplo de cada una.
   Comprobación: cualquiera del equipo puede clasificar 10 campos sin dudar.

2. Recepción/administración: revisa el formulario de alta y elimina o hace opcionales los campos sin justificación operativa.
   Comprobación: el alta se puede completar sin escribir texto libre en “observaciones”.

3. Dirección sanitaria o responsable clínico: define qué documentos forman parte de la historia clínica y dónde se registran (no en agenda).
   Comprobación: en una auditoría interna de 5 historias, las notas clínicas están en el apartado clínico, no en citas.

4. Responsable de protección de datos/asesoría (o gerencia si no hay DPD): redacta una tabla simple de conservación por categorías y decide qué se bloquea y qué se elimina.
   Comprobación: existe un documento interno versionado con fecha y responsable, aunque sea una primera versión.

5. Responsable de sistemas o proveedor IT: configura permisos por rol y prohíbe cuentas compartidas; define el circuito de baja de usuarios.
   Comprobación: se puede listar usuarios activos y su rol; las bajas de personal se reflejan en accesos el mismo día.

6. Todo el equipo: prepara una plantilla de respuesta al derecho de acceso y un canal único para solicitudes.
   Comprobación: recepción sabe dónde registrar la solicitud y qué no prometer; la clínica puede exportar la información sin improvisar.

Preguntas frecuentes

¿Puedo usar el consentimiento para tratar toda la ficha?

No es lo habitual para la asistencia sanitaria. La base de licitud suele apoyarse en la prestación de servicios sanitarios y obligaciones aplicables, y el consentimiento se reserva para finalidades separadas. Si lo usas para todo, una retirada te deja sin base para seguir tratando datos necesarios.

¿Qué pasa si un paciente pide copia de todo?

Debes atender el derecho de acceso del paciente y facilitarle sus datos y documentación que proceda, con revisión de terceros. No tienes que entregar información que afecte a otros pacientes o datos internos que no correspondan. Define un circuito de verificación de identidad y entrega segura.

¿Puede recepción ver las notas clínicas en el sistema?

Solo si está justificado por funciones concretas y documentadas, y aun así conviene limitarlo. La práctica más segura es que recepción vea datos administrativos y de agenda, no el detalle asistencial. Ajusta permisos por rol y evita escribir información clínica en campos visibles.

¿Cómo fijo el plazo de conservación sin equivocarme?

Documenta criterios por tipo de documento y apóyate en normativa sanitaria aplicable y en la LOPDGDD para el bloqueo. No busques un número único “para todo”; define categorías y revisa la política periódicamente. Si tienes dudas, valida el criterio con tu asesor o DPD.

Este artículo es informativo y no es asesoramiento legal ni fiscal. Consulta con tu asesor antes de tomar una decisión.

Enlaces externos

• Guía para pacientes y usuarios de la Sanidad
• Tus derechos en relación con tus datos de salud | AEPD
• La protección de datos en las relaciones laborales
• Cumplir la normativa | Data protection guide for small business | European Data Protection Board
• Respetar los derechos de los interesados | Data protection guide for small business | European Data Protection Board
• Según el RGPD
• La normativa sanitaria aplicable (autonómica y estatal) y el RGPD
• En España, la LOPDGDD
• Documenta la decisión en tu Registro de Actividades de Tratamiento (RAT) según RGPD