Por qué el RGPD es más estricto en fisioterapia
Los datos de salud son una "categoría especial" en el RGPD. Eso significa:
- Una protección más estricta que la de los datos normales
- Sanciones más severas si se incumple
- Más atención si hay una reclamación
No es alarmismo. Es el contexto legal que debes conocer.
El checklist de 10 minutos
7 puntos que debes comprobar
1. ¿Informas a cada paciente de cómo tratas sus datos?
- Es tu deber de información (art. 13 del RGPD): qué datos, para qué, quién accede, cuánto tiempo se guardan y cómo ejercer sus derechos
- Para atenderle no necesitas su consentimiento RGPD: la base jurídica es la asistencia sanitaria (art. 9.2.h)
- Para usar sus datos en algo más, como enviarle novedades, sí necesitas su consentimiento, aparte
2. ¿Recoges el consentimiento informado cuando toca?
- Es otra norma: la Ley 41/2002, sobre la intervención, no sobre los datos
- Por regla general es verbal, y por escrito en los procedimientos invasivos, como la punción seca (art. 8)
- Guárdalo en la ficha del paciente
3. ¿Sabes dónde están físicamente los datos?
- Si usas un programa: ¿en servidores de la UE?
- Si usas papel: ¿en un archivador con llave?
- Si usas "la nube": ¿qué proveedor, exactamente?
4. ¿Tienes firmado el encargo de tratamiento con tu programa?
- Todo programa en la nube que guarde datos de pacientes lo necesita (art. 28 del RGPD)
- Debería estar disponible en su web o al pedirlo
- Sin este documento, la relación no cumple el RGPD
5. ¿Puedes responder si un paciente pregunta qué datos tienes?
- Es su derecho de acceso (art. 15 del RGPD)
- Tienes un mes para responder
- Debes poder decirle qué datos tienes, dónde están y para qué
6. ¿Puedes borrar datos de un paciente si lo pide?
- Es su derecho de supresión, con límites: la historia clínica se conserva el plazo legal
- Tu programa debe permitirlo técnicamente
- Debe quedar registro de que se hizo
7. ¿Sabes qué hacer si hay una brecha de seguridad?
- Tienes 72 horas para notificarla a la AEPD, si supone un riesgo para los pacientes
- Mejor tener el protocolo antes de necesitarlo
Los 3 documentos que necesitas
Documento 1: cláusula informativa
Debe incluir, como mínimo:
- Qué datos personales recoges
- Para qué los usas (atención fisioterapéutica, facturación)
- La base jurídica de cada uso
- Quién tiene acceso (tú, tu programa, tu gestoría)
- Cuánto tiempo los guardas
- Cómo ejercer los derechos (acceso, rectificación, supresión, etc.)
Documento 2: contratos de encargo de tratamiento
Necesitas uno con cada proveedor que trate datos de tus pacientes:
- Tu programa de gestión
- Tu correo profesional
- Tu almacenamiento en la nube
- Tu gestoría, si accede a datos
Cómo conseguirlo: la mayoría de proveedores lo tienen en su web o lo envían al pedirlo.
Si no lo tienen: señal de alarma. Plantéate cambiar de proveedor.
Documento 3: registro de actividades de tratamiento
Un documento interno que describa:
- Qué datos tratas y con qué finalidad
- La base jurídica de cada tratamiento
- Quiénes son tus encargados de tratamiento
- Las medidas de seguridad que aplicas
- Los plazos de conservación
¿Es obligatorio? El RGPD exime a quien tiene menos de 250 trabajadores, salvo que trate datos de salud de forma habitual, que es tu caso como fisioterapeuta.
En la práctica: sí, debes tenerlo.
Errores habituales
«Tengo el consentimiento, pero no sé dónde»
Si no encuentras el consentimiento de un paciente en un par de minutos, tienes un problema de organización que puede convertirse en un problema legal si hay una reclamación.
Solución: digitalízalo y asócialo a la ficha.
«Mi programa está en Estados Unidos, pero es seguro»
Puede ser legal si hay garantías, como el Marco de Privacidad de Datos UE-EE. UU. o cláusulas contractuales tipo, pero es más sencillo trabajar con proveedores que alojan los datos en la UE.
«Uso WhatsApp o Gmail personal con mis pacientes»
Es problemático en el RGPD:
- Las cuentas personales no te dan un encargo de tratamiento
- Los datos de salud no deberían ir por canales no profesionales
Solución: un teléfono profesional separado o un sistema de mensajería profesional.
«No me he dado de alta en la AEPD»
No existe "darse de alta en la AEPD" como autónomo. Lo que existe es:
- Cumplir el RGPD en tu actividad
- Tener los documentos necesarios
- Notificar las brechas de seguridad, si las hay
El mínimo para cumplir hoy
Si solo puedes hacer tres cosas en las próximas dos horas:
- Revisa la información a tus pacientes: que todos reciban la cláusula informativa y que tengas el consentimiento informado de las técnicas que lo requieren
- Confirma el encargo de tratamiento de tu programa: búscalo en su web o pídeselo. Si no lo tienen o no te contestan claro, plantéate cambiar
- Localiza tus datos: comprueba dónde están (en qué país y con qué proveedor)
El resto es importante, pero estas tres son las críticas.
Recursos útiles
- Agencia Española de Protección de Datos (AEPD): la autoridad de control en España, con guías y herramientas en su web
- Tu colegio profesional: muchos tienen modelos de consentimiento adaptados a fisioterapia
- Tu gestoría o un asesor en protección de datos: para los casos concretos de tu actividad
- Nuestra guía RGPD para fisioterapeutas: qué resuelve un programa y qué te toca a ti
Con Profisio:
- Datos cifrados y alojados en la UE
- Encargo de tratamiento aceptado al darte de alta y publicado en la web
- Consentimientos con firma digital, guardados en la ficha del paciente
Pruébalo 10 días gratis, sin tarjeta.
Lo que NO necesitas hacer
- Contratar un delegado de protección de datos si ejerces por tu cuenta: la LOPDGDD (art. 34.1.l) exceptúa a los profesionales sanitarios a título individual. Un centro sanitario que conserva historias clínicas, en cambio, sí debe designarlo
- "Registrarte" en la AEPD: no existe ese registro para autónomos
- Pagar por "sellos de cumplimiento RGPD": no son obligatorios
- Hacer una evaluación de impacto por cada paciente: solo hace falta en casos concretos
Conclusión práctica
El RGPD en fisioterapia no es complicado si:
- Usas herramientas profesionales (con encargo de tratamiento y datos en la UE)
- Tienes los 3 documentos básicos
- Sigues buenas prácticas (información al paciente, nada de WhatsApp personal…)
No necesitas ser experto legal. Necesitas trabajar con proveedores que lo hagan bien y tener tu documentación en orden.
Si tienes dudas sobre un caso concreto, consulta con tu colegio profesional o con un asesor en protección de datos.