Guía práctica RGPD · Actualizada el 7 de octubre de 2026

RGPD para fisioterapeutas: guía práctica sin agobios

Si tratas datos de salud, el RGPD te pide informar a tus pacientes, tener una base jurídica (la asistencia sanitaria, art. 9.2.h), firmar el encargo con tus proveedores y proteger los datos. Aquí tienes qué resuelve un buen programa y qué te toca a ti.

Probar gratis 10 días Qué te toca a ti

Sin tarjeta · Sin permanencia

Antes de entrar al detalle

Si solo tienes 5 minutos, quédate con estas tres ideas.

Qué exige el RGPD en fisioterapia

Documentación mínima, base jurídica para tratar datos de salud y medidas de seguridad técnicas y organizativas.

Ver la explicación básica

Riesgos si no cumples

Multas, reclamaciones ante la AEPD y, sobre todo, pérdida de confianza de tus pacientes.

Ver los errores frecuentes

Cómo te ayuda Profisio

Cifrado, datos en la UE, encargo de tratamiento y consentimientos con firma digital ya integrados, para que no lo montes desde cero.

Ver el RGPD en Profisio

¿Qué es el RGPD y cómo afecta a los fisioterapeutas?

El Reglamento General de Protección de Datos (RGPD) es la norma europea que regula el tratamiento de datos personales. En España se completa con la Ley Orgánica de Protección de Datos y Garantía de los Derechos Digitales (LOPDGDD).

En una consulta de fisioterapia no solo tratas datos personales, sino datos de salud, especialmente protegidos. Por eso el nivel de exigencia y de seguridad es mayor que en otros negocios.

Por qué te importa

Tratas datos de salud: valoraciones, diagnósticos, evolución y notas de sesión.
Una reclamación ante la AEPD cuesta tiempo, dinero y confianza.
Cumplir bien refuerza la confianza de tus pacientes.

Datos que manejas en consulta

De salud: diagnósticos, tratamientos, escalas, notas de sesión e informes.
Identificativos: nombre, DNI, contacto, edad…
Económicos: facturas, cobros, bonos, seguros y mutuas.

Quién hace qué

Un buen programa te quita la parte técnica, pero la responsabilidad del tratamiento sigue siendo tuya. Este es el reparto real.

Ya lo hace Profisio

Cifra los datos personales de tus pacientes.
Aloja la base de datos en la UE (Fráncfort). La IA funciona en servidores propios en Alemania, sin proveedores externos de IA.
Incluye el contrato de encargo de tratamiento, que aceptas al darte de alta, y publica su lista de subencargados.
Recoge los consentimientos informados con firma digital y los guarda en la ficha de cada paciente.
En clínicas, permisos por empleado para limitar quién ve qué.
Guarda un registro de los borrados de pacientes y citas: quién lo hizo, cuándo y una copia de lo eliminado.
Te deja exportar tus datos a Excel cuando quieras, también si te vas.

Puedes leer el contrato de encargo de tratamiento y la lista de subencargados.

Te toca a ti

Informar a tus pacientes de cómo tratas sus datos (cláusula informativa y política de privacidad).
Recoger el consentimiento informado para la intervención: por escrito en las técnicas invasivas, como la punción seca (Ley 41/2002, art. 8).
Llevar tu registro de actividades de tratamiento.
Responder a las solicitudes de derechos en el plazo de un mes.
Firmar el encargo con el resto de proveedores que traten datos: gestoría, correo o almacenamiento en la nube.
Proteger tus dispositivos: contraseñas, bloqueo de pantalla y cuentas sin compartir.
Notificar a la AEPD una brecha de seguridad en 72 horas si supone un riesgo.
Conservar la historia clínica el plazo legal: al menos 5 años desde el alta de cada proceso (Ley 41/2002).

Cómo gestionar los derechos de tus pacientes

No necesitas memorizarlos. Lo importante es tener un procedimiento claro para responder a cada solicitud en el plazo de un mes.

Derecho de información

Los pacientes deben saber cómo tratas sus datos

Cómo lo aplicasInformación clara en el momento de la recogida de datos

Documento útilCláusula informativa en la ficha de alta

Derecho de acceso

Los pacientes pueden pedir una copia de sus datos personales

Cómo lo aplicasProcedimiento para entregar los datos en un formato comprensible

Documento útilFormulario de solicitud de acceso

Derecho de rectificación

Corrección de datos inexactos o incompletos

Cómo lo aplicasProceso para modificar los datos previa verificación

Documento útilFormulario de solicitud de rectificación

Derecho de supresión

Eliminación de datos cuando ya no sean necesarios

Cómo lo aplicasBorrado seguro, respetando los plazos legales de conservación de la historia clínica

Documento útilFormulario de solicitud de supresión

Derecho a la limitación

Restricción del tratamiento en determinadas circunstancias

Cómo lo aplicasMarcar los datos para limitar su uso

Documento útilFormulario de solicitud de limitación

Derecho a la portabilidad

Entrega de los datos a otro responsable

Cómo lo aplicasExportación en un formato estructurado

Documento útilFormulario de solicitud de portabilidad

Derecho de oposición

Oposición al tratamiento por motivos particulares

Cómo lo aplicasValorar si procede la oposición

Documento útilFormulario de oposición al tratamiento

Consejo: define un correo para estas solicitudes y un plazo interno (por ejemplo, 72 horas) y documenta cómo lo haces.

Medidas de seguridad en tu consulta

Piensa en dos niveles: técnico (programas y dispositivos) y organizativo (personas y procedimientos).

Medidas técnicas

Cifrado de los datos en reposo y en tránsito
Autenticación en dos pasos para entrar en los sistemas
Copias de seguridad automáticas y cifradas
Registro de cambios en los datos sensibles
Actualizaciones de seguridad al día en tus dispositivos

Medidas organizativas

Política de seguridad de la información
Formación del equipo en protección de datos
Procedimiento de gestión de incidencias
Control del acceso físico a la consulta y a los archivos en papel
Acuerdos de confidencialidad con el personal
Revisión periódica de riesgos

Errores habituales (y cómo evitarlos)

Suelen repetirse en los mismos puntos. Evitarlos es más sencillo de lo que parece.

No tener base jurídica clara
Consecuencia: Multas de hasta 20 millones de euros o el 4 % de la facturación anual
Cómo evitarlo: Identificar y documentar la base jurídica de cada tratamiento
Confundir el consentimiento RGPD con el consentimiento informado
Consecuencia: Formularios que piden lo que no hace falta y no informan de lo que sí
Cómo evitarlo: Cláusula informativa para los datos y consentimiento informado para la intervención
No llevar el registro de actividades de tratamiento
Consecuencia: Sanción administrativa y problemas si hay una inspección
Cómo evitarlo: Mantener el registro actualizado
Falta de medidas de seguridad
Consecuencia: Responsabilidad si hay una brecha de seguridad
Cómo evitarlo: Medidas técnicas y organizativas adecuadas al riesgo
No formar al equipo
Consecuencia: Incumplimientos por desconocimiento
Cómo evitarlo: Formación periódica en protección de datos

Preguntas frecuentes

¿Cuáles son las multas por incumplir el RGPD como fisioterapeuta?

Las multas pueden llegar hasta 20 millones de euros o el 4 % de la facturación anual global, lo que sea mayor. Para un autónomo o una clínica pequeña, la AEPD gradúa la cuantía según la gravedad, la intención y el daño causado (art. 83 del RGPD).

¿Necesito un Delegado de Protección de Datos como fisioterapeuta?

Si ejerces a título individual, no: la LOPDGDD (art. 34.1.l) obliga a designarlo a los centros sanitarios que deben conservar historias clínicas, pero exceptúa a los profesionales sanitarios que ejercen a título individual. Si tienes un centro sanitario, lo normal es que debas designarlo: revisa tu caso con un asesor en protección de datos.

¿Cómo debo obtener el consentimiento de mis pacientes según el RGPD?

Para atenderle no necesitas su consentimiento RGPD: la base es la asistencia sanitaria (art. 9.2.h). Sí debes informarle de cómo tratas sus datos y recoger su consentimiento informado para la intervención (Ley 41/2002), por escrito en las técnicas invasivas, como la punción seca. Si quieres usar sus datos para algo más, como enviarle novedades, ese consentimiento debe ser libre, específico, informado e inequívoco, separado por finalidades y fácil de retirar. No valen el silencio ni las casillas premarcadas.

¿Qué datos de pacientes puedo tratar sin consentimiento?

Los necesarios para atenderle. La base jurídica de la asistencia sanitaria es el art. 9.2.h del RGPD, no el interés vital, que se reserva para urgencias en las que el paciente no puede consentir. La de la facturación y la conservación de la historia clínica es el cumplimiento de una obligación legal (art. 6.1.c). Siempre con las medidas de seguridad apropiadas.

Fuentes oficiales

Esta guía es informativa y no sustituye el asesoramiento de un especialista en protección de datos.

¿Quieres la parte técnica del RGPD resuelta?

Profisio cifra los datos, los aloja en la UE, incluye el encargo de tratamiento y recoge los consentimientos con firma digital. Lo que te toca a ti lo tienes arriba.

Probar gratis 10 días Ver el RGPD en Profisio