RGPD en clínicas de fisioterapia: guía práctica

El RGPD en clínicas de fisioterapia exige medidas de protección reforzadas porque los historiales clínicos, diagnósticos y notas de tratamiento son datos de salud clasificados como «categoría especial» por el artículo 9 del Reglamento General de Protección de Datos. En la práctica, un fisioterapeuta necesita: informar a cada paciente de cómo trata sus datos (para la asistencia sanitaria no hace falta su consentimiento, artículo 9.2.h, pero sí informarle), medidas de seguridad adecuadas al riesgo (cifrado, control de accesos y copias de seguridad), registro de quién accede a qué dato y cuándo, y un procedimiento para atender los derechos de los pacientes. Ojo con la supresión: la historia clínica debe conservarse como mínimo 5 años desde el alta (Ley 41/2002, artículo 17), así que no siempre se puede borrar a petición del paciente. Un software de gestión facilita buena parte de estas medidas (consentimientos digitales, cifrado, registro de accesos y control por roles), pero la responsabilidad de cumplir sigue siendo de la clínica.

Sin embargo, cumplir con el RGPD no tiene por qué ser una pesadilla burocrática. En esta guía te explicamos de forma clara y práctica qué obligaciones tienes, cómo gestionar el consentimiento informado, qué hacer con los historiales clínicos, cuáles son los derechos de tus pacientes y qué sanciones puedes enfrentar si no cumples. Además, te proporcionamos un checklist para que puedas evaluar el estado de cumplimiento de tu clínica hoy mismo.

¿Por qué el RGPD es especialmente importante en fisioterapia?

El RGPD, que entró en vigor en 2018 y se complementa en España con la Ley Orgánica 3/2018 de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD), establece un marco general de protección de datos para toda la Unión Europea. Pero no todos los datos son iguales a ojos de la ley.

El artículo 9 del RGPD define las categorías especiales de datos, entre las que se encuentran los datos relativos a la salud. En una clínica de fisioterapia, prácticamente toda la información que manejas sobre tus pacientes entra en esta categoría:

• Diagnósticos y patologías tratadas.
• Historiales clínicos y notas de evolución.
• Informes de valoración funcional.
• Datos sobre tratamientos farmacológicos que el paciente pueda estar recibiendo.
• Imágenes de pruebas complementarias (radiografías, ecografías).
• Información sobre lesiones, accidentes o bajas laborales.

El tratamiento de estos datos está prohibido como regla general, salvo que se aplique alguna de las excepciones previstas en el RGPD. En el caso de la asistencia sanitaria, la excepción más relevante es la del artículo 9.2.h): el tratamiento es necesario para fines de medicina preventiva, diagnóstico médico o gestión de sistemas sanitarios. No obstante, esta base legal no te exime de cumplir con el resto de obligaciones del RGPD, como veremos a continuación.

Los datos de salud exigen medidas de seguridad reforzadas. Una brecha de datos en una clínica de fisioterapia no es comparable a la filtración de una lista de correos: estamos hablando de información íntima sobre la salud de las personas.

Obligaciones principales de una clínica de fisioterapia

El RGPD y la LOPDGDD establecen una serie de obligaciones concretas que toda clínica de fisioterapia debe cumplir. Estas son las más relevantes:

1. Base legal e información al paciente

Para tratar los datos de salud con fines asistenciales no necesitas el consentimiento del paciente: te apoyas en una base del artículo 6 del RGPD (la prestación del servicio y las obligaciones de la historia clínica) y en la excepción de asistencia sanitaria del artículo 9.2.h. Lo que sí debes hacer siempre es informarle de quién trata sus datos, para qué, cuánto tiempo y cómo ejercer sus derechos (artículo 13). Cada finalidad adicional necesita su propia base jurídica: pide el consentimiento cuando sea exigible (libre, específico, informado e inequívoco; no basta con una casilla premarcada) y no reutilices los datos de salud para publicidad amparándote en la asistencia. El consentimiento informado para el tratamiento clínico es otra cosa, regulada por la Ley 41/2002: lo explicamos en la guía de consentimiento informado.

2. Política de privacidad

Tu clínica debe disponer de una política de privacidad clara y accesible que informe al paciente sobre quién es el responsable del tratamiento, qué datos se recogen, con qué finalidad, cuál es la base legal, durante cuánto tiempo se conservan y cuáles son sus derechos.

3. Registro de actividades de tratamiento

El artículo 30 del RGPD exige que mantengas un registro de actividades de tratamiento (RAT). Este documento interno describe todos los tratamientos de datos que realiza tu clínica: datos de pacientes, datos de empleados, datos de proveedores, etc. Debe incluir la categoría de datos, la finalidad, los destinatarios y los plazos de conservación.

4. Delegado de Protección de Datos (DPO)

Según la LOPDGDD, los centros sanitarios obligados a mantener historiales clínicos deben designar un Delegado de Protección de Datos (artículo 34.1.l). Esto aplica a las clínicas de fisioterapia que son centro sanitario. La propia ley exceptúa a los profesionales sanitarios que ejercen a título individual: un fisioterapeuta que trabaja solo no está obligado. El DPO puede ser interno o externo, debe contar con los conocimientos adecuados y su designación se comunica a la AEPD en diez días.

5. Notificación de brechas de seguridad

Si se produce una violación de seguridad que afecte a datos personales (por ejemplo, un ciberataque, la pérdida de un dispositivo con datos de pacientes o un acceso no autorizado), estás obligado a notificarlo a la AEPD en un plazo máximo de 72 horas. Si la brecha supone un riesgo alto para los afectados, también debes comunicárselo directamente a ellos.

Información y consentimiento del paciente

El documento que entregas al paciente en su primera visita es la pieza más visible del cumplimiento del RGPD en el día a día de tu clínica. Para la asistencia no sirve para pedirle permiso, sino para informarle; si quieres usar sus datos para algo más, como enviarle novedades, esa finalidad necesita su propia base jurídica (a menudo, el consentimiento).

¿Qué debe incluir?

La información que debes darle incluye, como mínimo:

• Identidad del responsable: nombre de la clínica o del profesional, NIF y datos de contacto.
• Datos del DPO: si dispones de delegado de protección de datos, sus datos de contacto.
• Finalidad del tratamiento: gestión de la historia clínica, asistencia sanitaria, facturación, comunicaciones.
• Base jurídica: una base del artículo 6 del RGPD (la prestación del servicio y las obligaciones de la Ley 41/2002 sobre la historia clínica) y, para los datos de salud, la excepción de asistencia sanitaria del artículo 9.2.h. Cada finalidad adicional, con su propia base.
• Destinatarios: si los datos se comparten con otros profesionales, laboratorios, aseguradoras u otros terceros.
• Plazo de conservación: el tiempo durante el cual se conservarán los datos (mínimo 5 años para la historia clínica).
• Derechos del paciente: acceso, rectificación, supresión, limitación, portabilidad y oposición.
• Derecho a reclamar: ante la AEPD (Agencia Española de Protección de Datos).

¿Cómo obtenerlo?

El consentimiento puede obtenerse en formato papel o digital. Si optas por el formato digital, asegúrate de que el sistema registre la fecha, la hora y el contenido exacto del consentimiento aceptado. Los consentimientos digitales integrados en tu software de gestión son la opción más eficiente, ya que se asocian automáticamente al expediente del paciente y se conservan de forma segura.

El problema del consentimiento digital, en la práctica, es el mismo que el del papel: depende de que alguien se acuerde de sacarlo en recepción, con la sala de espera llena. La forma de resolverlo es enviarlo por WhatsApp junto con la confirmación de la cita, para que el paciente lo firme desde su móvil antes de llegar. En Serenna, el asistente de WhatsApp es bidireccional y funciona con IA: además de gestionar las citas conversando con el paciente, recoge la firma del consentimiento informado y la vincula al expediente con su sello de tiempo. Sin papel, sin tablet y sin que nadie de tu equipo tenga que acordarse.

Conservación de los consentimientos

Cuando el consentimiento es la base del tratamiento (por ejemplo, para comunicaciones comerciales), el RGPD exige que puedas demostrar que lo obtuviste (artículo 7.1): conserva la prueba (física o con firma digital) mientras dure ese tratamiento. Los consentimientos informados clínicos forman parte de la historia clínica, que se conserva como mínimo 5 años desde el alta de cada proceso asistencial (Ley 41/2002, artículo 17).

Historia clínica y datos de salud

La historia clínica es el núcleo de la información de salud en tu clínica y, por tanto, el activo más sensible desde la perspectiva del RGPD.

Plazo mínimo de conservación

La Ley 41/2002, de autonomía del paciente, establece que la documentación clínica debe conservarse durante un mínimo de 5 años desde la fecha del alta de cada proceso asistencial. No obstante, las comunidades autónomas pueden ampliar este plazo, y algunas lo han hecho. En la práctica, muchas clínicas optan por conservar la información durante periodos más largos por seguridad jurídica.

Medidas de seguridad

Al tratarse de datos de categoría especial, las medidas de seguridad deben ser proporcionales al riesgo. Como mínimo, tu clínica debe implementar:

• Cifrado de datos: tanto en reposo (datos almacenados) como en tránsito (datos que se transmiten).
• Copias de seguridad: automatizadas y almacenadas en ubicaciones seguras, preferiblemente cifradas.
• Contraseñas robustas: políticas de contraseñas seguras para todos los usuarios del sistema.
• Actualizaciones de software: mantener el sistema operativo y las aplicaciones siempre actualizados.
• Antivirus y cortafuegos: protección activa contra malware y accesos no autorizados.

Control de acceso

No todos los miembros de tu equipo necesitan acceder a toda la información clínica. El principio de mínimo privilegio exige que cada usuario solo tenga acceso a los datos que necesita para desempeñar su función. Un recepcionista puede necesitar ver la agenda y los datos de contacto, pero no las notas clínicas. Un fisioterapeuta asociado puede necesitar acceder a los historiales de sus pacientes, pero no a los de otros compañeros.

Tu software de gestión debe permitir configurar roles y permisos de acceso diferenciados para cada tipo de usuario.

Derechos del paciente

El RGPD otorga a los pacientes una serie de derechos que tu clínica debe facilitar y respetar. Es lo que se conoce como derechos ARSULIPO:

• Acceso: el paciente tiene derecho a saber qué datos personales tienes sobre él y a obtener una copia.
• Rectificación: si los datos son inexactos o están incompletos, el paciente puede solicitar su corrección.
• Supresión (derecho al olvido): el paciente puede pedir que elimines sus datos. Sin embargo, en el ámbito sanitario existen excepciones importantes: no puedes eliminar la historia clínica antes de que transcurra el plazo legal de conservación (5 años mínimo), ni cuando los datos sean necesarios para cumplir con obligaciones legales.
• Limitación: el paciente puede solicitar que se restrinja el tratamiento de sus datos en determinadas circunstancias.
• Portabilidad: el paciente tiene derecho a recibir sus datos en un formato estructurado y de uso común, y a transmitirlos a otro responsable.
• Oposición: el paciente puede oponerse al tratamiento de sus datos en ciertos supuestos, como el envío de comunicaciones comerciales.

Debes responder a cualquier solicitud de ejercicio de derechos en un plazo máximo de un mes. Tener un sistema de gestión que te permita localizar, exportar y, si procede, eliminar los datos de un paciente de forma rápida y fiable es fundamental para cumplir con estos plazos.

Sanciones por incumplimiento

La Agencia Española de Protección de Datos (AEPD) es el organismo encargado de supervisar el cumplimiento del RGPD en España, y tiene potestad sancionadora. La Ley Orgánica 3/2018 (LOPDGDD) clasifica las infracciones en muy graves, graves y leves (artículos 72 a 74), que prescriben a los tres años, a los dos años y al año. Los importes los fija el RGPD (artículo 83):

• Hasta 10 millones de euros o el 2 % de la facturación anual global (la cifra mayor), por ejemplo por incumplir las obligaciones del responsable y del encargado, como las medidas de seguridad o la notificación de brechas (artículo 83.4).
• Hasta 20 millones de euros o el 4 % de la facturación anual global, por ejemplo por tratar datos sin base legal, incumplir los principios del tratamiento o no atender los derechos de los pacientes (artículo 83.5).
• Dentro de esos máximos, la AEPD gradúa cada multa según la gravedad, la intencionalidad, las medidas adoptadas y el tamaño del infractor (artículo 83.2 del RGPD y artículo 76 de la LOPDGDD).

Estas cifras pueden parecer pensadas para grandes corporaciones, pero la AEPD también sanciona a pymes y autónomos. En el ámbito sanitario, algunos incumplimientos típicos:

• No informar al paciente de cómo se tratan sus datos, o usarlos para fines distintos de la asistencia (por ejemplo, publicidad) sin una base jurídica válida.
• Brechas de seguridad no notificadas: no informar de una violación de datos dentro del plazo de 72 horas puede conllevar sanciones adicionales.
• Acceso indebido a historiales: casos en los que personal no autorizado accedió a historiales clínicos han derivado en procedimientos sancionadores significativos.
• Falta de medidas de seguridad: clínicas que almacenan datos de pacientes en sistemas sin cifrar, sin copias de seguridad o con contraseñas débiles se exponen a sanciones por no implementar medidas técnicas adecuadas.

Más allá de las multas económicas, una sanción de la AEPD implica un daño reputacional considerable. Las resoluciones de la AEPD son públicas, y una sanción por mal manejo de datos de salud puede erosionar gravemente la confianza de tus pacientes.

Checklist: ¿Tu clínica cumple con el RGPD?

Utiliza esta lista para evaluar de forma rápida el estado de cumplimiento de tu clínica. Si no puedes marcar todos los puntos, es momento de actuar:

• ✓ Información y consentimiento: informas a cada paciente de cómo tratas sus datos, cada finalidad adicional tiene su base jurídica (y el consentimiento, cuando es exigible) y, para el tratamiento clínico, recoges el consentimiento informado por escrito cuando la técnica lo exige.
• ✓ Política de privacidad: dispones de una política de privacidad actualizada, accesible en tu clínica y en tu web.
• ✓ Registro de actividades de tratamiento: tienes documentado un RAT que describe todos los tratamientos de datos que realiza tu clínica.
• ✓ Delegado de Protección de Datos: si tu clínica es un centro sanitario, has designado un DPO (interno o externo) y lo has comunicado a la AEPD. No aplica si ejerces a título individual.
• ✓ Cifrado de datos: los datos de tus pacientes están cifrados tanto en reposo como en tránsito.
• ✓ Copias de seguridad: realizas copias de seguridad automáticas de los datos con regularidad y las almacenas de forma segura.
• ✓ Control de acceso por roles: cada miembro de tu equipo solo accede a los datos que necesita para su función.
• ✓ Contraseñas seguras: tu sistema exige contraseñas robustas y se cambian periódicamente.
• ✓ Protocolo de brechas: tienes definido un procedimiento para detectar, documentar y notificar brechas de seguridad en menos de 72 horas.
• ✓ Derechos del paciente: dispones de un canal y un procedimiento para atender las solicitudes de acceso, rectificación, supresión y portabilidad.
• ✓ Contratos con encargados de tratamiento: si usas software en la nube, servicios de hosting o asesorías externas, tienes firmado un contrato de encargado del tratamiento con cada proveedor.
• ✓ Conservación de historiales: conservas las historias clínicas durante el plazo legal mínimo (5 años) y tienes un criterio claro de destrucción segura una vez vencido el plazo.
• ✓ Formación del equipo: tu personal ha recibido formación básica sobre protección de datos y sabe cómo actuar ante una solicitud de derechos o una posible brecha.

Conclusión

El RGPD no es solo una obligación legal: es una garantía de confianza para tus pacientes. En un ámbito tan sensible como la fisioterapia, donde cada consulta genera datos íntimos sobre la salud de las personas, cumplir con la normativa de protección de datos es una responsabilidad profesional y ética que va más allá de evitar sanciones.

La buena noticia es que cumplir no tiene por qué ser complicado. Con las herramientas adecuadas, la mayoría de las obligaciones se integran en tu flujo de trabajo diario sin esfuerzo adicional: consentimientos digitales que se firman en la tablet de recepción, historiales clínicos cifrados automáticamente, copias de seguridad que se ejecutan solas, roles de acceso que se configuran una vez y funcionan para siempre. Incluso si estás empezando, hay opciones de software gratuitas que ya incluyen estas medidas.

Si tu clínica todavía gestiona los datos de pacientes en hojas de cálculo, carpetas físicas sin control o un software que no contempla la protección de datos, este es el momento de dar el paso a la digitalización. Si eres autónomo y no sabes por dónde empezar, nuestra guía de gestión de clínica de fisioterapia para autónomos te ayudará a organizar todos los aspectos de tu consulta, incluido el cumplimiento normativo. Cuanto antes te pongas al día, antes podrás centrarte en lo que realmente importa: tratar a tus pacientes.

Serenna ha sido diseñado desde el primer día con el cumplimiento del RGPD como prioridad. Cifrado de datos, consentimientos digitales integrados, control de acceso por roles, copias de seguridad automáticas y trazabilidad completa de cada acción. Además, integra comunicación por WhatsApp cumpliendo con todas las garantías de protección de datos. Y con los nuevos requisitos de los programas de facturación llegando en 2027, tenerlo todo integrado en una sola plataforma pensada específicamente para clínicas de fisioterapia marca la diferencia. Puedes ver qué incluye cada plan en los precios de Serenna.

Preguntas frecuentes