Informática para una clínica:
lo que cambia

Porque el RGPD los pone en otra categoría. El artículo 9.1 prohíbe con carácter general tratar determinadas categorías especiales de datos, entre ellas los datos relativos a la salud, salvo en los supuestos que el propio artículo enumera, y la asistencia sanitaria es uno de ellos. El artículo 4.15 define esos datos de forma amplia: cualquier dato sobre la salud física o mental, pasada, presente o futura, que revele información sobre el estado de salud de una persona. En la práctica eso incluye mucho más que la historia clínica: el motivo de una cita en la agenda, un presupuesto de tratamiento, una radiografía en el escritorio o un correo en el que un paciente cuenta qué le pasa. Todo eso pasa por los mismos equipos que en cualquier oficina, pero el nivel de protección que se espera es mayor.

El RGPD no impone una lista cerrada de medidas, sino medidas apropiadas al riesgo, y entre los ejemplos que da el artículo 32.1 están el cifrado de los datos personales y la capacidad de restaurar la disponibilidad y el acceso a los datos de forma rápida tras un incidente. Con datos de salud, el riesgo es alto por definición, así que lo razonable es que cualquier copia que salga del local vaya cifrada, que la clave no viaje con la copia y que alguien compruebe de vez en cuando que se puede restaurar. Una copia sin cifrar en un disco que se lleva alguien a casa convierte un robo de coche en una brecha de datos de salud. Una copia que nunca se ha probado puede no servir el día que hace falta.

La Ley 41/2002, de autonomía del paciente, dice en su artículo 16.4 que el personal de administración y gestión de los centros sanitarios solo puede acceder a los datos de la historia clínica relacionados con sus propias funciones. Traducido a informática: recepción necesita la agenda, los datos de contacto y la facturación, no las notas clínicas. Casi todos los programas de gestión clínica permiten perfiles de usuario con permisos distintos, y es habitual encontrarlos sin configurar, con todo el mundo entrando como administrador. Configurar los perfiles bien es poco trabajo y cambia por completo la respuesta a la pregunta de quién pudo ver un dato concreto.

La ley estatal, la Ley 41/2002 en su artículo 17.1, fija un mínimo de cinco años desde la fecha del alta de cada proceso asistencial. En Cataluña rige además la Ley 21/2000, cuyo artículo 12, en la redacción que le dio la Ley 16/2010, obliga a conservar quince años desde el alta de cada proceso determinados documentos, como las hojas de consentimiento informado, los informes de alta, los informes quirúrgicos, los de exploraciones complementarias o los de anatomía patológica, y permite destruir el resto pasados cinco años. Hay matices, como la documentación que se considere especialmente relevante a efectos asistenciales, epidemiológicos o judiciales, así que el calendario concreto de vuestra clínica lo tiene que fijar vuestro asesor jurídico. Lo nuestro es que el sistema pueda aplicarlo.

En las zonas comunes, como la entrada, la sala de espera o el pasillo, sí, con el cartel informativo visible y con un encuadre proporcionado. En las salas donde se atiende al paciente, como la consulta o la sala de curas, nosotros no las instalamos: es el espacio de mayor intimidad de toda la clínica, y lo que se graba allí son datos de salud. La Ley Orgánica 3/2018, en su artículo 22.3, exige suprimir las imágenes de videovigilancia en el plazo máximo de un mes desde su captación, salvo que deban conservarse para acreditar hechos concretos. Si la cámara enfoca además a la plantilla, entran las reglas específicas de grabar a los empleados, que son estrictas.

Sí. Quien mantiene vuestros equipos o vuestros servidores accede, o puede acceder, a datos de pacientes, y el artículo 28 del RGPD exige que ese tratamiento esté regulado por un contrato u otro acto jurídico que fije su objeto, su duración, su naturaleza y su finalidad, el tipo de datos y las obligaciones de cada parte. Además, el responsable solo debe elegir encargados que ofrezcan garantías suficientes. Vale igual para el proveedor del programa de gestión en la nube, el del correo y el del alojamiento de las copias. Si vuestro proveedor de informática nunca os ha planteado ese contrato, pedídselo: su reacción dice mucho.

Ninguna norma enumera el doble factor por su nombre, pero con datos de salud es de las medidas que más riesgo quitan por menos esfuerzo. La mayoría de accesos indebidos no vienen de un ataque sofisticado, sino de una contraseña reutilizada, apuntada o robada por un correo falso. Con un segundo factor, esa contraseña sola ya no basta para entrar. Lo prioritario es activarlo en el correo de la clínica, en el programa de gestión clínica si lo permite, en cualquier acceso remoto y en las cuentas de administración. Y siempre con cuentas personales: un doble factor sobre una cuenta compartida protege poco y no deja rastro de quién entró.