Protección de datos en la clínica: qué firma el cliente y qué guardas tú
En una clínica veterinaria los datos personales no son los del animal: son los de su dueño. Nombre, teléfono, dirección, forma de pago y, a veces, datos de salud del propio cliente cuando explica por qué no puede sujetar al perro. Todo eso está protegido.
La consecuencia práctica es que el RGPD te afecta igual que a cualquier negocio que trate datos de personas, aunque tus pacientes tengan cuatro patas. Y que la mayoría del trabajo consiste en poner por escrito cosas que ya haces.
Lo que casi siempre falta
Cuatro fallos se repiten en casi todas las clínicas que revisamos. En Bichilab estamos especializados en clínicas veterinarias y es justo de lo que nos ocupamos: cumplimiento del RGPD en la clínica.
- No hay cláusula informativa en la ficha de alta del cliente.
- El WhatsApp de la clínica es el móvil personal de alguien del equipo.
- Se publican fotos de pacientes sin consentimiento por escrito.
- Hay cámaras grabando la sala de espera sin cartel informativo.
Ninguno de los cuatro es difícil de arreglar. Los cuatro se arreglan mejor antes de que alguien pregunte por ellos.
Empieza por saber qué datos manejas
Antes de redactar nada, haz un inventario. Recorre mentalmente un día normal de la clínica y anota dónde queda un dato de un cliente:
- El software de gestión clínica.
- La agenda, en papel o digital.
- El correo electrónico de la clínica.
- El WhatsApp por el que llegan consultas y fotos.
- El formulario de cita de la web y el de contacto.
- Los consentimientos quirúrgicos y presupuestos firmados.
- El TPV y la facturación que lleva la gestoría.
- Las cámaras de seguridad, si las hay.
Ese listado es la base de todo lo demás. Sin él, cualquier documento que firmes será genérico y no reflejará lo que de verdad pasa en tu clínica.
La cláusula informativa en la ficha de alta
Es el documento más visible y el que más se echa en falta. En términos generales, debe permitir que el cliente sepa quién trata sus datos, para qué, con qué base legal, a quién se los cedes y cómo puede ejercer sus derechos. Conviene que esté en la propia ficha de alta que firma, no en un cartel de la pared.
Una buena práctica es separar lo que es necesario para la relación asistencial de lo que es opcional. La atención al paciente y la facturación no dependen de que el cliente marque nada. El envío de recordatorios comerciales o promociones sí conviene tratarlo como una decisión suya, con una casilla aparte y sin preseleccionar. Si haces envíos periódicos a tu base de clientes, esa distinción es la que sostiene todo el sistema.
WhatsApp, fotos y cámaras
Tres frentes cotidianos que conviene ordenar.
El WhatsApp de la clínica
Si las consultas llegan al móvil personal de una auxiliar, los datos de tus clientes viajan en un dispositivo que no controlas y que se va con ella si cambia de trabajo. Lo razonable es un número de empresa, un terminal de la clínica y una norma escrita sobre qué se responde por ahí y qué no. Añade un mensaje automático de bienvenida que aclare que ese canal no es para urgencias y que informe del tratamiento de datos.
Fotos de pacientes
La foto de un perro no identifica a una persona por sí sola, pero el contexto sí puede hacerlo: el nombre del animal, el del dueño, la historia que cuentas al publicarla. Lo prudente es pedir un consentimiento por escrito específico para publicación, guardarlo con la ficha y dejar claro que se puede retirar. Si alguien te pide que borres una publicación antigua, hazlo sin discutir. Es más barato que cualquier alternativa. Esto vale también para el contenido que preparas en las redes sociales de la clínica.
Cámaras
Si grabas la sala de espera, necesitas cartel informativo visible, una finalidad legítima y un plazo de conservación corto. Y conviene revisar dónde apuntan: grabar el mostrador donde se ven pantallas con datos de clientes, o zonas de la vía pública, complica la justificación.
Cuánto tiempo hay que conservar la historia clínica
La historia clínica veterinaria conviene conservarla mientras dure la relación y un plazo razonable después, tanto por posibles reclamaciones como por continuidad asistencial. Los plazos exactos dependen de la normativa autonómica y del tipo de tratamiento, así que este es un punto que conviene confirmar con un asesor y dejar por escrito en tu registro de actividades.
Lo importante es que el plazo sea una decisión consciente y documentada, no el resultado de que nadie borre nunca nada. Guardar indefinidamente todo lo que ha pasado por la clínica es tan poco defendible como borrarlo demasiado pronto.
El registro de actividades de tratamiento
Es obligatorio y es, básicamente, una tabla: qué datos tratas, para qué, con qué base legal, quién accede y cuánto los guardas. No hay que ser jurista para tenerla, pero hay que tenerla. Es lo primero que se pide en una inspección.
Con el inventario del principio, rellenarla es cuestión de una tarde. Una fila por cada actividad: clientes y pacientes, facturación, personal, videovigilancia, comunicaciones comerciales, currículums recibidos. Y una revisión al año, o cada vez que cambies de software o de proveedor.
Los encargados de tratamiento
Tu gestoría, tu software de gestión clínica, la empresa que te lleva la web. Todos acceden a datos de tus clientes y con todos debe haber un contrato de encargado de tratamiento firmado. Es un documento estándar que ellos suelen tener preparado; basta con pedirlo.
Añade a la lista a quien no siempre se piensa: la empresa de destrucción de documentación, el proveedor del sistema de citas online, quien gestiona tus campañas y el servicio de correo con el que envías comunicaciones. Guarda todos los contratos en la misma carpeta que el registro de actividades, para tenerlo todo en un sitio.
Qué hacer si el cliente ejerce sus derechos
De vez en cuando alguien pedirá una copia de sus datos, la corrección de un dato erróneo o dejar de recibir comunicaciones. Conviene tener decidido de antemano quién atiende esas peticiones, cómo se comprueba la identidad de quien las hace y dónde se anotan. Los plazos de respuesta están regulados, así que lo peor es que la petición se quede en un correo sin leer.
Prepara también un procedimiento breve por si hay una brecha de seguridad: un portátil robado, un correo enviado con todas las direcciones en copia visible, un acceso indebido. Saber a quién llamar y qué anotar en las primeras horas cambia bastante el resultado.
Un aviso
Este artículo es orientativo y no sustituye al asesoramiento de un profesional. La normativa tiene matices autonómicos y cada clínica tiene su casuística. Lo prudente es usarlo como lista de repaso y validar tus documentos con alguien que los revise a fondo.
Si quieres que miremos cómo están hoy tu formulario de cita, tu política de privacidad y tus consentimientos, cuéntanos tu caso y te decimos por dónde empezar.
