Protección de datos en clínicas de fisioterapia: guía del RGPD
Qué te exige el RGPD como clínica de fisioterapia, cuándo necesitas un delegado de protección de datos, cómo tratar con tus proveedores y qué hacer si se produce una brecha.
Sobre el autor
CEO y fundador · Fisionexa
CEO y fundador de Fisionexa. Lleva más de 16 años creando software y estrategias digitales para empresas y hoy dirige el producto de Fisionexa junto a las clínicas de fisioterapia que lo usan cada día: agenda, historia clínica, facturación y atención al paciente.
La protección de datos en una clínica de fisioterapia no es un trámite que se resuelve con un cartel en recepción y una cláusula al pie de la hoja de ingreso. Tratas a diario datos de salud: diagnósticos, lesiones, medicación, informes médicos, fotos de la evolución. Para el RGPD son datos de categoría especial, y eso eleva el listón de todo lo que haces con ellos.
El problema es que en muchas clínicas la protección de datos se quedó en lo que se hizo en 2018: un documento de un asesor, unas cláusulas y poco más. Mientras tanto la clínica ha cambiado de herramientas, ha contratado a más fisioterapeutas, habla con los pacientes por WhatsApp y guarda la historia clínica en la nube. Cada uno de esos cambios tiene consecuencias legales que conviene revisar.
En esta guía tienes lo que te exigen el RGPD y la LOPDGDD, explicado para el día a día de una clínica: qué obligaciones tienes, cuándo necesitas un delegado de protección de datos, cómo tratar con tus proveedores, qué medidas de seguridad aplicar y qué hacer si algo sale mal. También verás qué debe ofrecerte tu software de fisioterapia para que cumplir no dependa de la memoria de nadie.
Lo esencial en cinco puntos
- Los datos de salud son una categoría especial: necesitan una base legal específica y más seguridad.
- Para atender al paciente no necesitas un consentimiento de protección de datos aparte; para la publicidad, sí.
- Toda clínica que trata datos de salud debe tener un registro de actividades de tratamiento.
- Cada proveedor que accede a tus datos necesita un contrato de encargado del tratamiento.
- Las brechas se documentan siempre y, si hay riesgo, se notifican a la AEPD en 72 horas.
¿Por qué los datos de salud de tus pacientes exigen más protección?
El artículo 9 del RGPD prohíbe, como regla general, tratar categorías especiales de datos, entre ellas los datos de salud. Después enumera excepciones, y una de ellas es la tuya: el tratamiento es necesario para fines de medicina preventiva, diagnóstico o asistencia sanitaria, realizado por profesionales sujetos a secreto profesional (artículo 9.2.h). La LOPDGDD completa ese marco en España y remite a la normativa sanitaria, con la Ley 41/2002 de autonomía del paciente como referencia principal.
Qué es un dato de salud
Cualquier dato relativo a la salud física o mental de una persona, incluida la prestación de servicios sanitarios, que revele información sobre su estado de salud. En tu clínica lo son la historia clínica, la valoración inicial, las notas de sesión, los informes médicos aportados por el paciente, las fotos o vídeos de la evolución e incluso el simple hecho de que una persona acude a tratamiento por una lesión concreta.
La consecuencia práctica es doble. Por un lado, no necesitas pedir un consentimiento de protección de datos para atender al paciente: la base legal es la propia asistencia sanitaria (no confundir con el consentimiento informado clínico, que sí es obligatorio). Por otro, cualquier uso que vaya más allá de la asistencia, como enviarle publicidad, usar su caso en redes sociales o compartir fotos, necesita su consentimiento expreso y separado.
Lo que el paciente debe saber desde la primera visita
El artículo 13 del RGPD te obliga a informar al paciente cuando recoges sus datos: quién es el responsable, para qué los usas, la base legal, a quién se comunican, cuánto tiempo se guardan y cómo ejercer sus derechos. La LOPDGDD permite hacerlo por capas: una información básica en la hoja de ingreso o el formulario de alta, con un enlace o un documento con la información completa.
Obligaciones de protección de datos para una clínica de fisioterapia
Con el RGPD desapareció la inscripción de ficheros y llegó el principio de responsabilidad proactiva: tienes que cumplir y además poder demostrarlo. Estas son las piezas que no pueden faltar en tu clínica:
| Obligación | Norma | Qué hacer en la clínica |
|---|---|---|
| Informar al paciente | Art. 13 RGPD y art. 11 LOPDGDD | Información básica en la ficha de alta y texto completo accesible |
| Registro de actividades de tratamiento | Art. 30 RGPD | Documento con cada tratamiento: pacientes, empleados, videovigilancia, marketing |
| Medidas de seguridad | Art. 32 RGPD | Control de accesos, copias de seguridad, cifrado, deber de confidencialidad |
| Contratos con encargados | Art. 28 RGPD | Contrato con software, asesoría, mantenimiento informático, laboratorio externo |
| Gestión de brechas | Arts. 33 y 34 RGPD | Procedimiento interno, registro de incidentes y notificación en 72 horas |
| Delegado de protección de datos | Art. 37 RGPD y art. 34 LOPDGDD | Obligatorio para centros sanitarios, salvo profesionales a título individual |
| Atención de derechos | Arts. 15 a 22 RGPD | Procedimiento para responder en plazo a accesos, rectificaciones y supresiones |
El registro de actividades de tratamiento
El RGPD exime de llevar este registro a las organizaciones de menos de 250 trabajadores, pero esa excepción no se aplica cuando se tratan datos de salud. Por tanto, aunque seas una clínica de dos fisioterapeutas, necesitas el registro. No tiene por qué ser complejo: una tabla por tratamiento con la finalidad, las categorías de datos e interesados, los destinatarios, los plazos de conservación y las medidas de seguridad.
Los tratamientos típicos de una clínica son la gestión de pacientes e historia clínica, la facturación, la gestión de personal (nóminas y registro de jornada), las comunicaciones comerciales si las haces y la videovigilancia si tienes cámaras.
¿Necesita tu clínica un delegado de protección de datos?
Es una de las dudas más habituales. El artículo 34 de la LOPDGDD enumera las entidades que deben designar un delegado de protección de datos (DPD) y, entre ellas, incluye a los centros sanitarios legalmente obligados al mantenimiento de las historias clínicas de los pacientes. A continuación añade una excepción expresa: los profesionales de la salud que, aun estando obligados a mantener historias clínicas, ejercen su actividad a título individual.
Fisioterapeuta a título individual
Si ejerces solo, con tus propios pacientes, la LOPDGDD te exceptúa de la obligación de nombrar un DPD. Sigues teniendo que cumplir todo lo demás: información, registro, seguridad y contratos con proveedores.
Clínica o centro sanitario
Si la clínica funciona como centro sanitario, con varios profesionales y una organización propia, entra en la obligación de designar un DPD y comunicar su nombramiento a la AEPD. Puede ser interno o un servicio externo.
Entre ambos extremos hay casos grises: dos autónomos que comparten local, una sociedad con un único fisioterapeuta, un centro con colaboradores externos. Ahí la respuesta depende de cómo esté organizada la actividad, así que lo prudente es consultarlo con un especialista en protección de datos o con tu colegio profesional.
Qué hace el DPD
Asesora a la clínica sobre sus obligaciones, supervisa el cumplimiento, atiende las consultas de los pacientes y es el punto de contacto con la AEPD. No tiene que estar en plantilla: muchas clínicas contratan este servicio con una consultora, que suele incluir la revisión periódica de documentos y la formación del equipo.
Proveedores con acceso a los datos: los encargados del tratamiento
Tu clínica es la responsable del tratamiento, pero casi nunca trata los datos sola. El programa de gestión, la asesoría que hace las nóminas, la empresa de mantenimiento informático, la herramienta de mensajería o la centralita con la que hablas con los pacientes acceden a datos personales por cuenta tuya. Todos ellos son encargados del tratamiento y el artículo 28 del RGPD exige un contrato o acto jurídico con cada uno.
Ese contrato debe recoger, como mínimo, estos puntos:
- El objeto, la duración, la naturaleza y la finalidad del tratamiento, y los tipos de datos.
- Que el proveedor solo trata los datos siguiendo tus instrucciones documentadas.
- El deber de confidencialidad de las personas que acceden a los datos.
- Las medidas de seguridad que aplica.
- Las condiciones para recurrir a subencargados y la obligación de informarte.
- Que te ayudará a atender los derechos de los pacientes y a gestionar brechas.
- Qué pasa con los datos al terminar el servicio: devolución o supresión.
Cuando evalúes un software de gestión para tu clínica, pide el contrato de encargado antes de firmar y pregunta dónde se alojan los datos, quién puede acceder a ellos y cómo se hacen las copias de seguridad. Lo mismo con la mensajería: usar el móvil personal para hablar con pacientes es uno de los puntos débiles más habituales, y lo explicamos a fondo en la guía sobre cómo usar WhatsApp en una clínica de fisioterapia.
Ojo con las transferencias internacionales
Si un proveedor aloja o accede a los datos fuera del Espacio Económico Europeo, necesitas una garantía adecuada para esa transferencia (por ejemplo, una decisión de adecuación o cláusulas contractuales tipo). Pregúntalo expresamente: con datos de salud es un punto que no conviene dejar al azar.
Medidas de seguridad en el día a día de la clínica
El RGPD no da una lista cerrada de medidas: te pide aplicar las adecuadas al riesgo, y con datos de salud el riesgo es alto. En una clínica de fisioterapia, la mayoría de los incidentes no vienen de ataques sofisticados, sino de descuidos cotidianos: una historia en papel olvidada en la camilla, una contraseña compartida, un ordenador sin bloquear en recepción.
- Usuarios individuales y permisos por rol. Cada persona entra con su propio usuario y ve solo lo que necesita: recepción gestiona agenda y cobros, cada fisioterapeuta accede a la historia clínica de sus pacientes.
- Historia clínica en un sistema, no en papeles sueltos. Una historia clínica de fisioterapia bien estructurada en digital deja rastro de quién escribe qué y cuándo, y evita carpetas a la vista.
- Copias de seguridad automáticas. Comprueba que existen, con qué frecuencia se hacen y que se pueden restaurar.
- Equipos protegidos. Bloqueo automático de pantalla, contraseñas robustas, cifrado de portátiles y móviles, y sistema operativo actualizado.
- Compromiso de confidencialidad firmado. Todo el personal, incluidos becarios y sustitutos, firma el deber de confidencialidad al incorporarse.
- Formación básica y periódica. Diez minutos en una reunión de equipo sobre correos fraudulentos o cómo identificar a un paciente por teléfono previenen muchos problemas.
Un buen programa de gestión facilita gran parte de esto. En Fisionexa, por ejemplo, la ficha completa del paciente y su historia clínica quedan dentro de la aplicación, con permisos por rol para cada miembro del equipo, y los documentos firmados se guardan en la propia ficha en lugar de en carpetas.
Lo que no deberías hacer nunca
- Enviar informes clínicos por correo electrónico sin cifrar a una dirección que no has verificado.
- Dar información de un paciente por teléfono sin comprobar la identidad de quien llama.
- Dejar en la pantalla de recepción la agenda con motivos de consulta a la vista de la sala de espera.
- Publicar fotos o vídeos de pacientes en redes sociales sin su consentimiento expreso y por escrito.
Derechos de los pacientes y conservación de la historia clínica
Los pacientes pueden ejercer ante tu clínica los derechos de acceso, rectificación, supresión, oposición, limitación del tratamiento y portabilidad. Tienes un mes para responder, ampliable en dos meses más en casos complejos, avisando al paciente. Responder tarde o no responder es una de las causas más comunes de reclamación ante la AEPD.
| Derecho | Ejemplo en la clínica | Cómo responder |
|---|---|---|
| Acceso | El paciente pide copia de su historia clínica | Entrega la copia; las anotaciones subjetivas del profesional tienen un régimen especial en la Ley 41/2002 |
| Rectificación | Su teléfono o su dirección han cambiado | Corrige los datos y confírmalo |
| Supresión | Pide que borres todo | Suprime lo que no estés obligado a conservar y explica el plazo legal de la historia clínica |
| Oposición | No quiere recibir más promociones | Deja de enviarlas de inmediato y márcalo en su ficha |
El choque más frecuente es entre el derecho de supresión y la obligación de conservar la historia clínica. La Ley 41/2002 fija un mínimo de cinco años desde la fecha del alta de cada proceso asistencial, y algunas comunidades autónomas establecen plazos mayores. Mientras dure esa obligación, no puedes borrarla; cuando termine, la LOPDGDD obliga a bloquear los datos durante el plazo en que puedan exigirse responsabilidades antes de suprimirlos definitivamente.
El consentimiento informado forma parte de esa misma documentación y sigue sus mismas reglas de custodia. Si quieres revisar cómo firmarlo y guardarlo, tienes la guía de consentimiento informado en fisioterapia.
Cumplir con la protección de datos no consiste en tener un documento perfecto guardado en un cajón, sino en que la forma normal de trabajar de la clínica ya sea la segura.
Qué hacer ante una brecha de datos en tu clínica
Una brecha de seguridad es cualquier incidente que provoca la destrucción, pérdida, alteración, comunicación o acceso no autorizado a datos personales. Un portátil robado, un correo con un informe enviado al paciente equivocado o un ataque de ransomware son brechas. No todas se notifican, pero todas se documentan.
- Contén el incidente. Cambia contraseñas, desconecta el equipo afectado, pide al destinatario equivocado que elimine el correo.
- Evalúa el riesgo. Qué datos se han visto afectados, de cuántos pacientes y qué consecuencias pueden tener. Con datos de salud el riesgo rara vez es nulo.
- Notifica a la AEPD si hay riesgo. En un máximo de 72 horas desde que tienes constancia, a través del formulario de su sede electrónica. Si no tienes toda la información, puedes hacer una notificación inicial y completarla después.
- Comunica a los pacientes si el riesgo es alto. Con lenguaje claro: qué ha pasado, qué consecuencias puede tener y qué medidas has tomado.
- Registra y aprende. Anota la brecha en tu registro de incidentes, con los hechos, los efectos y las medidas correctivas.
La AEPD tiene una página específica con la guía para la gestión y notificación de brechas de datos personales, con herramientas para evaluar si debes notificar. Conviene leerla con calma antes de necesitarla.
Resumen: protección de datos en tu clínica de fisioterapia, paso a paso
La protección de datos en una clínica de fisioterapia se sostiene sobre pocas piezas, pero todas tienen que estar en su sitio. Si solo tienes una hora esta semana para revisarlo, usa esta lista:
- Información de protección de datos en la ficha de alta del paciente, por capas.
- Consentimiento separado para publicidad, fotos y redes sociales.
- Registro de actividades de tratamiento actualizado con tus herramientas actuales.
- Contrato de encargado firmado con cada proveedor que accede a datos.
- Delegado de protección de datos nombrado si funcionas como centro sanitario.
- Usuarios individuales, permisos por rol y copias de seguridad comprobadas.
- Procedimiento escrito para atender derechos y para gestionar brechas.
Lo que más ayuda a cumplir es reducir el número de sitios donde viven los datos: menos papeles, menos hojas de cálculo, menos móviles personales. Si quieres ver cómo se organizan la ficha del paciente, la historia clínica, los consentimientos y los permisos en un mismo sistema, prueba la demo interactiva.
Este artículo es informativo y no sustituye el asesoramiento profesional. La normativa autonómica y las indicaciones de tu colegio pueden añadir requisitos: consulta con un especialista en protección de datos para tu caso concreto.
Guía principal: Cómo elegir software para clínicas de fisioterapia (guía 2026)
Preguntas frecuentes
¿Un fisioterapeuta autónomo necesita delegado de protección de datos?
Por regla general, no. La LOPDGDD obliga a nombrar un delegado de protección de datos a los centros sanitarios que deben mantener historias clínicas, pero exceptúa a los profesionales de la salud que ejercen su actividad a título individual. Si trabajas como clínica con varios profesionales, consulta tu caso con un especialista.
¿Hace falta el consentimiento del paciente para tratar sus datos de salud?
Para prestar la asistencia sanitaria, no es necesario un consentimiento específico de protección de datos: el RGPD permite tratar datos de salud cuando es necesario para el diagnóstico y el tratamiento por un profesional sujeto a secreto. Sí necesitas consentimiento para usos distintos, como enviar publicidad o publicar fotos o testimonios.
¿Puede un paciente pedir que borre su historia clínica?
Puede ejercer el derecho de supresión, pero la clínica no puede borrar la historia clínica mientras exista la obligación legal de conservarla, que es como mínimo de cinco años desde el alta de cada proceso asistencial según la Ley 41/2002. Debes responderle explicando el motivo y suprimir los datos que no estés obligado a conservar.
¿Tengo que tener un registro de actividades de tratamiento siendo una clínica pequeña?
Sí. La excepción del RGPD para organizaciones de menos de 250 trabajadores no se aplica cuando se tratan categorías especiales de datos, como los de salud. Una clínica de fisioterapia debe tener su registro de actividades de tratamiento por escrito, aunque sea un documento sencillo.
¿Qué pasa si pierdo un portátil con datos de pacientes?
Es una brecha de seguridad. Debes documentarla y, si es probable que suponga un riesgo para los pacientes, notificarla a la AEPD en un máximo de 72 horas. Si el riesgo es alto, también tendrás que comunicárselo a los afectados. Un equipo cifrado y con contraseña reduce mucho ese riesgo.
¿Puedo usar mi WhatsApp personal para hablar con pacientes?
No es recomendable. Mezclas datos de salud con tus contactos privados, la información queda en tu móvil personal y la clínica pierde el control de esas conversaciones. Lo prudente es usar un canal profesional de la clínica, con acceso por usuario y sin depender del teléfono de nadie.