La protección de datos para fisioterapeutas forma parte de la gestión diaria de una consulta. Afecta a las historias clínicas, las citas, los mensajes que envías y las herramientas que utilizas para atender a tus pacientes. Organizar bien esa información te ayuda a proteger su intimidad y a trabajar con criterios claros.
Las dudas suelen aparecer al tomar decisiones concretas: cuándo pedir consentimiento, cuánto tiempo conservar una historia o qué información compartir con una aseguradora. En esta guía te explico qué exige el RGPD y cómo llevarlo a la práctica, tanto si trabajas por tu cuenta como si diriges una clínica de fisioterapia.
¿Qué normativa de protección de datos debe cumplir un fisioterapeuta?
En España se aplican el Reglamento General de Protección de Datos (RGPD) y la Ley Orgánica 3/2018 de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD). También cuando la consulta es pequeña o utiliza historias organizadas en papel. La Ley 41/2002 de autonomía del paciente regula la información y documentación clínica. Debes completar ese marco con la normativa sanitaria de tu comunidad autónoma, especialmente respecto a conservación y funcionamiento del centro.
La web, las cookies y la publicidad electrónica están sujetas también a la Ley 34/2002 de servicios de la sociedad de la información y de comercio electrónico (LSSI). Para imágenes de pacientes y herramientas de IA pueden intervenir, respectivamente, el derecho a la propia imagen y el Reglamento europeo de Inteligencia Artificial, además de la normativa sanitaria que corresponda.
¿Qué datos personales trata un centro de fisioterapia?
El inventario debe abarcar la atención, la gestión administrativa y la actividad laboral y comercial del centro de fisioterapia.
Datos identificativos y de contacto
Nombre, teléfono, correo electrónico y los datos de identificación, representación o facturación que necesites. Solicita solo información proporcionada a cada finalidad: reservar una cita no suele requerir una copia del DNI. Mantén actualizados los contactos para evitar envíos a otra persona.
Datos de salud y antecedentes clínicos
Incluyen valoraciones, lesiones, medicación relevante, antecedentes y evolución. También información que permite deducir una situación sanitaria: una cita identificada como rehabilitación de suelo pélvico puede revelar datos de salud antes de abrir la historia clínica.
Informes, pruebas e imágenes
Informes aportados, pruebas, fotografías, vídeos de movimiento y registros de aplicaciones pueden integrar la documentación asistencial. Comprueba su utilidad y procedencia, y guárdalos en los sistemas autorizados para evitar copias dispersas en móviles o conversaciones.
Datos de empleados y colaboradores
Currículums, contratos, nóminas, horarios, acreditaciones y documentación preventiva tienen finalidades y plazos propios. Su gestión debe distinguirse del tratamiento de datos de pacientes.
Los datos de salud como categoría especial de datos
Los datos de salud tienen una protección reforzada. Para utilizarlos necesitas una base jurídica, es decir, un motivo legal que justifique su tratamiento. En la atención al paciente, destacan estas bases del artículo 6 del RGPD:
- La ejecución del contrato de prestación de servicios —artículo 6.1.b)—: permite tratar los datos necesarios para prestar la atención fisioterapéutica que el paciente ha contratado.
- El cumplimiento de obligaciones legales —artículo 6.1.c)—: ampara los tratamientos exigidos por la normativa, como conservar la historia clínica durante los plazos legalmente establecidos.
Además, al tratarse de datos de salud, debe concurrir una de las circunstancias del artículo 9. En la actividad asistencial resulta especialmente relevante el artículo 9.2.h), que permite utilizar la información necesaria para prestar asistencia sanitaria, con las garantías aplicables y bajo la responsabilidad de profesionales sujetos al secreto profesional.
Por ejemplo, si un paciente acude por una lesión de rodilla, puedes recoger los antecedentes relevantes y registrar su evolución para atenderlo. Ese uso se apoya en la prestación del servicio y en la excepción prevista para la asistencia sanitaria. No necesitas un consentimiento específico de protección de datos para ese tratamiento necesario, aunque sí debes informar al paciente sobre cómo utilizarás su información.
¿Qué documentación RGPD necesita un fisioterapeuta?
La documentación debe reflejar cómo funciona tu consulta. A los documentos siguientes se añaden el análisis de riesgos y las evidencias de las medidas adoptadas.
Registro de actividades de tratamiento
El RAT identifica los tratamientos, finalidades, personas y datos afectados, destinatarios, transferencias y, cuando sea posible, plazos de supresión y medidas de seguridad. Incluye asistencia, citas, facturación, personal y publicidad cuando proceda. Tratar habitualmente datos de salud obliga a llevarlo aunque tengas menos de 250 empleados. Actualízalo cuando cambie la actividad.
Información de protección de datos a pacientes
Explica quién trata los datos, para qué, con qué fundamento, durante cuánto tiempo y a quién pueden comunicarse. Incluye derechos, reclamación ante la autoridad de control y los demás extremos aplicables, como transferencias o contacto del delegado de protección de datos. Facilita esta información al recoger los datos; puedes utilizar una primera capa breve y otra completa.
Contratos con proveedores
Si un proveedor trata datos por cuenta de la consulta, formaliza el encargo conforme al artículo 28 del RGPD. Debe regular el tratamiento, instrucciones, confidencialidad, seguridad, subcontratación, asistencia ante derechos y brechas, comprobaciones y destino de los datos al terminar. Primero identifica el papel real del proveedor: no todos son encargados.
Cláusulas de confidencialidad
Documenta el deber de reserva y las instrucciones de quienes acceden a información, incluidos colaboradores y personal en prácticas. Deben conocer qué pueden consultar, qué usos están autorizados y cómo comunicar incidencias. La confidencialidad continúa después de finalizar la relación.
Protocolos para derechos y brechas de seguridad
Establece quién recibe las solicitudes, cómo comprueba la identidad y cómo responde dentro de plazo. Prepara también un procedimiento para contener incidentes, conservar evidencias y valorar notificaciones. Asigna responsables para que el equipo sepa a quién acudir.
Historia clínica y protección de datos en fisioterapia
La historia permite dar continuidad a la asistencia. Debes preservar su confidencialidad, exactitud y disponibilidad durante todo el tiempo de custodia.
Qué información puede contener
Motivo de consulta, antecedentes relevantes, exploración, valoración fisioterapéutica, objetivos, intervenciones, evolución e informes necesarios. Identifica profesionales y actuaciones, y evita comentarios ajenos a la asistencia. Las correcciones deben permitir conocer los cambios realizados sin perder la trazabilidad.
Acceso del paciente a su información
El paciente puede acceder y obtener copia, también mediante representante acreditado. Como regla general, la primera copia es gratuita y se responde en un mes. El plazo puede ampliarse otros dos por complejidad o número de solicitudes, informando de los motivos dentro del primero.
Protege los datos de terceros y respeta la reserva de anotaciones subjetivas en los términos legales, sin denegar automáticamente toda la historia. En menores, comprueba la representación y las circunstancias del caso.
Conservación de la documentación sanitaria
La Ley 41/2002 establece un mínimo de cinco años desde el alta de cada proceso asistencial. La normativa autonómica y otras necesidades legalmente justificadas pueden exigir conservarla más tiempo; cinco años no son una fecha automática de destrucción.
Una solicitud de supresión no elimina las obligaciones de custodia. Cuando proceda el bloqueo conforme a la LOPDGDD, los datos quedan sujetos a restricciones de uso y acceso.
Eliminación segura de información clínica
Cuando proceda destruirla, utiliza métodos adecuados para papel y archivos digitales, incluidas exportaciones y copias de seguridad. Planifica su caducidad para que una restauración no reincorpore información que debía eliminarse. Si cierras, te jubilas o cambias de centro, resuelve previamente quién mantendrá la custodia y atenderá los derechos.
¿Es necesario el consentimiento del paciente para tratar sus datos?
Como regla general, no necesitas pedir consentimiento para tratar los datos necesarios para prestar asistencia sanitaria, si existe la correspondiente legitimación. Conviene distinguir:
- Consentimiento sanitario: autoriza la actuación asistencial conforme a su normativa.
- Información de privacidad: explica el tratamiento de datos y debe facilitarse aunque no se base en consentimiento.
- Consentimiento para otros usos: puede ser necesario para finalidades adicionales, como publicar imágenes identificables con fines promocionales.
Cuando se utilice el consentimiento, debe ser libre, específico, informado y demostrable, con una vía para retirarlo. La negativa a aparecer en publicidad no puede condicionar la asistencia.
Fotografías y vídeos de pacientes en fisioterapia
Antes de captar una imagen, define su finalidad. El seguimiento clínico y la difusión publicitaria requieren un análisis diferente.
Imágenes para seguimiento clínico
Pueden utilizarse cuando sean necesarias para la asistencia y exista legitimación adecuada. Limita su captación y acceso.
Fotografías de antes y después
Documentar una evolución clínica no autoriza automáticamente su publicación publicitaria.
Uso de imágenes en web y redes sociales
Para difundir imágenes identificables con fines promocionales, necesitas una autorización específica y respetar el derecho a la propia imagen.
Consentimiento para fines publicitarios
Especifica finalidad, canales y condiciones de utilización. Si las imágenes revelan datos de salud y utilizas el consentimiento, deberá ser explícito.
Comunicación con pacientes por WhatsApp, email y SMS
Valora la seguridad y las condiciones del servicio para el uso previsto. Importan los dispositivos, los accesos y las copias que genera cada canal.
Gestión de citas
Puedes enviar recordatorios vinculados a la asistencia, evitando incluir diagnósticos o información innecesaria.
Envío de documentación clínica
Para informes y datos sanitarios, utiliza canales con garantías adecuadas de seguridad y verifica los destinatarios.
Comunicaciones comerciales y promociones
La LSSI exige, como regla general, autorización previa, salvo determinadas comunicaciones sobre servicios propios similares a clientes existentes, cumpliendo sus requisitos.
Reservas y citas online en una clínica de fisioterapia
La protección empieza en el formulario: una reserva ya puede revelar información sanitaria.
Formularios de reserva
Solicita únicamente en el formulario los datos necesarios e informa sobre su tratamiento.
Plataformas externas de gestión de citas
Comprueba sus condiciones, seguridad y papel como responsable o encargado del tratamiento.
Información de privacidad que debe mostrarse
Incluye información básica junto al formulario y acceso a la política completa. Separa las autorizaciones publicitarias.
Mutuas, aseguradoras y otros profesionales sanitarios
Antes de compartir información, concreta destinatario, finalidad, fundamento jurídico y datos necesarios.
Comunicación de datos a mutuas y aseguradoras
Comparte exclusivamente los datos necesarios y legalmente amparados. La facturación no justifica entregar toda la historia clínica.
Derivaciones entre profesionales
La continuidad asistencial puede justificar intercambios de información pertinentes mediante canales seguros.
Clínicas y fisioterapeutas colaboradores
Determina quién decide los fines y medios del tratamiento. Según la organización, pueden existir responsables independientes, encargados o corresponsables.
Software de gestión clínica y proveedores tecnológicos
Antes de contratar un programa, revisa:
- Accesos individuales y permisos.
- Seguridad, copias y recuperación.
- Alojamiento y posibles transferencias internacionales.
- Contratos, subproveedores y soporte.
- Exportación y eliminación de información.
La responsabilidad de la clínica no desaparece por contratar un proveedor tecnológico.
Protección de datos de empleados y fisioterapeutas colaboradores
Informa al equipo sobre contratación, nóminas, jornada y los controles que existan. Para tratamientos necesarios para el contrato o las obligaciones laborales, el consentimiento no suele ser la base adecuada.
En vigilancia de la salud, la empresa recibe las conclusiones sobre aptitud y medidas preventivas que legalmente correspondan, sin acceso indiscriminado a diagnósticos. Organiza altas, formación y bajas de usuarios, incluidos dispositivos vinculados y acceso remoto. Para colaboradores externos, distingue sus datos profesionales del acceso a información de pacientes.
Protección de datos en la página web de una clínica de fisioterapia
Revisa tanto los textos legales como el funcionamiento de formularios, reservas y herramientas de terceros.
Formularios de contacto
Solicita únicamente en el formulario de contacto web información necesaria y evita recibir documentación clínica mediante formularios no preparados para ello.
Política de privacidad
Debe describir los tratamientos reales. Incluye también el aviso legal exigible conforme a la LSSI.
Cookies
Las tecnologías no exentas requieren información y consentimiento previo. Aceptar y rechazar las cookies deben presentarse conforme a los criterios de la AEPD.
Newsletter y captación de pacientes
Informa sobre la finalidad comercial, conserva las pruebas necesarias y facilita la baja.
Redes sociales y marketing para fisioterapeutas
Revisa la privacidad y las reglas de publicidad sanitaria antes de publicar contenido sobre pacientes o tratamientos.
Testimonios de pacientes
Una reseña pública no permite reutilizarla libremente. El Real Decreto 1907/1996 establece restricciones sobre testimonios en la publicidad incluida en su ámbito.
Fotografías y casos clínicos
Evita publicar información identificable sin legitimación adecuada. Ocultar el rostro no garantiza anonimato.
Publicidad segmentada y captación de pacientes
No utilices diagnósticos ni listas asistenciales para crear audiencias publicitarias sin analizar su licitud. Especial atención merecen los píxeles y herramientas de seguimiento.
¿Necesita un fisioterapeuta un Delegado de Protección de Datos?
La LOPDGDD exige DPD a los centros sanitarios legalmente obligados a mantener historias clínicas. Exceptúa a los profesionales de la salud que ejercen a título individual. Una clínica pequeña no queda exenta solo por tener pocos pacientes o empleados: hay que comprobar su organización y los supuestos generales del RGPD.
El delegado puede ser externo y debe contar con independencia, conocimientos y recursos. Cuando se designe, comunica sus datos a la autoridad competente y facilita su contacto conforme a la normativa.
Uso de inteligencia artificial en fisioterapia
Define el uso concreto y quién lo supervisa si utilizas inteligencia artificial en tu centro de fisioterapia. Redactar una plantilla y analizar información clínica plantean obligaciones y riesgos diferentes.
Uso de IA para preparar informes o documentación
Puedes elaborar plantillas utilizando datos ficticios. Los resultados deben revisarse profesionalmente antes de incorporarlos a documentación clínica.
Introducción de datos de pacientes en herramientas de IA
Comprueba la legitimación, contratos, seguridad, transferencias y posibles usos para entrenamiento. Eliminar nombres no garantiza anonimato.
Uso de aplicaciones de IA para análisis o seguimiento del paciente
Comprueba la finalidad y documentación del sistema, la posible consideración de producto sanitario y su clasificación conforme al Reglamento europeo de IA.
Riesgos de confidencialidad y protección de datos
Evalúa accesos, integraciones, supervisión humana y necesidad de evaluación de impacto. Establece instrucciones claras para el equipo.
Brechas de seguridad en una clínica de fisioterapia
Un correo enviado por error, un acceso indebido o la pérdida de documentación pueden constituir una brecha.
Todas las brechas de datos personales deben documentarse. Cuando proceda, deben notificarse a la autoridad de control, de ser posible, en 72 horas desde que se tenga constancia.
Si existe un alto riesgo, también puede resultar obligatorio informar a los afectados.
Errores frecuentes de protección de datos en fisioterapia
Estas señales ayudan a localizar aspectos que conviene corregir:
- Un único consentimiento para asistencia, imágenes y publicidad.
- Contraseñas compartidas o accesos que siguen activos tras una baja.
- Historias o conversaciones clínicas expuestas en recepción.
- Envío de información excesiva a aseguradoras.
- Copias de seguridad cuya recuperación nunca se ha probado.
- Fotografías consideradas anónimas solo porque ocultan el rostro.
- Herramientas de publicidad o IA incorporadas sin revisión.
- Destrucción automática de historias al cumplir cinco años.
Cómo adaptar una clínica de fisioterapia al RGPD paso a paso
- Identifica los tratamientos y responsables: desde la reserva hasta el archivo, incluyendo colaboradores.
- Documenta la legitimación y las obligaciones: RAT, información, contratos y procedimientos.
- Evalúa los riesgos: determina las medidas y si procede una evaluación de impacto, antes de iniciar el tratamiento cuando sea obligatoria.
- Revisa proveedores y canales: programas, citas, mensajería, web e IA.
- Implanta controles y forma al equipo: accesos, conservación, recuperación y respuesta ante incidencias.
- Comprueba y actualiza: prueba los procedimientos y revisa cambios de personal, servicios o tecnología.
Tratar datos de salud no obliga automáticamente a todo profesional individual a realizar una evaluación de impacto. La decisión depende de las características y riesgos del tratamiento y de los criterios aplicables.
Checklist RGPD para fisioterapeutas
Utiliza esta lista para comprobar qué está resuelto y asignar responsable y fecha a lo pendiente:
☐ Responsable y funciones de los colaboradores definidos.
☐ RAT actualizado.
☐ Bases jurídicas y condiciones para datos de salud documentadas.
☐ Información facilitada a pacientes, también online.
☐ Consentimientos voluntarios separados de la asistencia.
☐ Proveedores, contratos y transferencias revisados.
☐ Accesos limitados por funciones.
☐ Equipo formado y sujeto a confidencialidad.
☐ Plazos de conservación definidos y justificados.
☐ Bloqueo y eliminación segura previstos cuando correspondan.
☐ Procedimiento para atender derechos dentro de plazo.
☐ Canales de citas e informes evaluados.
☐ Imágenes, testimonios y campañas revisados.
☐ Formularios, cookies y bajas publicitarias comprobados.
☐ Riesgos y necesidad de evaluación de impacto valorados.
☐ Obligación de designar DPD comprobada y atendida cuando proceda.
☐ Medidas de seguridad y recuperación verificadas.
☐ Gestión y notificación de brechas organizadas.
☐ Herramientas y usos de IA evaluados.
☐ Revisión periódica y ante cambios prevista.
Protección de datos para fisioterapeutas: del cumplimiento a la confianza del paciente
Cumplir el RGPD en una consulta de fisioterapia exige coherencia entre la documentación y el trabajo diario. Lo que explicas al paciente debe corresponderse con los accesos, los usos y la conservación de su información.
Mi recomendación es utilizar esta guía para localizar lo pendiente y convertirlo en actuaciones concretas, con una persona responsable y una fecha. Revisa esas decisiones cuando cambies tu consulta. La confianza del paciente también se construye en cómo cuidas lo que te cuenta.
