Qué datos tienes, sin darte cuenta
Cualquier persona que recoja, guarde o use datos de otras es responsable de cuidarlos. Una profesional independiente con veinte pacientes lo es igual que un banco, solo que a otra escala. Las reglas concretas cambian de un país a otro; las prácticas de esta guía sirven en todos.
- Nombres, cédulas, teléfonos y correos: en tu celular, en tu agenda, en un Excel.
- Las conversaciones de WhatsApp: cada chat con un paciente es un dato personal guardado.
- Tus notas de sesión, aunque estén en papel.
- Comprobantes de pago, transferencias y recibos con nombre.
Los datos sensibles son casi todos
Hay datos comunes y datos sensibles: los que tocan la intimidad y cuyo uso indebido puede discriminar a alguien. Los de salud —físicos o mentales— son sensibles por definición. También la orientación sexual, la religión, el origen étnico y la vida sexual, que aparecen en casi cualquier historia de consulta.
- Para datos sensibles la autorización tiene que ser explícita y decirle a la persona que no está obligada a darla.
- No pueden usarse para nada distinto de lo autorizado: no hay lista de correos, no hay «te comparto un contenido».
- Los datos de menores solo se tratan si es en su interés y con autorización del representante legal.
- La confidencialidad clínica de tu profesión y el cuidado de los datos personales son dos obligaciones distintas que se cumplen a la vez.
Seguir en consulta no es autorizar
La autorización tiene que ser explícita e informada, y para datos de salud además debe decir que la persona no está obligada a darla. «Si continúa el proceso, acepta el tratamiento de sus datos» no vale, aunque esté en el consentimiento firmado.
La autorización: qué debe decir
Es un documento aparte del consentimiento informado, con su propia firma. Corto: cabe en una página. Debe decir:
- 01Quién eres y cómo contactarte como responsable de los datos.
- 02Qué datos recoges: identificación, contacto, salud (sensible), pago.
- 03Para qué: agendar, recordar citas, llevar el proceso, cobrar, cumplir obligaciones legales. Nada más.
- 04Que los datos de salud son sensibles y que la persona no está obligada a autorizar su tratamiento.
- 05Los derechos del titular: conocer, actualizar, rectificar, pedir prueba de la autorización, revocarla y pedir la supresión.
- 06Dónde y cómo ejercerlos: un correo o un WhatsApp, y en cuánto tiempo respondes.
- 07Quién más puede ver los datos: el proveedor donde los guardas (por ejemplo, citaliza, en la infraestructura de nuestro proveedor), y bajo qué condiciones.
La autorización puede ser electrónica: enviada al WhatsApp del paciente, leída y aceptada con su nombre, con registro de fecha y hora. Lo que no puede ser es implícita: «si sigue viniendo, autoriza» no vale.
Datos comunes y datos sensibles, lado a lado
| Datos comunes | Datos sensibles | |
|---|---|---|
| Ejemplos | Nombre, teléfono, correo, ciudad | Salud física y mental, orientación sexual, religión, origen étnico |
| Autorización | Previa e informada | Explícita, e informar que no está obligado a darla |
| Para qué se pueden usar | Para lo autorizado | Solo para lo autorizado; nada de listas ni «te comparto un contenido» |
| Menores | Con autorización del representante legal | Solo en interés del menor, con autorización del representante |
| En un consultorio | Casi todo lo que tienes en la agenda | Casi todo lo que tienes en las notas y en los chats |
En un consultorio de salud casi todo es sensible. Por eso la autorización se pide siempre y se guarda siempre.
Lo que el paciente puede pedirte
Los datos son de la persona, no tuyos. Estas cuatro cosas te las puede pedir cualquier paciente, y conviene tener escrito en cuánto respondes:
- Consulta. Saber qué datos tienes de él. Respóndele por escrito, en pocos días.
- Reclamo. Corregir, actualizar o suprimir. Haces el cambio y le confirmas qué quedó.
- Revocar. Retirar la autorización. Conservas solo lo que tengas obligación de guardar, y nada más.
- Prueba. Pedirte copia de la autorización que firmó. Por eso hay que guardarla.
Las notas de sesión merecen una mención. El paciente puede pedir sus datos; tus notas clínicas son tu instrumento de trabajo y están protegidas por el secreto profesional. Cómo se concilian ambas cosas es tema de revisión legal y del código de ética de tu profesión; lo prudente es no mezclar en el mismo lugar los datos del paciente con tus apuntes personales.
El WhatsApp y la nube
Casi todo consultorio guarda sus datos en tres lugares que nadie eligió: el WhatsApp del celular, la copia de seguridad en Google o iCloud, y un Excel. Ninguno es ilegal. Todos son frágiles.
- Si pierdes el celular, pierdes o expones los datos de todos tus pacientes. Para datos de salud, una clave de pantalla no es una medida de seguridad suficiente.
- La copia de seguridad del WhatsApp en la nube queda fuera del cifrado de extremo a extremo a menos que la actives aparte.
- Un Excel compartido por correo con tu contador tiene nombres y pagos: eso también es tratamiento de datos.
- Usar un proveedor (citaliza, Google, una clínica) está permitido; ese proveedor debe quedar nombrado en tu autorización, con las condiciones bajo las que accede.
citaliza almacena la información siguiendo lineamientos de seguridad de la información: los datos viven cifrados en reposo en la infraestructura de nuestro proveedor y viajan cifrados en tránsito (TLS) entre tu teléfono, tu paciente y nuestros servidores. El acceso es solo tuyo, con registro de quién entra y cuándo; nadie del equipo, tampoco soporte, puede leer los comentarios de la ficha. Tus notas clínicas quedan donde tú decidas: la app no las pide ni las guarda.
- Cifrado en reposo: la base de datos y los archivos (consentimientos, comprobantes) se guardan cifrados.
- Cifrado en tránsito: toda comunicación va por conexiones seguras; nada viaja en claro.
- Respaldo automático, para que perder el celular no signifique perder el consultorio.
Poner el consultorio en orden
Cuatro cosas, y no hay que hacerlas todas hoy:
- 01Redacta tu autorización (una página) y una política de tratamiento de datos (dos páginas, que puede vivir en tu sitio). El kit de consentimiento de citaliza trae la autorización de datos; la política la redactas con tu asesor.
- 02Pide la autorización a cada paciente nuevo antes de la primera sesión, como documento aparte del consentimiento.
- 03A los pacientes actuales, envíales la autorización una vez, explicando por qué. Casi todos firman el mismo día.
- 04Saca los datos del celular a un lugar con acceso controlado y respaldo. En citaliza la ficha del paciente, sus consentimientos, sus citas y sus pagos viven en un solo lugar, en la infraestructura de nuestro proveedor, y la autorización de datos queda firmada en la ficha.
Si tu consultorio funciona como sociedad, o donde atiendes exigen registrar las bases de datos, ese trámite va aparte de todo esto. Una profesional que ejerce como persona natural, en general, no debe. Confírmalo en tu revisión legal.
Lo que citaliza no hace con tus datos
- No somos tu abogado. La plantilla de autorización es una sugerencia; la revisión legal de tu caso es tuya.
- No hacemos tus trámites. Si por tu forma jurídica debes inscribir tus bases de datos, ese trámite es tuyo; una persona natural, en general, no debe.
- No leemos los comentarios de la ficha. Nadie del equipo, tampoco soporte: solo los guardamos. Tus notas clínicas no pasan por la app, y los datos siguen siendo tu responsabilidad.
Lo que sí hacemos: que la autorización quede firmada, con fecha y hora, en la ficha de cada paciente.
Preguntas frecuentes
La autorización, lista para firmar
La plantilla de autorización de datos viene con el kit de consentimiento. Y en citaliza queda firmada en la ficha del paciente, con fecha y hora, en la infraestructura de nuestro proveedor. Las plantillas están redactadas para consulta privada en Colombia.