En una residencia casi todo es dato de salud. El diagnóstico, por supuesto. Pero también la pauta de medicación, la toma rechazada de las 14:00, la dieta túrmix, la alergia al marisco, la caída de madrugada o el grado de dependencia que figura en el expediente de ingreso. El Reglamento General de Protección de Datos (RGPD) los trata como categoría especial (artículo 9) y eso cambia las reglas del juego: no basta con custodiarlos, hay que justificar cada acceso.
Este artículo no sustituye al asesoramiento de vuestro delegado de protección de datos. Es una guía práctica para que dirección y responsables de cuidados ordenen los accesos con criterio, sin convertir la planta en un sistema de permisos imposible de usar.
Qué pide la norma, en términos operativos
El RGPD y la Ley Orgánica 3/2018 de Protección de Datos y garantía de los derechos digitales (LOPDGDD) se resumen, para un centro, en unos pocos principios que sí se pueden aterrizar:
- Base jurídica clara. La asistencia sanitaria y social ofrece base para tratar datos de salud, pero cada finalidad distinta (por ejemplo, comunicaciones con la familia o fotografías de actividades) debe tener la suya.
- Minimización. Cada persona del equipo accede a lo que su función necesita, no a todo lo que el sistema contiene.
- Integridad y confidencialidad. Los datos se protegen frente a accesos no autorizados y frente a modificaciones indebidas.
- Responsabilidad proactiva. No basta con cumplir: hay que poder demostrarlo. Esto incluye saber quién accedió, cuándo y para qué.
- Conservación limitada, pero no menor de la exigida. La Ley 41/2002, básica reguladora de la autonomía del paciente, fija un mínimo de conservación de la documentación clínica desde el alta de cada proceso asistencial, y varias comunidades autónomas establecen plazos propios. Borrar antes de tiempo también es un incumplimiento.
A esto se suman las obligaciones documentales habituales (registro de actividades de tratamiento, evaluación de impacto cuando proceda, contratos de encargado con los proveedores tecnológicos) que conviene revisar con vuestro asesor.
El error más frecuente: un único perfil para todos
En muchos centros el acceso se organiza en dos niveles: quien tiene usuario y quien no. Todo el personal con usuario ve todo. Es cómodo, pero no resiste una pregunta sencilla en una inspección o ante una reclamación: ¿por qué la persona de administración pudo leer el evolutivo de un residente?
El otro extremo tampoco funciona. Si la gerocultora del turno de noche no puede ver que un residente tiene disfagia, el problema ya no es de privacidad, es de seguridad.
La respuesta está en pensar por función, no por persona.
Un mapa de accesos por perfil
Una forma útil de empezar es una tabla con los perfiles reales del centro y las grandes áreas de información. Este es un ejemplo orientativo; cada centro debe ajustarlo a su organización y a su análisis de riesgos.
| Perfil | Datos administrativos | Historia clínica | Medicación | Cuidados (PAI) | Dietas y alergias alimentarias | Facturación |
|---|---|---|---|---|---|---|
| Dirección | Sí | No por defecto | Lectura | Lectura | Lectura | Lectura |
| Admisiones | Sí | No | No | No | No | Datos del pagador |
| Medicina | Lectura | Sí | Prescribe | Sí | Sí | No |
| Enfermería | Lectura | Sí | Administra | Sí | Sí | No |
| TCAE / gerocultoras | Lo mínimo | Constantes y lo necesario | Administra si está autorizado | Registra tareas | Sí | No |
| Cocina | Nombre y ubicación | No | No | No | Solo dieta y alergias alimentarias | No |
| Facturación | Datos del contrato | No | No | No | No | Sí |
| Familias | Solo su familiar | No | No | No | No | No |
Tres ideas que suelen sorprender al aplicarla:
- Dirección no necesita leer la historia clínica para dirigir. Necesita indicadores: ocupación, incidencias abiertas, planes fuera de plazo. Si un caso concreto lo requiere, se justifica y queda registrado.
- Cocina sí necesita alergias, pero solo las alimentarias. Separar la dieta y las alergias alimentarias de la historia clínica permite dar a cocina exactamente lo que necesita sin abrirle el resto.
- Admisiones gestiona datos personales y contratos, no datos clínicos. El grado de dependencia necesario para el contrato no implica acceso a los evolutivos.
Más allá de ver o no ver: quién puede hacer qué
Los accesos no son solo de lectura. En datos de salud importan tanto o más las acciones:
- Prescribir debe estar reservado al personal médico.
- Registrar una administración de medicación, a enfermería y al personal auxiliar autorizado.
- Firmar un evolutivo convierte el registro en un documento que no se edita: se corrige con un addendum.
- Cerrar una incidencia debería exigir que conste al menos una actuación.
Cuando estas reglas viven solo en un protocolo impreso, dependen de la memoria del turno. Cuando las aplica el sistema, se cumplen a las 4:00 de la madrugada igual que a las 11:00.
La auditoría de accesos no es opcional
La responsabilidad proactiva implica poder responder a preguntas como estas:
- ¿Quién consultó la ficha de este residente la semana pasada?
- ¿Quién cambió el teléfono de contacto de su hija y cuál era el anterior?
- ¿Quién registró la toma de las 20:00 del día 3?
Si la respuesta exige reconstruir hojas, cruzar turnos y preguntar en el office, el centro no está en condiciones de demostrar nada. Un registro de auditoría útil guarda quién, qué, cuándo y, en las modificaciones, el valor anterior y el nuevo. Y debe ser de solo añadir: un registro de auditoría que se puede editar no prueba nada.
Nota: si en vuestro centro hay perfiles de soporte técnico o administración del sistema que pueden actuar "en nombre de" otra persona para resolver una incidencia, esa suplantación también debe quedar registrada con el nombre de quien la hizo.
Familias: el acceso más delicado
Las familias quieren saber cómo está su madre. Es legítimo y, bien gestionado, mejora la relación con el centro. Pero un familiar no es, por serlo, titular de los datos de salud de la persona residente. Hace falta saber quién está autorizado y para qué, y documentarlo.
En la práctica conviene:
- Vincular a cada familiar con la persona concreta y verificar ese vínculo antes de dar acceso.
- Ofrecer información de estado y un canal de comunicación con el centro, no la historia clínica.
- Revisar los vínculos cuando cambia la situación (tutela, fallecimiento, conflicto familiar).
Notificaciones y móviles: cuidado con lo que viaja
Un aviso en la pantalla de bloqueo del móvil lo puede leer cualquiera que esté al lado. Por eso es buena práctica que las notificaciones push no contengan datos de salud: un texto genérico que invite a abrir la aplicación, donde el contenido se carga ya con la sesión autenticada.
Lo mismo vale para el correo electrónico y la mensajería personal. Si en vuestro centro se envían fotos de heridas por WhatsApp, ese es probablemente el riesgo más urgente que tenéis.
Una lista de comprobación para empezar
- Enumerad los perfiles reales del centro, incluidos los externos (médico de cabecera, fisioterapeuta a tiempo parcial).
- Haced la tabla de accesos por función y validadla con vuestro delegado de protección de datos.
- Separad las alergias alimentarias de la historia clínica si cocina las necesita.
- Comprobad que podéis responder a "quién vio y quién cambió" sobre cualquier ficha.
- Revisad qué información sale del sistema por canales no controlados (correo, mensajería, papel).
- Comprobad los plazos de conservación aplicables en vuestra comunidad autónoma.
Cómo lo aborda Tavami
En Tavami cada rol tiene una matriz de permisos cerrada: medicina prescribe, enfermería y TCAE administran, cocina ve dietas y alergias alimentarias separadas de la historia clínica, y dirección trabaja con indicadores agregados sin acceso clínico por defecto. Todo cambio de datos queda registrado con su autor, el valor anterior y el nuevo, en un registro de solo añadir; y las notificaciones push nunca llevan datos de salud. Si queréis ver el detalle, está en Seguridad y privacidad.