Nombre, teléfono, email, fecha de nacimiento... y, en muchas consultas, también notas de sesión, diagnósticos, pautas o informes médicos. Todo eso son datos personales, y una buena parte son datos de salud, que el Reglamento General de Protección de Datos (RGPD) considera especialmente sensibles.
La buena noticia es que cumplir no exige ser jurista ni contratar a una gran consultora. Exige saber qué datos tienes, por qué los tienes, dónde los guardas y quién puede verlos. Vamos por partes.
Este artículo es orientativo y no sustituye al asesoramiento legal. Si tienes dudas sobre tu caso concreto, consulta con un profesional de protección de datos o con tu colegio profesional.
¿Me afecta el RGPD si trabajo sola o solo?
Sí. El RGPD y la ley española que lo desarrolla (la LOPDGDD) se aplican a cualquier persona o empresa que trate datos personales en su actividad profesional, da igual que seas autónoma, que tengas una sociedad o que atiendas a diez clientes al mes.
Y si trabajas con datos de salud —psicología, terapias, nutrición, fisioterapia y otras disciplinas sanitarias o de bienestar—, el nivel de exigencia es mayor, porque se trata de una categoría especial de datos. En una clínica veterinaria los datos del animal no son datos personales, pero los de sus dueños sí.
Lo que tienes que tener en orden
1. Informar a tus clientes antes de recoger sus datos
Cada persona tiene derecho a saber quién trata sus datos, para qué, durante cuánto tiempo, con quién se comparten y cómo ejercer sus derechos. Lo habitual es una cláusula informativa que el cliente recibe al darse de alta o en la primera cita, y que debe estar escrita de forma clara, sin letra pequeña.
2. Tener una base legal para cada uso
No necesitas pedir consentimiento para todo. Para atender a alguien y gestionar sus citas y facturas, la base suele ser la propia prestación del servicio y las obligaciones legales (como las fiscales). Pero si quieres usar esos datos para algo distinto —por ejemplo, enviar una newsletter o publicar un testimonio— necesitas un consentimiento específico, libre y que se pueda retirar con la misma facilidad con la que se dio.
3. Llevar un registro de lo que haces con los datos
El registro de actividades de tratamiento es un documento en el que describes qué datos tratas, con qué finalidad, cuánto tiempo los conservas y qué medidas de seguridad aplicas. Las pequeñas empresas suelen estar exentas, pero esa exención no se aplica cuando se tratan datos de salud de forma habitual, así que en la mayoría de consultas hace falta.
4. Proteger los datos con medidas adecuadas
El RGPD no da una lista cerrada de medidas: pide que la seguridad sea proporcional al riesgo. Con datos de salud, eso significa como mínimo:
- Acceso controlado: solo quien lo necesita ve la información, con contraseñas propias y no compartidas.
- Cifrado de la información guardada y de la que se envía.
- Copias de seguridad para no perder nada si falla un equipo.
- Nada de datos de clientes en el móvil personal sin protección, en un USB o en un ordenador que usa toda la familia.
5. Firmar un contrato con quien trate datos por ti
Si usas un programa de gestión, una gestoría o un servicio en la nube que guarda datos de tus clientes, ese proveedor es un encargado del tratamiento. La ley exige que exista un contrato (o unas condiciones) que establezca cómo los trata, qué medidas de seguridad aplica y qué hace con ellos cuando terminas la relación. Pídeselo a cualquier proveedor antes de empezar a trabajar con él.
6. Atender los derechos de tus clientes
Cualquier cliente puede pedirte acceder a sus datos, corregirlos, limitar su uso, oponerse a algunos tratamientos o, en ciertos casos, que los borres. Tienes un mes para responder. Es mucho más fácil cumplir ese plazo si toda su información está en un solo sitio y no repartida entre libretas, correos y chats.
7. Saber qué hacer si algo sale mal
Si pierdes un portátil con datos de clientes, alguien accede sin permiso a tu cuenta o envías un informe a la persona equivocada, eso es una brecha de seguridad. Si supone un riesgo para las personas afectadas, hay que comunicarla a la Agencia Española de Protección de Datos (AEPD) en un máximo de 72 horas, y en los casos graves, también a los propios afectados.
Cuánto tiempo guardar la información
Los datos no se pueden guardar "por si acaso" para siempre: solo el tiempo necesario para la finalidad para la que se recogieron y para cumplir las obligaciones legales. Dos ejemplos habituales:
- Facturas y datos fiscales: la normativa tributaria obliga a conservarlos varios años.
- Historia clínica: si eres profesional sanitario, la Ley de autonomía del paciente obliga a conservarla, como mínimo, cinco años desde el alta de cada proceso.
Pasado ese tiempo, lo correcto es eliminar o anonimizar la información.
Los errores más habituales en consultas pequeñas
- Usar WhatsApp personal para enviar informes o resultados. Mezcla tus datos con los de tus clientes y no tienes control sobre dónde acaba esa información.
- Guardar notas de sesión en papel sin custodia, en una carpeta que cualquiera puede abrir.
- Enviar emails a varios clientes a la vez sin copia oculta, dejando sus direcciones a la vista de todos.
- Compartir la contraseña del programa de gestión con otras personas de la consulta.
- Copiar y pegar una cláusula de privacidad de internet que no se corresponde con lo que haces realmente.
- No saber dónde están los datos que guardan tus proveedores ni si existe un contrato con ellos.
Cómo te ayuda SIKIO
Una herramienta no te hace cumplir el RGPD por sí sola —las decisiones sobre qué datos recoges y para qué siguen siendo tuyas—, pero sí puede quitarte de encima buena parte de los riesgos del día a día. En SIKIO CORE:
- La información de cada cliente está en su ficha, con su historial y sus documentos en un solo lugar, en vez de repartida entre papel, correo y chats. Eso hace mucho más sencillo responder si alguien te pide acceder a sus datos o corregirlos.
- Los datos se guardan cifrados y con copias de seguridad diarias.
- Tus clientes tienen su espacio privado para recibir y enviarte documentos de forma segura, sin pasar por WhatsApp ni por el correo.
Si quieres saber más sobre cómo organizar la información de tus pacientes, te lo contamos en historial clínico organizado.
Si quieres probarlo sin compromiso, en SIKIO puedes probar el servicio gratis hasta finales de 2026 — y como somos un equipo pequeño, si tienes dudas hablas directamente con nosotras, no con un bot.