En una frase. Una clínica de fisioterapia trata datos de salud (categoría especial del art. 9 RGPD) desde la primera anamnesis, y el error que más expedientes genera es confundir el consentimiento informado sanitario con la base de legitimación del RGPD: son cosas distintas y ninguna sustituye a la otra.
El RGPD fisioterapia no es una versión rebajada del que se aplica a un hospital. La historia clínica de un fisioterapeuta contiene diagnósticos, patologías, medicación y a veces datos psicológicos. Todo ello es dato de salud, protegido por el nivel más alto de la norma.
Puntos clave
- La historia clínica de fisioterapia es dato de salud: art. 9 RGPD más Ley 41/2002.
- Base de legitimación para la asistencia: art. 9.2.h RGPD, no el consentimiento.
- Conservación mínima de la historia clínica: 5 años desde el alta del proceso asistencial.
- El software de citas y los recordatorios convierten al proveedor en encargado del tratamiento.
- Información al paciente en dos capas (art. 13 RGPD) antes de la primera sesión.
1. Qué datos trata realmente una clínica de fisioterapia
Una consulta de fisioterapia u osteopatía maneja más categorías de las que sus titulares creen:
- Datos identificativos y de contacto: nombre, DNI, teléfono, email.
- Datos de salud (art. 9): motivo de consulta, diagnóstico, historial de lesiones, medicación, pruebas de imagen.
- Datos económicos: forma de pago, financiación, bonos de sesiones.
- Datos de terceros: mutuas, aseguradoras, médicos derivadores.
A esto se suman en muchas consultas los datos biométricos derivados de plataformas de análisis del movimiento, las grabaciones de vídeo de sesiones de valoración y, en osteopatía pediátrica, datos de menores que exigen consentimiento de los progenitores. Cada una de estas categorías amplía la superficie de riesgo y debe inventariarse por separado.
En cuanto hay un dato de salud, se activa la prohibición general del art. 9.1 RGPD y hay que localizar una excepción del art. 9.2. Para la asistencia sanitaria esa excepción es el art. 9.2.h, desarrollado por el art. 9 de la LOPDGDD. Conviene tratar estos tratamientos con el mismo rigor que en el resto del sector sanitario y salud.
2. El error clave: consentimiento informado no es base RGPD
Este es el punto donde tropiezan casi todas las clínicas pequeñas.
- El consentimiento informado de la Ley 41/2002 autoriza una intervención sanitaria concreta (una manipulación, una técnica invasiva). Es un requisito clínico y de responsabilidad civil.
- La base de legitimación del RGPD legitima el tratamiento de los datos. Para la historia clínica asistencial esa base es el art. 9.2.h, no el consentimiento del art. 6.1.a.
Consecuencia práctica: no necesitas pedir consentimiento RGPD para abrir y mantener la historia clínica de un paciente que acude a tratarse. Pedirlo es un error, porque el consentimiento es revocable y dejarías la historia sin base si el paciente lo retira. Sí necesitas consentimiento específico para usos que van más allá de la asistencia: fotos antes/después para redes, publicidad, testimonios. Revisa cómo redactar cada caso en nuestra guía de ejemplos de consentimiento RGPD.
3. Historia clínica: conservación y seguridad
La Ley 41/2002 fija un mínimo de 5 años de conservación desde la fecha del alta de cada proceso asistencial (algunas normas autonómicas amplían el plazo). El principio de limitación de la conservación del RGPD obliga a no guardar los datos más de lo necesario, pero la obligación legal sanitaria prevalece durante ese plazo mínimo.
Medidas mínimas de seguridad exigibles:
- Acceso restringido a la historia clínica por rol.
- Cifrado de dispositivos portátiles y copias de seguridad.
- Destrucción segura de documentación en papel (nunca papeleras abiertas).
- Registro de accesos para acreditar el principio de responsabilidad proactiva.
4. Recordatorios, software de citas y terceros
La mayoría de clínicas usan software de gestión de citas y envían recordatorios por SMS o WhatsApp. Tres reglas:
- El proveedor del software es un encargado del tratamiento. Necesitas contrato del art. 28 RGPD con él. Usa nuestro modelo de contrato de encargado.
- El recordatorio no debe revelar datos de salud. Un SMS que diga “recuerde su sesión de rehabilitación de lesión medular” expone categoría especial a quien vea la pantalla. Mensaje neutro: “recordatorio de su cita del día X a las Y”.
- Mutuas y aseguradoras son responsables independientes o destinatarios de cesión. Documenta la base de cada comunicación y no envíes más datos de los estrictamente necesarios (minimización, art. 5.1.c).
Todo esto debe quedar reflejado en tu registro de actividades de tratamiento, obligatorio también para una consulta unipersonal cuando se tratan datos de salud (la excepción de las 250 personas del art. 30.5 no aplica a datos de categoría especial de forma habitual).
5. Enforcement: qué mira la AEPD en el sector salud
La Agencia Española de Protección de Datos es especialmente activa con datos de salud. Los patrones sancionadores más habituales en pequeñas consultas:
| Fallo | Riesgo |
|---|---|
| Documentación clínica en papeleras sin destruir | Infracción muy grave (art. 72.1 LOPDGDD) |
| Sin contrato de encargado con el software | Infracción grave (art. 28 RGPD) |
| Recordatorios que revelan datos de salud | Vulneración de confidencialidad |
| Historia clínica sin control de acceso | Fallo de seguridad (art. 32 RGPD) |
| No atender un derecho de acceso a la historia | Muy grave (art. 72.1.k LOPDGDD) |
Puedes revisar los criterios reales en nuestro seguimiento de sanciones AEPD en sanidad y salud. Muchas clínicas de fisioterapia son autónomos o microempresas: si es tu caso, complementa esta guía con la de RGPD para autónomos y freelance.
6. ¿Necesita una clínica de fisioterapia EIPD y DPO?
- EIPD (art. 35 RGPD): obligatoria cuando hay tratamiento a gran escala de datos de salud. Una clínica pequeña normalmente no llega a “gran escala”, pero conviene documentar el análisis de riesgo con nuestra guía de evaluación de impacto.
- DPO (art. 37 RGPD y art. 34 LOPDGDD): no es automáticamente obligatorio para una consulta pequeña; sí lo es si el tratamiento a gran escala de datos de salud es la actividad principal. Consulta cuándo es obligatorio el DPO en España.
Véase también, para sectores con obligaciones de protección de datos similares: RGPD para psicólogos, RGPD para clínicas veterinarias y RGPD para clínicas dentales.
FAQ
¿La historia clínica de fisioterapia necesita consentimiento RGPD?
No para la asistencia. La base de legitimación es el art. 9.2.h RGPD (asistencia sanitaria) más la Ley 41/2002. El consentimiento solo se exige para usos ajenos a la asistencia, como fotos publicitarias o testimonios.
¿Cuánto tiempo hay que guardar la historia clínica de un paciente?
Un mínimo de 5 años desde el alta del proceso asistencial, según el art. 17.1 de la Ley 41/2002. Algunas comunidades autónomas amplían el plazo. Pasado el mínimo legal, debe aplicarse la limitación de conservación del RGPD.
¿Puedo mandar recordatorios de cita por WhatsApp?
Sí, si el mensaje no revela datos de salud y tienes acuerdo de encargado con el proveedor. Evita indicar diagnóstico, patología o tipo de tratamiento en el texto del recordatorio.
¿Una clínica de fisioterapia de una sola persona tiene que llevar registro de tratamientos?
Sí. La excepción del art. 30.5 RGPD no cubre el tratamiento habitual de datos de salud, por lo que incluso un autónomo debe mantener el registro de actividades de tratamiento.