RGPD en una consulta de nutrición: las cinco cosas que sí te afectan

La protección de datos en una consulta de nutrición se suele resolver de dos maneras, las dos malas: copiando una política de privacidad de internet, o pagando una auditoría que produce una carpeta que nadie vuelve a abrir. Entre medias está lo que de verdad afecta a tu semana, que son cinco cosas y ninguna es imposible.

El punto de partida es este: los datos que manejas son datos de salud, y el RGPD los clasifica como categoría especial. Eso significa un régimen más estricto que el de cualquier negocio, no como formalidad, sino con consecuencias operativas concretas.

Nada de lo que sigue sustituye a asesoramiento profesional. Sirve para saber qué preguntar y para no descubrir el problema el día que llega la solicitud de un paciente.

1. Ten clara tu base jurídica (y no des por hecho que es el consentimiento)

El error más repetido es asumir que todo se resuelve con una casilla firmada. El consentimiento es una base jurídica entre varias, y en el ámbito asistencial no suele ser la principal.

El propio reglamento prevé excepciones a la prohibición de tratar datos de salud, y una de ellas cubre los fines de medicina preventiva, diagnóstico o prestación de asistencia sanitaria cuando el tratamiento lo realiza un profesional sujeto a obligación de secreto. Para la atención al paciente, esa es la vía habitual.

Donde el consentimiento sí es necesario es en todo lo que no es asistencia: mandarle una newsletter, usar su caso en redes, enviarle promociones, compartir su evolución con un tercero. Y ahí tiene que ser específico para cada finalidad y revocable, no una cláusula genérica escondida en el documento de admisión.

La diferencia práctica es grande: significa que separar el documento asistencial de las autorizaciones comerciales no es una manía formalista, es lo que hace que ambas cosas se sostengan.

2. El registro de actividades de tratamiento existe aunque seas una sola persona

Mucha consulta pequeña se salta esto pensando que la exención para organizaciones de menos de 250 empleados le aplica. No aplica: esa exención decae, entre otros casos, cuando se tratan datos de categorías especiales. Los de salud lo son.

El registro no es un documento complicado. Describe qué datos tratas, con qué finalidad, con qué base jurídica, a quién se los cedes o quién los procesa por ti, cuánto tiempo los conservas y qué medidas de seguridad aplicas. Cabe en unas pocas páginas y es lo primero que se pide en una inspección.

Lo interesante es que hacerlo bien tiene un efecto secundario útil: te obliga a inventariar todos los sitios donde hay datos de pacientes. Casi siempre aparecen dos o tres que no estaban en el mapa mental: la carpeta del ordenador de casa, el móvil personal, el correo con planes adjuntos de hace dos años.

3. Cada proveedor que toque datos necesita contrato de encargado

Aquí es donde se rompe el cumplimiento de la mayoría de consultas, y casi siempre sin mala fe.

Si un tercero procesa datos de tus pacientes por cuenta tuya, necesitas un contrato de encargado del tratamiento con él. Eso incluye el software de gestión, el proveedor de correo si por ahí circulan datos, la asesoría, la plataforma de citas, el servicio donde guardas copias de seguridad.

Es un buen filtro al elegir herramientas. Si un proveedor no te ofrece ese contrato con normalidad, o no sabe de qué le hablas, es una señal fuerte sobre su madurez. Al evaluar software conviene preguntarlo el primer día, junto con dónde se alojan los datos, y no en el correo de baja: los criterios completos de elección están en qué debe hacer un software para nutricionistas.

Este punto es también el que hace incómodo el uso de herramientas de inteligencia artificial genéricas con datos de pacientes. No es que la IA esté prohibida; es que meter información identificable en un servicio que no has contratado como encargado es exactamente el supuesto que este artículo del reglamento pretende evitar. Cómo usarla sin ese problema está en IA para generar planes dietéticos.

4. Tienes que poder atender los derechos del paciente en plazo

Un paciente puede pedirte acceso a sus datos, rectificación, supresión, portabilidad, limitación u oposición. Y tienes un plazo, que con carácter general es de un mes.

Esto suena a trámite hasta que ocurre. Entonces se convierte en una pregunta muy concreta: ¿puedes reunir todo lo que tienes de una persona sin dedicarle una tarde? Si su información está repartida entre un Word, un Excel, una carpeta de PDFs, una conversación de mensajería y una máquina de bioimpedancia, la respuesta honesta es que no.

Ese es el argumento menos comercial y más real para tener el histórico unificado: no es comodidad, es capacidad de responder. Y la portabilidad exige además un formato estructurado y de uso común, lo que descarta entregar capturas de pantalla.

Merece la pena hacer el ejercicio una vez, en seco, con un paciente ficticio: cronometrar cuánto tardas en montar su expediente completo. El número que salga es tu nivel real de cumplimiento en este punto.

5. Conservar y borrar tiran en direcciones contrarias

El derecho de supresión tiene un límite importante en el ámbito sanitario, y es una de las cosas que más confunde.

La historia clínica tiene plazos de conservación propios fijados por la Ley 41/2002, que establece un mínimo de cinco años desde el alta de cada proceso asistencial, con varias comunidades autónomas ampliándolo en su normativa. Es decir: si un paciente te pide que borres todo lo suyo, no puedes borrar sin más la documentación clínica que estás obligada a conservar.

Lo que sí procede es distinguir. Los datos de contacto para fines comerciales se eliminan; el expediente clínico se conserva el tiempo legalmente exigido, se bloquea para usos distintos del legalmente previsto y se elimina cuando corresponde. Explicar esa diferencia al paciente en el momento, y por escrito, evita que interprete la negativa como resistencia.

Conviene tenerlo resuelto por adelantado, con una política de conservación escrita, porque improvisarlo con un paciente enfadado delante sale mal.

Lo mínimo por lo que empezar mañana

Si tuvieras que hacer solo cuatro cosas, estas: escribe tu registro de actividades; inventaría dónde hay datos de pacientes ahora mismo, incluidos los sitios incómodos; pide los contratos de encargado a cada proveedor que los trate; y cifra y separa lo que esté en dispositivos personales.

La Agencia Española de Protección de Datos publica guías y herramientas gratuitas orientadas a pymes y al sector sanitario que valen para preparar todo esto antes de sentarte con una asesoría, que es donde debe cerrarse.

Y una nota sobre la operativa: buena parte de estos problemas se reducen solos cuando la información de la consulta deja de estar repartida. Un sistema donde cada paciente tiene un único expediente exportable convierte el derecho de acceso en un clic en lugar de en una tarde. Cómo se ordena todo eso está en cómo organizar una consulta de nutrición y en el marco general de montar una consulta en España. Si quieres ver cómo lo resuelve MiPlan con tu caso concreto, Francesca te lo enseña.

Lo que de verdad se juega aquí

La conversación sobre RGPD se plantea casi siempre en clave de multa, y por eso genera rechazo: se percibe como un impuesto administrativo sobre el trabajo clínico.

Pero el paciente que te cuenta su relación con la comida, su medicación y su peso te está entregando información que no le ha dado a casi nadie. La parte formal es la envoltura de algo bastante más simple: si esa confianza se rompe una vez, no hay política de privacidad que la reconstruya.