RGPD en clínicas veterinarias: guía práctica de protección de datos

Hay un malentendido muy extendido sobre el RGPD en clínicas veterinarias: como los pacientes son animales, mucha gente asume que la normativa de protección de datos casi no le afecta. Es justo al revés. Los datos del animal no son datos personales, pero todo lo que rodea a ese animal sí lo es, y una clínica pequeña puede tener miles de fichas de propietarios con nombre, DNI, teléfono, domicilio, correo y datos de pago.

A eso hay que añadir información que aparece sin buscarla. El propietario que explica que no puede pasear al perro porque está en tratamiento oncológico. La nota de recepción que dice que la señora del quinto ya no puede subir escaleras. Los datos de salud de una persona son información especialmente protegida, y acaban en el campo de observaciones sin que nadie lo haya decidido.

Esta guía ordena lo que una clínica debería tener resuelto en materia de RGPD en clínicas veterinarias, en lenguaje de clínica y no de despacho. No sustituye al análisis de tu caso: para lo específico, apóyate en las guías y plantillas que publica la Agencia Española de Protección de Datos y en un especialista o delegado de protección de datos.

Qué datos maneja de verdad una clínica

Antes de hablar de documentos, mira el inventario real. Casi siempre es más largo de lo que se piensa.

• Identificación y contacto del propietario: nombre, DNI, domicilio, teléfono, correo electrónico.
• Datos económicos: facturación, forma de pago, domiciliaciones, impagos.
• Datos vinculados al animal que identifican indirectamente al dueño, como el número de microchip asociado a su titularidad en el registro autonómico.
• Comunicaciones: conversaciones de WhatsApp, correos, notas de llamadas, formularios de la web.
• Datos del equipo: nóminas, fichajes, ausencias, currículums recibidos.
• Imágenes: fotos de pacientes, vídeos para redes, grabaciones de videovigilancia.
• Datos de salud del propietario que aparecen incidentalmente en las observaciones.

Hay dos categorías que casi nunca entran en el inventario y deberían. La primera son los currículums que llegan por correo y se quedan años en una bandeja: son datos de personas que no son clientes ni empleados y para los que normalmente no tienes ninguna base que justifique conservarlos indefinidamente. La segunda son los datos de los proveedores y de los centros de referencia, que son personas físicas en muchos casos.

El registro del microchip merece un matiz. La identificación del animal y su inscripción en el censo son obligaciones del propietario y de la clínica que las gestiona, y esos registros vinculan al animal con una persona concreta. Si quieres el detalle del procedimiento, tienes el asunto explicado en la guía sobre microchip e identificación animal; a efectos de protección de datos, lo relevante es que esa información identifica a un titular y se trata como tal.

Las bases legales de cada tratamiento

Este punto es el que más se simplifica mal. No todo se ampara en el consentimiento, y de hecho la mayoría de lo que hace una clínica no lo necesita. Pedir consentimiento para lo que ya está amparado por el contrato no es «ser más prudente»: es crear una expectativa de que el cliente puede retirarlo y dejarte sin base para prestar el servicio.

Distinguir avisos de servicio de mensajes comerciales es lo que evita casi todos los problemas. Recordar que a un gato le toca la trivalente no es lo mismo que anunciar un descuento en pienso. Si haces marketing para clínicas veterinarias, lo que necesitas es una segmentación que respete quién ha consentido recibir comunicaciones comerciales y quién no, y que registre las bajas automáticamente.

El caso mixto es el más frecuente y el que más se hace mal: el mensaje que empieza recordando la vacuna y acaba ofreciendo un 20% en antiparasitarios. Eso es una comunicación comercial entera, no la mitad. Si quieres mandar las dos cosas, manda dos mensajes y que el comercial vaya solo a quien lo ha consentido.

Cumplir no consiste en tener carpetas con documentos. Consiste en que el día que alguien pregunte puedas explicar qué datos tienes, por qué los tienes y quién puede verlos.

El registro de actividades y la información que das

El registro de actividades de tratamiento

Es el documento base: para qué usas datos personales, de quién, con qué base legal, a quién se los comunicas y cuánto los conservas. En una clínica salen cinco o seis actividades: asistencia clínica, facturación, personal, comunicaciones comerciales, videovigilancia y web. Es el mapa del que salen todas las demás obligaciones.

Se hace una vez y se revisa cuando cambia algo: un proveedor nuevo, una cámara más, un canal de WhatsApp que antes no existía. Si lo redactó un asesor hace cuatro años y desde entonces has cambiado de programa, de laboratorio y de gestoría, el registro describe una clínica que ya no es la tuya.

Información clara en formularios y web

El alta de cliente, el formulario de contacto de la web y cualquier hoja de recogida de datos deben decir quién es el responsable, para qué se usan los datos, con qué base legal, a quién se ceden, cuánto se conservan y cómo ejercer los derechos. En dos capas: un texto breve al lado del formulario y la política completa a un clic.

Y una comprobación que casi nadie hace: que las casillas no vengan marcadas de serie y que la de comunicaciones comerciales esté separada de la de alta como cliente. Si para darse de alta hay que aceptar publicidad, ese consentimiento no vale.

Contratos con quien ve tus datos

Cada proveedor que accede a datos de tus clientes tiene que estar cubierto por un contrato de encargo. La lista suele incluir el proveedor del software de gestión, el laboratorio externo de análisis, la asesoría que lleva la contabilidad, quien mantiene la web, el centro de referencia al que derivas casos y la empresa de la centralita.

Añade a la lista tres que se olvidan casi siempre: la empresa de la plataforma de correo con la que mandas campañas, la que te lleva la nube donde haces las copias de seguridad y el informático externo que entra en remoto a arreglar cosas. Ese último es el más delicado, porque suele tener acceso total y a menudo no hay ni un papel firmado.

• Un contrato de encargo firmado con cada proveedor que accede a datos.
• Dónde se alojan los datos y si salen de la Unión Europea.
• Quién tiene acceso técnico por parte del proveedor y con qué control.
• Qué pasa con tus datos si cancelas el servicio: devolución o supresión, y en qué plazo.
• Si el proveedor subcontrata a otros y si te lo tiene que comunicar.

Pregunta también dónde se alojan los datos y quién tiene acceso técnico a ellos. Es una diferencia real entre una gestión veterinaria en la nube con contrato de encargo firmado y un servidor en la trastienda que nadie actualiza: en el primer caso sabes quién responde; en el segundo respondes tú de todo.

Medidas de seguridad razonables

• Usuario individual y contraseña para cada persona. Nada de una cuenta común llamada "recepción".
• Permisos por perfil: recepción no necesita ver las nóminas ni la contabilidad.
• Copias de seguridad automáticas y, al menos una vez al año, una prueba de restauración. Una copia que nunca se ha restaurado es una copia que no sabes si funciona.
• Cifrado del disco de los equipos, sobre todo de los portátiles.
• Bloqueo automático de pantalla en el mostrador.
• Actualizaciones del sistema y de los programas al día.
• Baja inmediata del usuario cuando alguien deja la clínica, incluido el correo y el acceso a la nube.
• Doble factor en el correo y en los accesos remotos, que son las dos puertas por donde entra casi todo.

Ninguna de estas medidas es sofisticada y todas están al alcance de una clínica de tres personas. Lo que convierte la lista en algo real es una revisión semestral con la lista delante, porque las bajas de usuario y las actualizaciones son justo lo que se descuida solo.

Plazos de conservación

Define cuánto guardas cada cosa y escríbelo. El criterio general es que los datos se conservan mientras hagan falta para la finalidad que los justifica, más el tiempo en que puedan reclamarse responsabilidades, y después se suprimen o se bloquean.

Los plazos concretos dependen de la normativa aplicable y de tu comunidad autónoma, así que fija los tuyos con tu asesoría y con tu colegio profesional. Lo que sí es decisión tuya es tener la tabla escrita: sin ella, la práctica real es guardarlo todo para siempre, que es justo lo que no procede.

Qué hacer ante una brecha

Una brecha no es solo un ciberataque. Es un portátil robado, un ransomware, un correo masivo enviado con todas las direcciones a la vista, una carpeta de historiales que desaparece o un informe que se manda al cliente equivocado. Ese protocolo se escribe antes, no el día que pasa.

1. ConténCorta el acceso, desconecta el equipo afectado, cambia las contraseñas comprometidas. Primero se para la hemorragia.
2. Documenta desde el minuto unoQué ha pasado, cuándo se detectó, qué datos y cuántas personas pueden estar afectadas, y qué se ha hecho. Con hora.
3. Valora el riesgo para las personasNo es lo mismo perder una lista de correos que un listado con nombres, teléfonos y datos de pago.
4. Notifica cuando procedaLa normativa prevé la notificación a la autoridad de control en plazos muy cortos cuando hay riesgo para los afectados, y la comunicación a las personas afectadas cuando el riesgo es alto. Quién valora y quién notifica tiene que estar decidido de antemano.
5. Corrige la causaY anótalo en el registro de incidencias, que es lo que después demuestra que la clínica reaccionó.

Ten localizados dos teléfonos antes de necesitarlos: el de tu asesor en protección de datos y el de quien lleva tus sistemas. El reloj de una brecha corre en horas, y buscar a quién llamar es lo que consume el primer día. La Agencia Española de Protección de Datos publica guías y formularios para esta situación, y conviene haberlos mirado una vez en frío.

Los derechos del cliente y cómo atenderlos

Un propietario puede pedirte acceso a sus datos, rectificación, supresión, limitación, portabilidad u oposición. En una clínica lo más frecuente es que pidan copia del historial o que les dejes de enviar comunicaciones.

1. Identifica a quien solicita. Verifica que es el titular antes de entregar nada. Un correo desde una dirección que no consta en la ficha no acredita a nadie.
2. Responde en plazo. El RGPD marca un mes, ampliable en casos justificados y comunicándolo.
3. Da una respuesta escrita, aunque sea para denegar total o parcialmente, explicando el motivo y cómo puede reclamar si no está conforme.
4. Deja constancia de la solicitud y de la respuesta, con fechas. Ese registro es la prueba de que atiendes derechos.

Ojo con la supresión: no es absoluta. La documentación clínica y las facturas tienen plazos de conservación propios, así que lo habitual no es borrar todo, sino dejar de usar los datos para lo que ya no procede, como el envío de campañas. Explícalo así al cliente y evitarás un conflicto.

El caso práctico que más aparece es el cliente que se va a otra clínica y pide el historial. Entrégalo: es su derecho y además es lo que conviene al animal. Lo que no procede es condicionarlo a que pague una factura pendiente, porque son dos asuntos distintos y mezclarlos convierte un trámite en una reclamación.

Dónde falla casi todo el mundo

• Usuario compartido en recepción. Tres personas entrando con la misma clave hacen imposible saber quién consultó qué. Es el fallo más común y el más fácil de arreglar: una tarde de trabajo y está hecho.
• WhatsApp en el móvil personal. Fotos de heridas, resultados y teléfonos de clientes en el terminal privado de alguien que un día se va de la clínica. Cuando ese canal se centraliza en una bandeja de WhatsApp y chat web de la clínica, el historial deja de depender de un dispositivo personal. En la WhatsApp para clínicas veterinarias tienes el detalle de cómo montar ese canal.
• Fotos en redes sin permiso. La foto del bulldog recién operado suele ir acompañada del nombre del animal y del agradecimiento al dueño. Eso es identificable. Pide permiso por escrito, específico para ese uso, y guárdalo.
• Listas de correo antiguas. Direcciones recogidas hace años sin registro de consentimiento con las que se sigue enviando publicidad. Si no puedes acreditar de dónde salió una dirección, lo prudente es dejar de usarla para campañas.
• Correos masivos con todos en copia. Un envío a doscientos clientes con las direcciones visibles es una brecha en toda regla, y de las que se notifican.
• Cámaras mal planteadas. Sin cartel informativo, apuntando a zonas donde el equipo descansa o grabando audio sin justificación. Una cámara en la sala de descanso del personal es difícil de justificar casi siempre.
• Papeles a la vista en el mostrador. Consentimientos firmados, hojas de hospitalización y listados de citas que el siguiente cliente lee mientras espera.
• Pantalla del ordenador orientada a la sala. El mismo problema, en versión digital. Y el que más barato sale de arreglar: girar el monitor.
• Accesos que nadie dio de baja. El auxiliar que se fue hace dos años sigue teniendo usuario activo y acceso al correo de la clínica.

Checklist de protección de datos para tu clínica

1. Registro de actividades de tratamiento escrito y actualizado.
2. Base legal identificada para cada actividad.
3. Cláusula informativa en el alta de cliente y política de privacidad en la web.
4. Consentimiento separado y acreditable para comunicaciones comerciales y para el uso de imágenes.
5. Contratos de encargado firmados con todos los proveedores que acceden a datos.
6. Usuarios individuales, permisos por perfil y bajas al salir de la empresa.
7. Copias de seguridad con prueba de restauración anual.
8. Plazos de conservación definidos por tipo de documento.
9. Protocolo de brechas por escrito, con teléfonos de contacto.
10. Procedimiento para atender derechos, con registro de solicitudes.
11. Formación breve al equipo, al menos una vez al año.
12. Revisión anual de todo lo anterior.

La ficha del paciente es donde se concentra la mayor parte de este trabajo. Un historial clínico veterinario con accesos por usuario, permisos definidos y documentos archivados dentro del sistema resuelve de golpe varios puntos del checklist que en papel exigen procedimientos manuales. Y los documentos que firma el propietario, empezando por el consentimiento informado veterinario, deben quedar guardados con el mismo criterio de acceso restringido.

Preguntas frecuentes

En resumen

No intentes resolverlo todo en una tarde. Empieza por lo que reduce más riesgo con menos esfuerzo: usuarios individuales para cada persona, baja de los accesos que ya no deberían existir, revisión de la lista de correo, retirada de los papeles del mostrador y contratos de encargo con los proveedores que ya tienes. Son cinco cosas concretas y se hacen en una semana.

Después ordena la documentación: registro de actividades, cláusulas informativas, tabla de plazos de conservación y protocolo de brechas. Ahí sí conviene apoyarse en un especialista, porque el texto importa y porque es la parte que te van a pedir si alguna vez hay una revisión.

Y revisa qué hace tu software para clínicas veterinarias por ti: si gestiona permisos, guarda los documentos firmados, controla el consentimiento de marketing y hace copias automáticas, buena parte del cumplimiento deja de depender de que alguien se acuerde cada día. Eso es, al final, la diferencia entre una clínica que cumple y una clínica que tiene carpetas con documentos que describen una clínica que ya no existe.