Cuando se habla de brechas de datos, todo el mundo imagina a alguien atacando un servidor. En una clínica, la realidad es mucho más doméstica: un móvil que se queda en un taxi, un correo enviado con todos los destinatarios visibles, un ordenador robado del mostrador.
Y todos esos casos activan las mismas obligaciones, con plazos que se cuentan en horas.
Qué cuenta como brecha
Más cosas de las que la gente cree. Una brecha es cualquier incidente que provoque la destrucción, pérdida, alteración o acceso no autorizado a datos personales.
En una clínica, los más frecuentes:
- Un móvil o un portátil perdido o robado con acceso al sistema o con fotos clínicas.
- Un correo enviado a la persona equivocada, o con todos los destinatarios en copia visible.
- Un pendrive con datos que desaparece.
- Alguien del equipo que consulta historias que no le corresponden.
- Un exempleado que conserva acceso al sistema.
- Documentación en papel tirada a la basura sin destruir.
El del correo con copias visibles es especialmente delicado en este sector: revela a cada destinatario que los demás son pacientes de tu clínica. Eso es divulgar datos de salud de un montón de personas a la vez.
Qué hacer, por orden
- Contener. Cortar el acceso, bloquear el dispositivo en remoto, cambiar contraseñas. Antes de investigar nada.
- Anotar la hora en que se detectó y quién lo detectó. Es el punto de partida del plazo.
- Delimitar el alcance. Qué datos, de cuántas personas y de qué tipo. No es lo mismo una lista de teléfonos que fotos clínicas.
- Valorar el riesgo para esas personas. Con datos de salud, el listón para considerar que hay riesgo es más bajo.
- Notificar a la autoridad si procede, dentro de las 72 horas.
- Informar a las personas afectadas si el riesgo es alto para sus derechos.
- Documentarlo todo en tu registro interno de incidentes, se notifique o no.
Ese último paso es obligatorio siempre, incluso en los casos que no llegan a notificarse. Y es lo primero que se pide si un día hay una inspección.
Qué anotar de cada incidente
| Dato | Por qué |
|---|---|
| Fecha y hora del incidente y de la detección | Determina el plazo. |
| Qué ocurrió, en concreto | Sin eufemismos. |
| Qué datos y de cuántas personas | Determina la gravedad. |
| Qué se hizo para contenerlo | Demuestra diligencia. |
| Decisión sobre notificar, y por qué | Si decides no notificar, el razonamiento tiene que estar escrito. |
| Qué se cambia para que no se repita | Es lo que convierte el incidente en mejora. |
Prevenir los tres casos más frecuentes
El dispositivo perdido. Se resuelve con cifrado, bloqueo de pantalla y que las fotos clínicas no vivan en el carrete de nadie. Si todo lo sensible está en el sistema y no en el móvil, un móvil perdido es un disgusto, no una brecha: fotos de evolución.
El correo mal enviado. Nunca poner varios destinatarios en un envío a pacientes. Si hay que escribir a varias personas, envíos individuales — igual que con los grupos de mensajería, que tampoco deben existir: WhatsApp en la clínica.
El acceso que nadie cerró. Se resuelve con un usuario por persona y con desactivar el mismo día en que alguien deja la clínica. Si todos comparten usuario, además, no puedes ni saber quién accedió a qué: quién ve qué en tu clínica.
Si el fallo es de tu proveedor
Si el incidente ocurre en el software que usas, tu proveedor debe avisarte sin dilación indebida, porque quien notifica a la autoridad eres tú: la responsable eres tú, aunque el fallo técnico fuera suyo.
Merece la pena saber, antes de que pase, cómo te avisarían y en cuánto tiempo. Es una pregunta razonable que casi nadie hace al contratar.
Cómo lo abordamos nosotros
La mejor gestión de incidentes es que haya menos superficie donde puedan ocurrir. Por eso en ClinicMate cada persona tiene su usuario con sus permisos, los accesos se desactivan sin borrar el rastro de lo que hizo esa persona, y lo sensible —historia, fotos, consentimientos— vive dentro de la ficha con acceso por rol, no repartido entre móviles y carpetas.
Y si mañana necesitas saber qué datos tienes sobre alguien para atender una solicitud, están en un sitio. Ese ejercicio, hecho en frío, es el mejor diagnóstico que puedes hacerte: lo cuenta la guía de RGPD para clínicas.
Preguntas frecuentes
¿Un correo enviado a la persona equivocada es una brecha?
Sí. Una brecha no es solo un ataque: es cualquier pérdida de confidencialidad, integridad o disponibilidad de datos personales. Un correo mal enviado con datos de una paciente lo es, y es de los casos más frecuentes.
¿Tengo que avisar siempre a la autoridad?
Hay que notificar salvo que sea improbable que suponga un riesgo para los derechos de las personas, y el plazo es muy corto: 72 horas desde que tienes conocimiento. Con datos de salud, el listón para considerar que hay riesgo es más bajo.
¿Y si no estoy segura de si es notificable?
Documenta el incidente igual, con todo el detalle, y consúltalo con un asesor cuanto antes. El registro interno de incidentes es obligatorio aunque el caso concreto no llegue a notificarse.
Pruébalo 30 días gratis, sin tarjeta y sin permanencia. La web profesional entra en el precio.
Se ocupa de que lo que promete ClinicMate en materia fiscal y de protección de datos se sostenga delante de un inspector. Antes, ocho años en asesoría fiscal para pymes sanitarias.
