El administrativo y el acceso a la historia clínica: qué debería ver y qué no

1. Qué datos del paciente necesita el administrativo

El personal administrativo gestiona la parte logística y financiera de la atención al paciente. Para eso necesita datos, pero no todos.

1.1. Datos de identificación y contacto

Nombre, apellidos, teléfono, correo electrónico, dirección. Son los datos que el administrativo necesita para programar citas, enviar recordatorios y comunicarse con el paciente. Están en la ficha del paciente y no son datos clínicos. Cualquier perfil que gestione la relación administrativa con el paciente necesita acceder a estos datos como parte habitual de su trabajo.

1.2. Datos de aseguradora y facturación

Número de póliza, compañía aseguradora, datos de facturación. El administrativo que gestiona la relación con la aseguradora o que emite facturas necesita estos datos. Son datos financieros y contractuales, no clínicos. La línea está clara: el administrativo necesita saber que el paciente tiene un seguro con una compañía determinada; no necesita saber por qué viene a consulta.

1.3. Datos de agenda y citas

El administrativo que gestiona la agenda necesita ver las citas programadas: qué paciente, con qué profesional, a qué hora y en qué centro. También necesita poder reprogramar, cancelar y confirmar citas. Lo que no necesita ver es el motivo clínico de la cita ni los antecedentes del paciente. Un administrativo que programa una cita con el oftalmólogo solo necesita saber que el paciente tiene cita con el oftalmólogo, no que tiene un glaucoma en seguimiento.

2. Qué datos del paciente no necesita

La historia clínica contiene información que solo tiene sentido en el contexto de la relación asistencial. El administrativo no forma parte de esa relación.

2.1. Diagnósticos y antecedentes

Los diagnósticos del paciente, sus antecedentes personales y familiares, y las notas clínicas de cada consulta son datos que el médico y el equipo asistencial necesitan. El administrativo no tiene función asistencial y no necesita esa información para hacer su trabajo. Si un administrativo necesita saber el diagnóstico de un paciente para algún trámite, la pregunta es si ese trámite está bien diseñado, no si el administrativo necesita más permisos.

2.2. Resultados de pruebas y evolución

Los resultados de analíticas, pruebas de imagen y otros exámenes son datos clínicos puros. Lo mismo aplica a las notas de evolución que el profesional escribe después de cada consulta. Estos datos no tienen ninguna utilidad para el trabajo administrativo y su exposición a personal no clínico aumenta la superficie de riesgo sin aportar valor.

2.3. Consentimientos informados y documentos clínicos

Los consentimientos informados contienen información sobre el procedimiento al que se va a someter el paciente, los riesgos y las alternativas. Son documentos clínicos que forman parte de la historia clínica. El administrativo puede necesitar saber que el consentimiento se ha firmado —para verificar que el procedimiento puede programarse—, pero no necesita acceder al contenido del consentimiento ni al detalle del procedimiento.

3. Por qué importa separar el acceso administrativo del clínico

En una clínica pequeña con dos empleados, la separación puede parecer innecesaria. En una clínica con veinte personas en administración, la diferencia es enorme.

3.1. La superficie de exposición se multiplica

Si diez administrativos tienen acceso a la historia clínica completa, la superficie de exposición de los datos clínicos se multiplica por diez sin que la función asistencial lo justifique. Cada persona con acceso es un punto potencial de fuga: un error, una consulta curiosa, un dispositivo comprometido. El principio de mínimo privilegio dice exactamente esto: cada persona accede solo a lo que necesita para su función.

3.2. La auditoría es más limpia

Cuando los administrativos solo acceden a datos administrativos, la auditoría de accesos a datos clínicos se simplifica: si un administrativo aparece en el registro de accesos a diagnósticos, es una anomalía que merece investigación. Si los administrativos tienen acceso a todo, cada acceso de un administrativo a datos clínicos es una entrada más que la auditoría tiene que evaluar caso por caso.

3.3. El riesgo reputacional

Un paciente que descubre que el administrativo de la recepción ha consultado su diagnóstico no va a evaluar si el acceso era técnicamente posible según la configuración del sistema. Va a entender que la clínica no protege sus datos. La percepción importa tanto como la realidad: un sistema que limita el acceso administrativo a lo administrativo protege la confianza del paciente además de sus datos.

4. El dato sensible en su propia pantalla: el principio

La forma más directa de controlar el acceso del administrativo es que los datos que no necesita estén en pantallas distintas de las que sí necesita.

4.1. Una pantalla para la ficha administrativa, otra para la historia clínica

Si la ficha del paciente y la historia clínica comparten la misma pantalla, el permiso de acceso es uno solo: o se ve todo o no se ve nada. Si están en pantallas separadas, el sistema de permisos por pantalla permite dar acceso a la ficha administrativa sin dar acceso a la historia clínica. La separación no es un capricho de diseño: es la infraestructura que hace posible el control granular.

4.2. Qué pasa cuando el dato está mezclado

En sistemas que mezclan datos administrativos y clínicos en la misma pantalla, el administrador tiene dos opciones: dar acceso a todo o quitar el acceso a todo. La primera opción rompe la minimización. La segunda impide que el administrativo haga su trabajo. No hay solución satisfactoria si los datos están mezclados. La solución es no mezclarlos.

Separar los datos administrativos de los clínicos no es solo una buena práctica: es lo que dice la ley sobre el acceso a la historia clínica por personal no sanitario.

4.3. El coste de no separar desde el principio

Separar los datos después de que el sistema está en producción es más caro que hacerlo desde el diseño. Significa rediseñar pantallas, migrar permisos y reentrenar al personal. Pero es menos caro que una sanción por acceso excesivo o que la pérdida de confianza de los pacientes. Si el sistema actual mezcla datos administrativos y clínicos, la separación debería estar en la hoja de ruta, no en el cajón de «algún día».

5. El caso de la recepción: el perfil que más datos toca

La recepción es el perfil administrativo que más interacción tiene con los datos del paciente. Registra pacientes nuevos, confirma citas, gestiona documentación y es el primer punto de contacto.

5.1. Lo que la recepción necesita para cada función

Para registrar un paciente nuevo: datos de identificación, contacto y aseguradora. Para confirmar una cita: nombre del paciente, profesional, hora y centro. Para gestionar documentación: saber qué documentos faltan, no el contenido de los que están. Cada función tiene un alcance definido, y el permiso debería reflejar ese alcance. Un recepcionista que registra pacientes no necesita el mismo acceso que uno que gestiona derivaciones.

5.2. El motivo de consulta: la frontera

Muchos sistemas muestran el motivo de consulta en la agenda: «revisión de glaucoma», «control postoperatorio», «primera consulta miopía». El motivo de consulta es un dato clínico que cruza la frontera entre lo administrativo y lo asistencial. Si el recepcionista puede verlo, sabe por qué viene el paciente. La pregunta es si esa información es necesaria para su función. En la mayoría de los casos, no lo es: lo que necesita saber es que el paciente tiene cita, no por qué la tiene.

5.3. La tentación de dar acceso «por si acaso»

Es habitual que la recepción tenga más acceso del necesario porque «a veces necesita consultar algo» o «el médico le pide que mire una cosa». Esos «a veces» deberían resolverse con un flujo de trabajo que no requiera que la recepción acceda a datos clínicos, no con un permiso permanente que se usa una vez al mes y que el resto del tiempo es un riesgo abierto.

6. Facturación y datos clínicos: la zona gris

La facturación es el área administrativa que más se acerca a los datos clínicos, porque el concepto facturado a veces describe el acto clínico.

6.1. Facturar sin ver el diagnóstico

En la mayoría de los actos clínicos, la factura describe un servicio —«consulta de oftalmología», «cirugía de cataratas»—, no un diagnóstico. El administrativo de facturación necesita ver el servicio prestado y su precio, no el diagnóstico del paciente ni la evolución clínica. Si el sistema separa el concepto facturable del dato clínico, la facturación puede hacerse sin acceso a la historia clínica.

6.2. El caso de la aseguradora que pide el diagnóstico

Algunas aseguradoras solicitan el diagnóstico para autorizar o reembolsar un procedimiento. En ese caso, el dato clínico cruza la frontera por una necesidad contractual. La solución no es dar acceso al administrativo a toda la historia clínica, sino crear un flujo donde el profesional clínico valide el diagnóstico que se envía a la aseguradora y el administrativo gestione el envío sin ver el resto de la historia.

6.3. El centro como filtro también en facturación

Si la clínica tiene varios centros, el administrativo de facturación del centro A debería ver los actos facturables del centro A, no los del centro B. La separación por centro aplica a todos los perfiles, no solo a los clínicos. Un administrativo vinculado a un centro ve los datos administrativos de ese centro; si gestiona los dos, se le vincula a los dos. La lógica es la misma que para los profesionales sanitarios.

7. Auditar el acceso del administrativo

La auditoría del acceso administrativo tiene un objetivo concreto: verificar que los datos consultados corresponden a la función que desempeña cada persona.

7.1. Qué debería aparecer en el informe de accesos

El informe de accesos del DPO debería mostrar los accesos de cada perfil a cada tipo de dato. Si un administrativo aparece en los registros de acceso a datos clínicos, esa entrada debería ser explicable. Si no lo es, es una señal de que los permisos están mal configurados o de que alguien los ha usado de forma indebida.

7.2. El patrón de acceso normal del administrativo

Un administrativo normal accede a muchas fichas de pacientes al día —las de los pacientes que llegan, llaman o tienen cita—, pero siempre a los mismos tipos de datos: identificación, contacto, citas, facturación. Si un administrativo empieza a acceder a diagnósticos, notas clínicas o resultados de pruebas, el patrón ha cambiado y merece investigación.

7.3. La revisión periódica de los permisos administrativos

Los permisos del personal administrativo se revisan junto con los del resto del equipo. Un administrativo que cambió de función hace seis meses puede seguir teniendo los permisos de su función anterior. La revisión periódica comprueba que cada persona tiene exactamente lo que necesita para su función actual, no para la que tenía antes ni para la que podría tener en el futuro.

8. Qué dice la normativa sobre el acceso no clínico

La normativa no dice «los administrativos no pueden ver datos clínicos». Dice algo más matizado: cada persona accede a los datos que necesita para su función, ni más ni menos.

8.1. El principio de necesidad de conocer

El RGPD exige que el acceso a datos personales se limite a las personas que necesitan acceder para cumplir sus funciones. Si la función de un administrativo es gestionar citas, solo necesita los datos relacionados con las citas. Si su función es facturar, solo necesita los datos de facturación. El principio no distingue entre personal clínico y no clínico: distingue entre funciones.

8.2. La Ley 41/2002 y el acceso a la historia clínica

La Ley 41/2002 establece que el acceso a la historia clínica con fines de gestión y administración está permitido, pero limitado a lo estrictamente necesario para cada caso. «Con fines de gestión» no significa acceso libre a todo: significa acceso a lo que la gestión requiere, que normalmente son datos de identificación, citas y facturación, no diagnósticos ni evolución clínica.

8.3. Las sanciones por acceso excesivo

La AEPD ha sancionado a centros sanitarios por permitir que personal no autorizado accediera a datos clínicos. Las sanciones no se deben a que el personal actuara con mala intención, sino a que la clínica no tenía los controles necesarios para limitar el acceso. El responsable del tratamiento —la clínica— es quien responde por la configuración del sistema, no el empleado que lo usó como estaba configurado.

9. Qué aporta obeliOmed

obeliOmed separa los datos administrativos de los clínicos en pantallas distintas, y los permisos se asignan por pantalla y por rol.

9.1. Pantallas administrativas separadas de las clínicas

La ficha del paciente, la agenda de citas y la facturación son pantallas independientes de la historia clínica. El rol de recepción tiene acceso a las primeras y no a la segunda. El administrador puede ajustar los permisos si un perfil concreto necesita más o menos acceso, pero la configuración por defecto ya aplica la separación. No hay que acordarse de restringir algo: lo que no se necesita, no se tiene desde el principio.

9.2. El motivo de consulta como dato clínico

En obeliOmed, el motivo de consulta forma parte de la historia clínica, no de la agenda. La recepción ve la cita —paciente, profesional, hora—, pero no el motivo clínico. Si el profesional quiere que la recepción sepa algo relevante para la gestión —«el paciente necesita dilatación, que avisen que llegue quince minutos antes»—, lo comunica por el canal que corresponda, no exponiendo el diagnóstico en la agenda.