El dato que no puede ver todo el que abre la pantalla: por que separarlo funciona

1. El problema: un dato que necesita menos ojos que la pantalla

Un medico abre la ficha de un paciente para consultar sus alergias antes de prescribir. Al abrir la ficha, ve tambien el diagnostico psiquiatrico, la serologia y los antecedentes familiares. No los necesitaba para prescribir; los ha visto porque estaban en la misma pantalla. En una clinica grande, ese escenario se repite cientos de veces al dia: profesionales que acceden a datos que no necesitan porque esos datos comparten pantalla con los que si necesitan.

1.1. El todo o nada de los permisos por pantalla

La mayoria de los sistemas de gestion clinica asignan permisos por pantalla: si un profesional tiene acceso a la ficha del paciente, ve todo lo que hay en ella. Es un modelo simple y facil de gestionar, pero tiene un problema fundamental. No todos los datos de la ficha del paciente tienen el mismo nivel de sensibilidad ni requieren el mismo circulo de acceso. El sistema de permisos da acceso a la pantalla completa o no da acceso; no hay termino medio dentro de esa pantalla.

1.2. El dato sensible que convive con el dato rutinario

Los datos de filiacion —nombre, fecha de nacimiento, direccion— los necesita practicamente todo el personal de la clinica. Los datos clinicos basicos —alergias, medicacion activa— los necesitan los profesionales sanitarios. Pero el resultado de una prueba de VIH, un diagnostico de trastorno mental grave o un informe de violencia de genero tienen un circulo legitimo de acceso mucho mas reducido: el profesional que los solicito o los registro, y los profesionales que participan directamente en el tratamiento. Si todos esos datos viven en la misma pantalla, el circulo mas amplio arrastra al mas restringido.

2. Ejemplos reales: que datos requieren restriccion adicional

No todo dato clinico requiere una restriccion especial. El RGPD ya considera todos los datos de salud como categoria especial, pero dentro de esa categoria hay datos cuya exposicion innecesaria tiene un impacto mayor que la de otros.

2.1. Salud mental y adicciones

Los diagnosticos de salud mental y los tratamientos de adicciones son los datos clinicos con mayor potencial de estigmatizacion. Un empleado de la clinica que descubre que un conocido esta en tratamiento psiquiatrico o en un programa de deshabituacion tiene una informacion que puede afectar a la vida social, laboral y familiar de esa persona. La Ley 41/2002 reconoce la especial proteccion de estos datos, y varias comunidades autonomas han reforzado esa proteccion con normativa especifica.

2.2. Enfermedades de transmision sexual y serologia

El resultado de una prueba de VIH o de hepatitis tiene implicaciones que van mas alla del ambito clinico. La confidencialidad de estos resultados no es solo una obligacion legal: es una condicion para que los pacientes se hagan las pruebas. Si un paciente sospecha que su resultado puede ser visto por todo el personal de la clinica —incluyendo recepcionistas, administrativos y profesionales de otras especialidades— es menos probable que pida la prueba. Restringir el acceso a estos resultados protege al paciente y protege la salud publica.

2.3. Violencia de genero e informes judiciales

Los datos relacionados con violencia de genero tienen restricciones de acceso reforzadas por ley. Un informe clinico que documenta lesiones compatibles con violencia de genero o un parte de lesiones remitido al juzgado no pueden ser accesibles para todo el personal de la clinica. Estos datos tienen un circuito de acceso especifico que incluye al profesional que los registra, al coordinador de violencia de genero si lo hay, y al circuito judicial. Nadie mas deberia verlos, y mezclarlos con el resto de datos clinicos en la misma pantalla hace imposible cumplir esa restriccion.

3. Por que ocultar campos dentro de la misma pantalla no funciona

La primera solucion que se le ocurre a cualquier equipo tecnico es ocultar los campos sensibles dentro de la misma pantalla: si el usuario tiene permiso, los ve; si no, no aparecen. Parece logico. En la practica, es una trampa.

3.1. La complejidad oculta del permiso por campo

Un permiso por campo significa que cada dato individual tiene su propia regla de visibilidad. En una ficha de paciente con cuarenta campos, pueden existir cuarenta reglas de visibilidad distintas, una por campo. Configurar eso para un usuario es tedioso; configurarlo para doce roles distintos es una pesadilla de mantenimiento. Y lo peor: cuando algo no funciona —un campo que deberia verse no se ve, o uno que deberia estar oculto aparece— diagnosticar el problema requiere revisar la matriz de campos por roles, que nadie tiene actualizada porque nadie quiere mantenerla.

3.2. La auditoria se vuelve imposible

Si un profesional accede a la ficha del paciente, la traza registra que accedio a la ficha. Pero, ¿a que campos accedio exactamente? Si los campos sensibles estan ocultos por reglas de visibilidad, la traza tendria que registrar que campos se mostraron en cada acceso, lo que multiplica el volumen de la traza por el numero de campos configurables. Y si el DPO necesita saber quien vio el diagnostico psiquiatrico de un paciente, tiene que buscar en una traza que mezcla accesos a cuarenta campos con reglas de visibilidad distintas. La informacion esta, pero encontrarla es un ejercicio de arqueologia.

3.3. El falso ahorro: parece menos trabajo, cuesta mas

Ocultar campos parece mas rapido que crear una pantalla nueva. Y es cierto la primera vez. Pero el coste acumulado de mantener las reglas de visibilidad campo a campo, de diagnosticar errores cuando un campo no aparece, de auditar accesos a nivel de campo y de explicar a los usuarios por que ven una ficha distinta que su companero supera con creces el coste de crear una pantalla con su propio permiso. La solucion simple es mas barata a largo plazo que la solucion ingeniosa.

4. La solucion limpia: una pantalla propia con su propio permiso

Si un dato necesita un circulo de acceso distinto al de la pantalla donde vive, la solucion mas directa es sacarlo de esa pantalla y darle la suya propia. Una pantalla con un permiso. Un permiso asignado al rol que necesita ver ese dato. Nada mas.

4.1. Un dato, una pantalla, un permiso

Cuando el diagnostico psiquiatrico tiene su propia pantalla, solo lo ven los profesionales cuyo rol incluye el acceso a esa pantalla. La ficha general del paciente sigue mostrando lo que siempre mostro, sin campos ocultos ni reglas de visibilidad. El medico de atencion primaria ve la ficha general; el psiquiatra ve la ficha general y la pantalla de salud mental. La separacion es clara, la configuracion es simple y la auditoria es directa: quien accedio a la pantalla de salud mental, accedio a esos datos.

4.2. La traza se simplifica

Con los datos sensibles en su propia pantalla, la traza registra un evento claro: el profesional X accedio a la pantalla de salud mental del paciente Y. No hay que inferir que campos vio ni cruzar reglas de visibilidad. Si el DPO necesita saber quien ha accedido a los datos de salud mental de un paciente, filtra la traza por la pantalla de salud mental. Es una busqueda, no una investigacion.

5. Que datos son candidatos a pantalla separada

No todo dato sensible necesita su propia pantalla. La decision depende de dos factores: el circulo de acceso legitimo y el dano potencial de la exposicion innecesaria.

5.1. El test del circulo: ¿quien necesita ver esto?

Si el dato lo necesita ver practicamente todo el personal que accede a la ficha del paciente —por ejemplo, las alergias—, no tiene sentido separarlo: el circulo de acceso es el mismo que el de la pantalla. Si el dato solo lo necesita ver un subconjunto reducido de los profesionales que acceden a la ficha —por ejemplo, el resultado de una serologia—, es candidato. La regla es: si el circulo legitimo de acceso al dato es significativamente menor que el circulo de acceso a la pantalla donde esta, separarlo tiene sentido.

5.2. El test del dano: ¿que pasa si lo ve alguien que no deberia?

Algunos datos generan un dano desproporcionado cuando se exponen fuera de su contexto clinico. El diagnostico de una infeccion de transmision sexual, un trastorno psiquiatrico o un antecedente de violencia de genero puede afectar a la vida personal, laboral y social del paciente. Otros datos, aunque tecnicamente sensibles, generan un impacto menor: saber que un paciente tiene hipertension no tiene las mismas consecuencias que saber que esta en tratamiento por una adiccion. El dano potencial de la exposicion es el segundo criterio para decidir si un dato merece su propia pantalla.

5.3. Los datos economicos del paciente

No todo dato restringido es clinico. La informacion economica del paciente —deudas pendientes, forma de pago, importes facturados, cobertura del seguro— tampoco deberia verla todo el que abre la ficha clinica. Un medico no necesita saber si el paciente tiene una factura impagada para atenderle; un administrativo no necesita ver los diagnosticos para gestionar un cobro. La separacion entre datos clinicos y datos economicos es otro ejemplo del mismo principio: publicos distintos, pantallas distintas, permisos distintos.

6. Como se decide cuando separar y cuando no

La decision de crear una pantalla separada no es tecnica: es organizativa. La toma la direccion clinica junto con el DPO, evaluando el equilibrio entre proteccion y operativa.

6.1. Demasiadas pantallas tambien es un problema

Si cada dato sensible tuviera su propia pantalla, un psiquiatra que necesita ver el cuadro completo de un paciente tendria que abrir diez pantallas para juntar la informacion. La separacion excesiva fragmenta la informacion y dificulta la atencion. El objetivo no es separar todo, sino separar lo que tiene un circulo de acceso claramente distinto. Si dos datos siempre los necesitan los mismos profesionales, van en la misma pantalla. Si los necesitan profesionales distintos, van en pantallas distintas.

6.2. La regla del minimo practico

El numero de pantallas separadas deberia ser el minimo necesario para cubrir las diferencias reales de acceso. En una clinica tipica, eso suele traducirse en dos o tres pantallas adicionales: salud mental, datos judiciales o de violencia de genero, y datos economicos. Cada clinica tiene su propia realidad y sus propios datos especialmente sensibles, pero el orden de magnitud es ese, no veinte pantallas diferentes para veinte tipos de dato.

7. El impacto en la operativa diaria

Separar datos en pantallas distintas tiene un impacto en la operativa diaria que hay que medir antes de implementar. El impacto no es necesariamente negativo, pero existe y hay que gestionarlo.

7.1. Un clic mas para quien necesita el dato

El profesional que antes veia todo en una sola pantalla ahora necesita abrir una pantalla adicional para ver los datos separados. Es un clic mas, no una barrera. Si el sistema esta bien disenado, la pantalla adicional esta accesible desde la ficha del paciente, no escondida en un menu remoto. El coste para el profesional autorizado es minimo; el beneficio para el paciente cuyo dato no ve todo el mundo es significativo.

7.2. Los profesionales que ya no ven lo que no necesitan

Para la mayoria de los profesionales, la separacion es invisible: la ficha del paciente muestra lo mismo que siempre, menos los datos que no necesitaban ver. No pierden funcionalidad porque no usaban esos datos para su trabajo. Lo que pierden es la exposicion innecesaria a informacion que no les correspondia, y eso no es una perdida: es una proteccion. Una revision de permisos que descubre que todo el mundo veia todo no genera quejas cuando se corrige; genera alivio, porque la mayoria de los profesionales prefieren no tener acceso a datos que podrian meterles en un problema.

8. Errores comunes al implementar la separacion

La separacion de datos en pantallas distintas es una buena practica, pero su implementacion tiene trampas que vale la pena conocer antes de empezar.

8.1. Separar y no revisar los roles

Crear una pantalla nueva para los datos de salud mental y dar acceso a todos los roles es lo mismo que no separarla. La separacion solo funciona si va acompanada de una revision de que roles necesitan acceder a la nueva pantalla. Si el resultado de la revision es que todos los roles necesitan acceso, o bien el dato no era tan sensible como se pensaba, o bien los roles estan mal definidos.

8.2. Separar sin avisar al equipo

Si un profesional abre la ficha de un paciente y un dato que siempre veia ya no esta, su primera reaccion es pensar que el dato se ha borrado o que el sistema esta roto. La separacion necesita comunicacion previa: que datos se han movido, a que pantalla, por que y quien tiene acceso. Sin esa comunicacion, la bandeja de incidencias se llena de «no veo el diagnostico del paciente Garcia» y el administrador pierde la manana explicando que no es un error.

8.3. Crear la pantalla y olvidar la traza

La pantalla nueva necesita su propia traza de accesos. Si el sistema registra los accesos a las pantallas principales pero no a las nuevas, los datos sensibles que se separaron precisamente para protegerlos quedan sin auditoria. La traza de la nueva pantalla es parte de la implementacion, no un anadido posterior.

9. Que aporta obeliOmed

obeliOmed aplica este principio desde el diseno: cada pantalla es una unidad de permiso, y los datos que requieren un circulo de acceso distinto viven en su propia pantalla con su propio permiso asignado por rol.

9.1. Permiso por pantalla, sin capas intermedias

El modelo de permisos de obeliOmed es pantalla por rol, sin capas adicionales de visibilidad por campo ni reglas de ocultacion condicional. Un rol ve una pantalla o no la ve. Esto hace que la configuracion sea comprensible —la lista de pantallas a las que accede cada rol cabe en una tabla—, que la auditoria sea directa —la traza muestra quien accedio a que pantalla— y que el mantenimiento sea sostenible —anadir una restriccion es anadir una pantalla y asignar los roles, no programar una regla de visibilidad que hay que probar para cada combinacion de campo y rol.

9.2. Datos sensibles en pantallas dedicadas desde el primer dia

Los datos que la normativa identifica como especialmente protegidos —salud mental, serologias, datos judiciales, informacion economica— tienen sus propias pantallas en obeliOmed desde la configuracion inicial. No hace falta que la clinica identifique que datos necesitan separacion: la separacion ya esta hecha segun los criterios legales y de buena practica clinica. La clinica solo necesita decidir que roles acceden a cada una de esas pantallas, que es la decision que le corresponde como responsable del tratamiento.