Permisos del médico que trabaja en dos centros: el problema de acceso que muchas clínicas ignoran

1. La realidad: profesionales que comparten su tiempo entre centros

En clínicas privadas con más de una sede, es habitual que un profesional trabaje en varias. Un oftalmólogo que pasa consulta tres días en un centro y dos en otro. Un cirujano que opera en un centro y sigue los postoperatorios en otro. Una enfermera que cubre turnos en dos sedes según la demanda. La situación es normal; lo que no siempre es normal es cómo el sistema gestiona sus permisos.

1.1. El caso más frecuente: el mismo rol, distinto centro

Un médico es médico en cualquier centro. Su rol en el sistema no cambia porque cambie de edificio: sigue necesitando las mismas pantallas, las mismas herramientas y las mismas funciones. Lo que cambia es a qué pacientes accede. Si el sistema no distingue entre centros, el médico ve todos los pacientes de todos los centros, tenga o no relación asistencial con ellos. Y eso no es lo que pide la normativa.

1.2. Los perfiles que más se mueven: médico, enfermero, coordinador

Los perfiles clínicos son los que más se mueven entre centros, pero no son los únicos. Un coordinador de agenda puede necesitar ver la disponibilidad de dos centros para redistribuir citas. Un director médico puede supervisar la actividad de todos los centros. Un auditor puede necesitar cruzar datos entre sedes. Cada caso tiene un perímetro distinto, y el sistema tiene que gestionarlos todos sin que uno abra la puerta del otro.

1.3. Por qué la solución no es duplicar el usuario

Algunas clínicas resuelven el problema creando un usuario distinto para cada centro: el médico tiene una cuenta en A y otra en B. El resultado es doble: pierde la visión conjunta de sus pacientes cuando trabaja en los dos centros, y la auditoría tiene que cruzar dos identidades para reconstruir su actividad. Es una solución que parece funcionar hasta que se necesita trazabilidad, y entonces falla.

2. El centro como perímetro del acceso a datos

El concepto clave es que el centro no es un dato de dirección: es el límite de lo que cada persona ve. Dos profesionales con el mismo rol y en centros distintos ven pantallas idénticas pero datos diferentes.

2.1. Qué significa vincular un profesional a un centro

Vincular a un profesional a un centro significa que el sistema filtra los datos que le muestra por ese centro. El médico vinculado al centro A ve los pacientes del centro A. Si también está vinculado al centro B, ve los de ambos. Si no está vinculado a B, no los ve, independientemente de su rol. La vinculación es la capa que convierte un rol genérico en un acceso concreto y auditable.

2.2. La diferencia entre rol y vinculación

El rol define las pantallas; la vinculación al centro define los datos. Un médico del centro A y un médico del centro B tienen las mismas pantallas, pero no los mismos pacientes. Si el sistema no tiene la capa de centro, el rol da acceso a todos los pacientes de todos los centros, y la única forma de limitar el acceso es crear roles distintos por centro, lo cual rompe la lógica del catálogo.

2.3. Cuando el profesional trabaja en todos los centros

Un director médico o un coordinador general pueden necesitar ver los datos de todos los centros. Eso no significa que no haya perímetro: significa que el perímetro es explícitamente amplio y que está documentado. La diferencia entre un profesional que tiene acceso a todos los centros porque así se decidió y uno que tiene acceso a todos porque el sistema no distingue entre ellos es la trazabilidad. En el primer caso, la auditoría sabe por qué ve lo que ve. En el segundo, no.

3. El rol no cambia: lo que cambia es el dato visible

El profesional no necesita cambiar de rol cuando cambia de centro. Entra al sistema con el mismo usuario, ve las mismas pantallas y trabaja con las mismas herramientas. Lo que cambia es el filtro de datos: el lunes ve los pacientes del centro A, el miércoles los del centro B.

3.1. Un usuario, múltiples centros, un solo rol

Esta es la configuración correcta. El profesional tiene un único usuario, un único rol y varias vinculaciones a centros. No hay contraseñas distintas, no hay sesiones separadas y no hay cambio de contexto manual. El sistema sabe a qué centros tiene acceso y filtra los datos en consecuencia. Si el profesional tiene cita con un paciente del centro B, ve los datos de ese paciente porque está vinculado a B, no porque tenga un acceso especial.

3.2. Qué pasa cuando el profesional ya no trabaja en un centro

Si el profesional deja de trabajar en el centro B, se le desvincula. A partir de ese momento, deja de ver los pacientes de B. Los datos que introdujo durante su estancia en B siguen existiendo y siguen atribuidos a él, pero ya no puede consultarlos. Esa revocación parcial es más limpia que la alternativa —desactivar la cuenta entera—, porque el profesional sigue activo en el centro A sin interrupciones.

4. La agenda del otro centro: qué debería verse y qué no

La agenda es el punto donde más fácil es abrir de más. Un coordinador de citas puede necesitar ver la disponibilidad de un profesional en otro centro para ofrecer una alternativa al paciente. Pero ver la disponibilidad no es lo mismo que ver los pacientes citados. El detalle de qué debería ser visible está en la agenda de otro centro: qué debería ser visible.

4.1. Disponibilidad sí, pacientes no

Ver que el doctor García tiene un hueco el jueves a las once en el centro B es información operativa que sirve para redirigir al paciente. Ver que María López tiene cita a las diez en el centro B es un dato del paciente que la persona que consulta desde el centro A no necesita. La separación entre disponibilidad y detalle de las citas citadas es la línea que el sistema debe trazar y que la configuración por defecto debería respetar.

4.2. El caso del coordinador que gestiona citas en varios centros

Si el coordinador está vinculado a los dos centros, ve los detalles de las citas de ambos. Si solo está vinculado a uno, ve la disponibilidad del otro pero no los nombres de los pacientes. Esa distinción depende de la vinculación al centro, no de un permiso especial. No hace falta un rol nuevo para el coordinador multicentro: basta con vincularlo a los centros que gestiona.

Los permisos del centro A no se arrastran al centro B: cada asignación de centro lleva su propia lista de pantallas.

4.3. Cuándo se debe abrir la visibilidad entre centros

La visibilidad entre centros se abre cuando hay una razón asistencial o operativa documentada. Un profesional que cubre guardias en ambos centros necesita ver los dos. Un coordinador que gestiona agendas de los dos necesita ver ambas. Lo que no se debe hacer es abrir todos los centros a todo el mundo «por si acaso», porque eso convierte la separación por centro en una ficción que la auditoría detectará.

5. La transferencia del paciente entre centros

Cuando un paciente que se atiende en el centro A necesita una prueba o un servicio que solo está en el centro B, su episodio tiene que ser accesible para el profesional que lo atiende en B. Pero eso no significa abrir todo el centro A al profesional de B.

5.1. La transferencia es del episodio, no del paciente

Lo que se transfiere es el acceso a un episodio concreto, no el acceso a todo el historial del paciente en el otro centro. El profesional de B ve lo que necesita para la prueba o el tratamiento que le han derivado, no los episodios anteriores que se gestionaron en A y que no tienen relación con la derivación. Esa granularidad es la que permite cumplir con la minimización del acceso incluso en escenarios de derivación.

5.2. La transferencia tiene que ser un acto explícito

La transferencia no debería ocurrir de forma automática. El profesional de A deriva al paciente a B, y esa derivación genera un acceso al episodio para el profesional de B. Si la derivación no existe, el acceso tampoco. Eso evita que la mera existencia de un paciente en otro centro abra el acceso a cualquier profesional de ese centro.

5.3. El registro de la transferencia

Cada transferencia queda registrada: quién la inició, cuándo, qué episodio se compartió y con quién. Ese registro es la justificación del acceso. Si la auditoría pregunta por qué un profesional del centro B consultó un episodio del paciente del centro A, la respuesta está en el registro de la derivación. Sin ese registro, el acceso es indistinguible de una consulta no autorizada.

6. El riesgo de no separar los datos por centro

Una clínica multicentro que no separa los datos por centro tiene un problema de acceso que crece con cada centro que añade.

6.1. Todos ven todo: la superficie de exposición máxima

Si no hay separación por centro, un médico del centro A ve todos los pacientes de todos los centros. En una clínica con tres centros y diez mil pacientes, cada profesional tiene acceso a diez mil historiales en lugar de a los tres mil de su centro. La superficie de exposición se triplica sin que la función asistencial lo justifique. Y si un empleado descontento decide consultar datos de un centro donde no trabaja, la clínica no tiene un mecanismo que se lo impida.

6.2. La auditoría no puede distinguir el acceso legítimo del ilegítimo

Sin la capa de centro, todos los accesos parecen iguales. Un médico que consulta el historial de su paciente y un médico que consulta el historial de un paciente de otro centro generan el mismo tipo de registro. La auditoría de accesos no puede filtrar por centro, no puede detectar consultas fuera de perímetro y no puede generar alertas. El control de acceso existe en el papel, pero no en la práctica.

7. Cómo configurar el acceso multicentro correctamente

La configuración correcta tiene tres pasos y no requiere roles personalizados.

7.1. Definir los centros como entidades del sistema

Cada centro tiene que existir como entidad propia en el sistema, con su nombre, su dirección y su identificación. No como un campo de texto libre que cada profesional rellena de forma distinta, sino como un catálogo cerrado que el administrador mantiene. Sin esa definición, la vinculación de profesionales a centros no es posible.

7.2. Vincular a cada profesional a sus centros

Cada profesional se vincula a uno o varios centros según dónde trabaje. La vinculación se hace en el momento del alta y se actualiza cuando cambia la distribución. Un profesional que empieza a trabajar en un centro nuevo se vincula; uno que deja de trabajar en un centro se desvincula. El proceso es tan simple como marcar o desmarcar una casilla, pero su efecto es inmediato: el dato visible cambia en cuanto se guarda.

7.3. Verificar que el filtrado funciona

Después de configurar la vinculación, hay que probarlo. Entrar con las credenciales del profesional y verificar que solo ve los pacientes de los centros a los que está vinculado. Si ve más, la configuración tiene un error. Si ve menos, falta una vinculación. La prueba lleva tres minutos y evita meses de accesos no autorizados.

8. Auditar el acceso cuando hay más de un centro

La auditoría multicentro tiene una complejidad adicional: hay que poder determinar no solo quién accedió a qué, sino desde qué centro y si ese centro es legítimo para ese acceso.

8.1. El registro incluye el centro

Cada acceso registrado debería incluir el centro desde el que se realizó. Si un profesional vinculado al centro A consulta un paciente del centro A, el registro es coherente. Si consulta un paciente del centro B sin estar vinculado a B, el registro es una anomalía que merece investigación.

8.2. Las alertas por acceso fuera de perímetro

Una clínica que toma en serio la auditoría debería tener alertas automáticas cuando un profesional accede a datos de un centro al que no está vinculado. Esas alertas no significan que haya habido un incidente: significan que algo requiere explicación. Si la explicación es una transferencia documentada, el acceso es legítimo. Si no hay explicación, hay que investigar más.

8.3. La revisión periódica de las vinculaciones a centros

Las vinculaciones a centros, como los roles, se revisan periódicamente. Un profesional que dejó de ir a un centro hace tres meses y sigue vinculado es un acceso abierto sin justificación. La revisión periódica de permisos debería incluir este punto: para cada profesional, verificar que los centros a los que está vinculado coinciden con los centros donde trabaja realmente.

9. Qué aporta obeliOmed al acceso multicentro

obeliOmed utiliza el centro como eje de aislamiento desde el diseño. No es un complemento ni una opción configurable: es la arquitectura base del sistema.

9.1. Un usuario, múltiples centros, filtrado automático

El profesional tiene un único usuario vinculado a uno o varios centros. El sistema filtra automáticamente los datos según la vinculación. No hay cambio de sesión, no hay selección manual del centro activo y no hay riesgo de olvidar que «estoy viendo los datos del otro centro». El contexto cambia solo cuando el profesional trabaja con pacientes de centros distintos.

9.2. Registro de acceso con centro incluido

Cada acceso registrado incluye el centro del paciente y el centro del profesional. Eso permite a la auditoría detectar consultas fuera de perímetro sin tener que cruzar tablas manualmente. El informe para el DPO puede filtrarse por centro, por profesional o por paciente, y la combinación de los tres da una imagen completa de quién accedió a qué dato de qué centro.