Qué exige el RGPD de un enlace público que envía la clínica

1. El caso típico en la clínica

Este artículo trata específicamente el enlace público. La distinción general entre público y privado vive aparte en enlace público y enlace privado. Aquí se decide qué exige el RGPD específicamente del enlace público que la clínica envía al paciente en sus operaciones habituales.

1.1. Los tres casos operativos frecuentes

El enlace de confirmación de cita que la clínica envía al paciente después de reservar, el enlace de encuesta de satisfacción tras la consulta, el enlace de acceso a información pública sobre el propio centro que se comparte por mensaje personalizado. Los tres son enlaces públicos con acceso sin autenticación, y los tres están sujetos a las exigencias específicas del RGPD que este artículo trata.

1.2. Por qué el enlace público es tratamiento de datos

El propio envío del enlace es tratamiento de datos personales porque identifica al paciente concreto al que se dirige la comunicación. El enlace transporta información sobre el paciente aunque sea abstracta; el uso efectivo del enlace por parte del paciente añade información técnica sobre su comportamiento. Todo el flujo entra en el ámbito del RGPD desde el principio.

1.3. Lo que este artículo no cubre

Este artículo no ofrece asesoría técnica sobre configuración concreta ni sustituye la valoración del delegado de protección de datos. Cuenta qué exige el RGPD del enlace público en su operativa habitual. La decisión sobre la implementación concreta corresponde al centro con asesoramiento cualificado.

2. Los datos mínimos que puede llevar

El principio de minimización del RGPD exige que el enlace público transporte únicamente los datos estrictamente necesarios para su función. La generosidad con los datos incluidos en el enlace es incumplimiento por defecto que aparece cuando alguien examina el flujo entero.

2.1. La identificación del paciente por referencia opaca

El enlace puede llevar un código único que la clínica usa internamente para identificar al paciente al que se dirige, sin que ese código revele el nombre ni ningún otro dato personal a quien acceda al enlace sin contexto adicional. La referencia opaca cumple la función identificativa sin exponer identidad.

2.2. La información abstracta del acto

El enlace puede llevar información no sensible sobre el propio acto —fecha y hora de cita, tipo genérico de consulta sin diagnóstico específico, identificación de la propia clínica—. La información abstracta permite al paciente contextualizar la acción sin exponer detalles clínicos que no procede transportar por vía pública.

2.3. Los datos que nunca deben aparecer en la URL

Nombre completo del paciente, documento de identidad, diagnóstico, resultado de prueba, información clínica de cualquier tipo. Ninguno de estos datos aparece en la URL del enlace público bajo ninguna circunstancia: la URL queda registrada en el historial del navegador, en logs de servidores intermedios y en cualquier proxy por el que pase la petición. Los datos que aparecen en URL son datos expuestos a más superficie de la que la clínica controla.

3. La caducidad obligatoria

El enlace público sin caducidad es riesgo permanente sobre el contenido asociado. La caducidad no es opcional: es exigencia del principio de limitación de conservación aplicado al propio enlace y a la información que transporta.

3.1. El plazo alineado con la función

El plazo se elige según la función concreta del enlace. Un enlace de confirmación de cita puede caducar poco después del propio momento de la cita —el enlace ya no aporta valor una vez pasada la cita—. Un enlace de encuesta de satisfacción puede caducar tras un plazo razonable de respuesta —una o dos semanas típicamente—. Un enlace de acceso a información puntual caduca al agotar la utilidad previsible del propio contenido.

3.2. La caducidad por uso

Algunos enlaces caducan tras el primer uso efectivo con independencia del tiempo transcurrido. Esta modalidad aplica a operaciones únicas donde no se prevé que el paciente necesite volver a usar el mismo enlace: una confirmación específica que solo se realiza una vez, una firma que cierra un acto que no admite repetición.

3.3. La caducidad combinada

La política habitual combina ambas: caducidad por uso más caducidad por tiempo si no se ha usado. La combinación cubre los dos escenarios de riesgo simultáneamente. La regla operativa se cuenta a fondo en enlace público y enlace privado en la clínica.

4. El registro del envío

Cada envío queda registrado. Fecha, canal, destinatario, referencia opaca al paciente y motivo.

Cada envío de enlace público queda registrado por la clínica como acto específico. La trazabilidad es información técnica exigida por el artículo 32 del RGPD y por la política interna del centro sobre seguridad del tratamiento.

4.1. Lo que se registra en el envío

Fecha y hora exactas del envío, canal —correo electrónico, mensaje al móvil, sistema de mensajería específico—, dirección concreta del destinatario, referencia opaca al paciente destinatario, contenido asociado al enlace y motivo operativo del envío según el flujo del propio centro.

4.2. Lo que se registra del uso efectivo

Cuando el paciente utiliza el enlace, el registro anota la fecha y hora exactas del uso y el canal desde el que accedió. La distinción entre enviado y utilizado es información operativa útil para el propio flujo del centro y responde a preguntas posteriores del paciente o de la autoridad.

4.3. La retención del registro

El registro se conserva durante plazo específico definido por la política del centro según los requisitos legales aplicables. La práctica habitual conserva el registro durante plazo alineado con el resto de trazabilidad del sistema clínico, tratado en trazabilidad de accesos internos.

5. Lo que nunca puede llevar

El enlace público tiene contenido prohibido por el propio principio de minimización y por la categoría reforzada del dato de salud. Enviar por enlace público el contenido de esta lista es incumplimiento directo del RGPD con independencia del contexto operativo.

5.1. Informes clínicos con contenido sensible

Informes clínicos, resultados de prueba, evolución del expediente, cualquier documento con datos clínicos concretos del paciente. El acceso a este tipo de contenido exige enlace privado con autenticación previa del paciente, con independencia de la comodidad operativa que pudiera aportar el enlace público.

5.2. Datos identificativos completos

Nombre completo, documento de identidad, dirección postal, cualquier combinación de datos que identifique directamente al paciente. El enlace público solo puede llevar referencia opaca al paciente que la clínica interpreta internamente sin exponer identidad a quien acceda al enlace sin contexto adicional.

5.3. Datos genéticos y de categoría especialmente reforzada

Datos genéticos, información sobre salud mental, información sobre vida sexual, datos declarados como especialmente sensibles por la política del centro. Ninguno viaja por enlace público bajo ninguna circunstancia; su acceso exige enlace privado con nivel reforzado de autenticación proporcional a la sensibilidad del contenido.

6. El acceso del paciente sin cuenta

El enlace público materializa la operativa sin cuenta que la clínica ofrece al paciente para reducir fricción. La operativa vive integrada en el propio flujo del centro con las condiciones específicas que la propia operación exige.

6.1. La operativa sin cuenta como modelo

El paciente que confirma cita por enlace público no necesita crear cuenta ni recordar contraseña. La comodidad operativa reduce fricción para operaciones simples y es una de las ventajas del propio modelo de operativa sin cuenta. El modelo completo se cuenta aparte en interacciones sin cuenta del paciente.

6.2. La verificación implícita del propio canal

El envío del enlace por canal específico —correo del paciente, móvil del paciente— aporta cierto nivel de verificación implícita: solo quien accede al canal recibe el enlace. La verificación no es acreditación formal de identidad pero limita el acceso al enlace a quien tiene acceso al propio canal del paciente.

6.3. Los límites de la operativa sin cuenta

La operativa sin cuenta no cubre todo el espectro de interacciones. Contenido con datos sensibles exige acreditación adicional que el modelo sin cuenta no puede aportar, y en esos casos la operativa correcta es enlace privado con autenticación específica del paciente. El propio modelo de operativa sin cuenta reconoce estos límites y no pretende aplicarse a operaciones que exigen acreditación reforzada.

7. Trazabilidad del envío

La trazabilidad completa del ciclo del enlace público es evidencia técnica ante cualquier reclamación posterior sobre el flujo. Su documentación es requisito propio del artículo 32 del RGPD sobre seguridad del tratamiento.

7.1. La cadena completa registrada

Generación del enlace, envío al paciente, entrega efectiva al canal del paciente cuando el sistema puede confirmarlo, primer uso por parte del paciente si ocurre, caducidad del enlace por tiempo o por uso. Cada evento queda registrado con la fecha y hora exactas y con la información contextual relevante.

7.2. La disponibilidad ante requerimiento

La trazabilidad del enlace público es accesible ante requerimiento del paciente en el ejercicio de derechos, ante requerimiento de la AEPD o de la autoridad judicial cuando corresponda. La entrega incluye la cadena completa con las evidencias técnicas necesarias para acreditar el propio flujo del enlace.

7.3. La revisión periódica del propio flujo

La política del centro programa revisión periódica de la operativa de enlaces públicos para detectar patrones anómalos: enlaces con caducidad no aplicada, envíos con datos excesivos, contenido prohibido apareciendo en algún enlace. La revisión detecta problemas antes de que se manifiesten como reclamación externa.

8. Cuando el enlace falla

Cuando el enlace falla repetidamente, la política del centro prevé vía alternativa que evita desatender al paciente.

El enlace público puede fallar por causas técnicas —correo del paciente en spam, dispositivo del paciente sin cobertura, error de sistema en el envío— o por causas operativas del paciente —enlace borrado accidentalmente, dispositivo cambiado, contraseña del correo perdida—. La política del centro prevé los escenarios habituales y las respuestas correspondientes.

8.1. La detección del fallo

El sistema puede detectar algunos fallos automáticamente —correo rebotado, enlace vencido sin uso cuando el flujo lo esperaba, plazo de respuesta agotado sin acción del paciente—. Otros fallos solo se detectan cuando el paciente reporta que no ha recibido el enlace o que no ha podido usarlo por causa que el sistema no puede identificar automáticamente.

8.2. El reenvío del enlace

El paciente puede solicitar reenvío del enlace por el canal habitual del centro. El sistema genera nuevo enlace con nueva caducidad y registra el reenvío como acto específico. El enlace original queda automáticamente caducado si el reenvío se realiza dentro de su periodo de validez, o simplemente vencido si ya había caducado por tiempo.

8.3. La vía alternativa cuando el enlace repetidamente falla

Cuando el enlace falla repetidamente por causas persistentes —canal del paciente inaccesible, incidencias técnicas recurrentes— la política del centro prevé vía alternativa: contacto telefónico directo, atención presencial en el propio mostrador, gestión del acto por vía manual con la trazabilidad correspondiente. La vía alternativa evita que el paciente quede desatendido por fallo persistente del canal principal.

9. Qué aporta obeliOmed

Para que el enlace público cumpla las exigencias del RGPD sin depender de decisiones operativas caso por caso, el sistema tiene que aplicar minimización de datos, caducidad configurable, registro completo del envío y contenido prohibido bloqueado por diseño del propio flujo.

9.1. Aplicación automática de las exigencias del RGPD

En obeliOmed el enlace público se genera con referencia opaca al paciente, con caducidad configurable por tipo de flujo, con registro completo del envío y del uso efectivo. El contenido prohibido —informes clínicos, datos identificativos completos, datos genéticos y de categoría especialmente reforzada— se bloquea por diseño del flujo y no puede viajar por enlace público desde el sistema. La política del centro sobre configuración concreta de caducidad y sobre canal habitual de envío se ajusta una vez y se aplica automáticamente. La responsabilidad de la política sigue siendo del centro; lo que el sistema aporta es no dejar a la clínica sin la infraestructura técnica para cumplir las exigencias del RGPD desde el propio diseño del flujo, sin depender de la disciplina operativa caso por caso.

9.2. Con qué se combina

El enlace público forma parte del despliegue de seguridad técnica del centro, sostenido por el pilar del cumplimiento del RGPD en RGPD en clínicas privadas.