Reenvío del enlace a un familiar: qué hacer

1. El escenario habitual: el paciente reenvía el enlace a un hijo

Antes de decidir política, conviene mirar qué está pasando de verdad y con qué frecuencia. Estos tres son los reenvíos más habituales; los tres son legítimos y los tres son responsabilidad del paciente, no de la clínica.

1.1. El paciente mayor que pide ayuda a un hijo

La mayor: el paciente recibe el enlace, no consigue abrirlo con soltura, y lo reenvía por WhatsApp a un hijo con la petición de que se lo abra y le diga qué pone. Es exactamente la casuística de el paciente mayor sin móvil aplicada al escenario del enlace: la relación con la clínica pasa por un tercero de confianza, y ese tercero necesita acceso funcional al documento.

1.2. El paciente que se lo pasa a otro profesional

Le mandan el informe de una prueba y él se lo reenvía a su médico de cabecera para que lo vea antes de la siguiente consulta. También al fisioterapeuta, al oftalmólogo, al especialista de otro centro que está siguiendo el caso. Compartir información clínica con otro profesional es un derecho del paciente, y el enlace debería facilitarle esa compartición sin complicaciones administrativas.

1.3. El paciente que lo abre desde otro dispositivo suyo

Recibió el enlace en el móvil y quiere verlo en el ordenador del trabajo para leerlo en pantalla grande. Técnicamente es un reenvío —el enlace pasa de un dispositivo a otro—, pero conceptualmente es el mismo paciente accediendo desde otro sitio. Este caso, distinto de los dos anteriores, se trata a fondo en el enlace que el paciente abre desde otro móvil.

2. Por qué el enlace público debe asumir esto

Un modelo que pretende que el paciente jamás comparta el enlace es un modelo que no ha entendido cómo la gente usa su móvil.

2.1. El reenvío es una acción del paciente, no una vulneración

Cuando el paciente comparte el enlace con otra persona lo hace por decisión suya. No está eludiendo un mecanismo de seguridad; está usando su propio derecho a compartir información suya con quien él quiera. Diseñar el enlace bajo la premisa de que esto no debería pasar produce fricción para el paciente sin conseguir el objetivo, porque el reenvío por WhatsApp o correo va a ocurrir de todos modos.

2.2. La comparación con el adjunto por email

Un adjunto por email también se puede reenviar, y de hecho es más fácil que compartir un enlace. La diferencia real está en qué ocurre cuando ese material se comparte, no en si se puede compartir. El enlace tiene caducidad; el adjunto no. El enlace deja rastro de dónde se abrió; el adjunto no. El enlace puede exigir verificación adicional en apertura desde otro dispositivo; el adjunto no. Como plantea enlace con caducidad frente al adjunto por correo, el enlace no elimina la posibilidad del reenvío; reduce el daño que produce cuando ocurre.

2.3. La responsabilidad de qué se hace con el documento

Un documento clínico que la clínica entrega al paciente pasa a ser información del paciente. Él decide con quién la comparte y bajo qué circunstancias. La clínica cumple su parte al entregar el documento por un canal razonable y con las medidas de protección disponibles; lo que el paciente haga después con ese documento —guardarlo, imprimirlo, compartirlo con familia, con médicos, con abogados— está fuera del control técnico de la clínica y dentro del ejercicio legítimo de sus derechos.

3. Enlaces de un solo uso frente a reutilizables

Dos modelos técnicos que responden a filosofías distintas. Cada uno tiene sus casos.

La ficha del paciente marca quién puede recibir avisos y por qué canal.

3.1. El enlace de un solo uso: qué es y cuándo aporta

El enlace se abre una sola vez; a partir de la primera apertura deja de funcionar, aunque no haya caducado por tiempo. Es el modelo más estricto y encaja bien en casos concretos: firma de un consentimiento —una firma, una vez—, entrega de un dato particularmente sensible que no debería quedar consultable después. Para informes de consulta habituales, el modelo de un solo uso genera fricción porque el paciente que quiere volver a leer el informe tiene que pedir enlace nuevo.

3.2. El enlace reutilizable: el modelo por defecto

El enlace se puede abrir varias veces mientras esté vigente. Es el modelo que rinde para la mayoría de documentos: el paciente lo abre al recibirlo, lo consulta cuando lo necesita, lo comparte con el médico de otro centro si quiere. Sin necesidad de gestionar reemisiones para cada consulta posterior dentro del plazo. La caducidad por tiempo protege lo que el modelo de un solo uso protege por conteo de aperturas.

3.3. El modelo mixto: un solo uso para firmar, reutilizable para leer

La política más útil combina ambos: enlaces de un solo uso para actos irreversibles como la firma de un consentimiento —la firma no se hace dos veces—, y enlaces reutilizables dentro de su plazo para todo lo demás. La decisión de qué documento usa qué modelo se toma por tipo, no por envío suelto, y se comunica claramente al paciente para que sepa qué esperar de cada enlace concreto.

4. Cuándo bloquear el reenvío es un error

La tentación de bloquear técnicamente el reenvío aparece antes o después. Antes de invertir en ello, conviene mirar por qué suele ser mala idea.

4.1. El paciente que legítimamente quiere compartir

Casi todos los reenvíos son legítimos: familia que ayuda, médico que continúa el caso, aseguradora que exige. Bloquear todos los reenvíos para prevenir un caso raro sería como impedir a los pacientes que sacaran copia de su informe en papel: se protegería del caso raro y se dejaría fuera a la mayoría legítima. La proporcionalidad no lo justifica.

4.2. Los bloqueos técnicos que no funcionan

Hay medidas técnicas que intentan impedir el reenvío —DRM, verificación biométrica, restricción por IP— y ninguna funciona bien para este caso. El paciente que quiere compartir siempre puede tomar una captura de pantalla o mostrar el móvil a otra persona. Las medidas restrictivas solo consiguen molestar a los pacientes legítimos sin impedir realmente la compartición. Y a menudo introducen vulnerabilidades nuevas por complejidad añadida.

4.3. El bloqueo que sí tiene sentido: geolocalización distinta con actividad sospechosa

Una situación distinta: el enlace se ha abierto desde España y minutos después se abre desde otro continente con IP de proveedor conocido de proxies. Ahí, el sistema puede exigir verificación adicional —código por SMS al número del paciente— antes de mostrar el documento. Es una medida proporcionada al riesgo real detectado, no un bloqueo generalizado a todos los reenvíos. Se aplica automáticamente al detectar el patrón, sin decisión humana en cada caso.

5. Qué queda registrado del reenvío

El sistema no ve el reenvío como acción del paciente; ve el resultado del reenvío cuando otro dispositivo abre el enlace. Esa asimetría condiciona qué se puede registrar.

5.1. Lo que sí queda registrado

Cada apertura del enlace queda registrada con fecha, hora, IP y navegador. Si el enlace se abre desde dispositivos distintos, queda constancia de que hubo aperturas desde IPs distintas o navegadores distintos, y esa constancia se puede consultar en la ficha del paciente. Con eso, un patrón de reenvío se detecta observando aperturas múltiples del mismo enlace desde ubicaciones muy diferentes.

5.2. Lo que no queda registrado

El propio acto de reenviar. Cuando el paciente pega el enlace en WhatsApp y lo envía a su hijo, el sistema clínico no ve nada de eso; la operación entera ocurre en el propio móvil del paciente, fuera del alcance del sistema. Solo cuando el hijo abre el enlace, el sistema registra esa apertura como cualquier otra. La cadena reenvío-apertura solo se ve por el lado de la apertura.

5.3. Cómo se lee el patrón

Con la información disponible, el equipo puede saber si un enlace concreto se abrió desde dispositivos que sugieren reenvío —dos aperturas seguidas desde IPs muy distintas, navegadores diferentes en la misma sesión—. Esa lectura no permite identificar a quién se lo reenvió el paciente, pero sí permite responder a preguntas puntuales —«¿alguien accedió a mi informe además de mí?»— con datos, no con suposiciones.

6. Enlaces con verificación adicional

Cuando el documento es especialmente sensible, la clínica puede pedir verificación extra que reduce el efecto de un reenvío no querido.

6.1. La verificación por SMS al número del paciente

El enlace se abre, pero antes de mostrar el documento se pide un código que se envía al móvil del paciente. Si el enlace ha sido reenviado, quien lo abrió no tiene acceso al SMS y no puede pasar la verificación. El paciente puede leer el código a la persona con la que ha compartido el enlace —eso es su decisión legítima—, pero un reenvío accidental o malicioso no supera esta capa.

6.2. Cuándo activarla y cuándo no

Para documentos sensibles concretos —resultados clínicos delicados, información sobre trastornos con implicaciones sociales o laborales, ciertos consentimientos—, la verificación añade una capa útil sin costes operativos significativos. Para el flujo habitual —informe de consulta rutinaria, resultado de una analítica común—, la verificación es fricción que no aporta y baja la tasa de apertura. La regla es aplicarla por tipo de documento, no a todos los enlaces por sistema.

6.3. Qué NO es la verificación adicional

No es un login del paciente en el sistema. No exige que él tenga cuenta ni recuerde ninguna contraseña. Es un código de un solo uso que llega a su canal, se introduce y sirve para esa apertura concreta. La lógica sigue siendo la del acceso por posesión del canal —el móvil del paciente, con el número que él dio a la clínica—; la verificación adicional refuerza esa posesión en el momento del acceso, no la sustituye por otra cosa.

7. Qué debe cumplir tu sistema

Cuatro condiciones. Este hijo pertenece al silo mayor de interacción del paciente sin cuenta.

7.1. El modelo por defecto es reutilizable

Los enlaces habituales deberían ser reutilizables dentro de su plazo, porque el paciente que quiere consultar su informe dos veces —o compartirlo con su médico de cabecera— tiene derecho a hacerlo sin trámite adicional. El modelo de un solo uso se reserva para actos irreversibles, no como estándar.

7.2. La configuración es por tipo de documento

Ni el modelo de enlace (uno o varios usos), ni la caducidad, ni la verificación adicional se deciden en cada envío. Se configuran en la política del centro por tipo de documento y se aplican solas. La consistencia protege al paciente de recibir trato distinto según quién envíe el documento.

7.3. La alerta se dispara sola cuando corresponde

Un patrón de apertura sospechoso —dos aperturas rápidas desde IPs muy distintas— dispara una alerta automática al equipo o al paciente, según la política. Sin ese automatismo, el patrón se queda en el registro y nadie lo mira. La detección tiene que producir acción, aunque la acción sea revisar y no hacer nada.

8. Cómo se implanta

La política se acuerda con el equipo antes de que aparezca el primer reenvío.

Cuidador y paciente esperan y firman juntos desde el mismo rincón.

8.1. Paso 1: decidir el modelo por tipo de documento

Para cada tipo de documento —informe de consulta, resultado urgente, consentimiento, comunicación general— se decide qué modelo aplica: reutilizable con caducidad, un solo uso, o reutilizable con verificación adicional. La tabla se acuerda con el equipo clínico y administrativo en una reunión y se configura en el sistema.

8.2. Paso 2: comunicar bien al paciente

El mensaje que acompaña al enlace no necesita explicar el modelo técnico —«enlace reutilizable con caducidad»—; debe explicar lo operativo —«puedes abrirlo las veces que quieras hasta el [fecha]»—. Y en los casos con verificación adicional, el mensaje avisa —«al abrir te pediremos un código que te enviaremos al móvil»— para que el paciente no se sorprenda cuando llegue el código.

8.3. Paso 3: revisar patrones al mes

• Aperturas múltiples por enlace: qué proporción de enlaces se abre más de una vez, y desde qué patrones de dispositivos.
• Alertas automáticas disparadas: cuántas y qué se hizo con cada una.
• Verificaciones adicionales fallidas: caso a caso.
• Reemisiones tras verificación fallida: señal de que el paciente perdió acceso al móvil o cambió de número.

9. Qué aporta obeliOmed con esto

9.1. Modelo de enlace por tipo de documento

obeliOmed configura el modelo de enlace —reutilizable, un solo uso, con verificación adicional— por tipo de documento en la política del centro. La consistencia se aplica sola en cada envío, sin necesidad de que el equipo decida por caso, y el paciente recibe el mismo tipo de enlace cuando el documento es del mismo tipo.

9.2. Registro de aperturas en la ficha del paciente

Cada apertura del enlace queda registrada con marca temporal, IP y navegador en la ficha del paciente. Las aperturas desde ubicaciones distintas quedan visibles, y el equipo puede consultar el histórico si el paciente pregunta o si hay que revisar un patrón.

9.3. Verificación por SMS opcional para documentos sensibles

Cuando el tipo de documento así lo requiere, el sistema pide un código enviado al móvil del paciente antes de mostrar el documento. Sin cuenta, sin contraseña; solo la posesión del canal que el paciente ya tiene. La verificación se activa por tipo de documento y no interfiere con el flujo habitual de la mayoría de envíos.