Los doce roles predefinidos que una clínica necesita desde el día cero

1. Por qué doce roles y no dos, ni veinte

El número no es caprichoso. Sale de cruzar los perfiles profesionales habituales de una clínica privada con las funciones que cada uno necesita en el sistema. Dos roles obligan a dar acceso de más a casi todo el mundo. Veinte crean una complejidad que nadie mantiene. Doce es el punto donde cada perfil tiene su propio perímetro sin que haya solapamientos innecesarios ni huecos relevantes.

1.1. Dos roles: el acceso de más que nadie detecta

Muchas clínicas empiezan con un rol de «administrador» y otro de «usuario». Todo el que no es administrador es usuario. El problema es que un usuario así definido ve la agenda, la historia clínica, la facturación y la configuración del sistema. Eso incluye a la recepcionista, que no necesita ver diagnósticos, y al auxiliar, que no necesita ver facturas. Con dos roles, el principio de minimización del acceso que exige el RGPD es imposible de cumplir porque el sistema no distingue entre funciones distintas.

1.2. Veinte roles: la complejidad que nadie mantiene

El extremo opuesto es crear un rol para cada matiz. Un rol para el médico que solo pasa consulta, otro para el que también opera, otro para el que supervisa residentes, otro para el que coordina un servicio. En una clínica con veinte profesionales, hay veinte roles que solo usa una persona cada uno. Eso no es un catálogo: es una lista de permisos individuales con nombre. La primera rotación de personal lo demuestra: no hay un rol que asignar al sustituto porque cada rol estaba hecho a medida para alguien que ya no está.

1.3. Doce roles: la cobertura que se puede mantener

Doce roles cubren los perfiles de la realidad sin pretender cubrir los matices de cada persona. El rol no es el puesto: es la función en el sistema. Dos personas con puestos distintos pueden compartir rol si su función en el sistema es la misma. Y una persona con un puesto único puede tener dos roles si su función en el sistema cruza dos perfiles. El catálogo funciona porque no intenta ser un espejo del organigrama: intenta ser un modelo de los accesos necesarios.

2. Los cinco roles clínicos: quién atiende al paciente

Los roles clínicos son los que ven datos del paciente porque los necesitan para la atención directa. Cada uno ve un perímetro distinto, adaptado a lo que esa función necesita saber para hacer su trabajo.

2.1. Médico y médico jefe

El médico ve el historial completo del paciente dentro de su centro: diagnósticos, tratamientos, episodios clínicos, exploraciones y evoluciones. Puede abrir y cerrar episodios, registrar diagnósticos y prescribir tratamientos. El médico jefe ve lo mismo y además las herramientas de supervisión: estadísticas de actividad, episodios de otros médicos del servicio y la vista consolidada del centro. La diferencia entre ambos no es clínica sino organizativa: el jefe necesita la visión de conjunto para coordinar el servicio.

2.2. Enfermero y auxiliar clínico

El enfermero ve las constantes vitales, los tratamientos en curso, las instrucciones del médico y las exploraciones básicas. No ve los diagnósticos ni el historial completo de episodios pasados: ve lo que necesita para ejecutar el plan de cuidados. El auxiliar clínico ve las tareas del día, las instrucciones específicas de cada profesional y los datos mínimos del paciente para identificarlo y preparar la consulta. No ve tratamientos ni evoluciones.

2.3. Óptico-optometrista

El óptico ve las exploraciones visuales, la prescripción de lentes, las pruebas de refracción y los datos de la ficha del paciente necesarios para su función. No ve la evolución quirúrgica ni los diagnósticos de otras especialidades. En una clínica oftalmológica, el óptico es un perfil frecuente cuyo perímetro de acceso es distinto del médico y del enfermero, y tratarlo como cualquiera de los dos genera un acceso de más o un acceso de menos.

3. Los cuatro roles no clínicos: quién gestiona sin ver datos de salud

Los roles no clínicos son los que operan el día a día de la clínica sin necesitar acceso a los datos clínicos del paciente. La separación es deliberada: un administrativo no necesita ver la historia clínica para hacer su trabajo, y darle acceso es un riesgo que no aporta nada.

3.1. Recepción

Recepción ve la agenda, los datos de contacto del paciente, la información del seguro y lo necesario para confirmar citas y gestionar la sala de espera. No ve diagnósticos, tratamientos ni notas clínicas. El perímetro es estrecho a propósito: la recepción maneja volumen —ve a todos los pacientes del día— y darle acceso a datos clínicos multiplicaría la superficie de exposición sin ningún beneficio operativo.

3.2. Facturación

Facturación ve los actos facturables, los presupuestos, los cobros, los seguros y la relación entre prestaciones y tarifas. No ve el contenido del episodio clínico: ve que el episodio existe y que generó determinados actos, pero no lo que el médico escribió dentro. Esa separación permite que la facturación trabaje con la información que necesita sin tener acceso al dato de salud.

3.3. Auditor de protección de datos y administrador de la clínica

El auditor de protección de datos ve los registros de acceso, los logs de actividad y las métricas de uso del sistema. No ve el dato clínico: ve quién lo consultó, cuándo y desde dónde. El administrador de la clínica configura roles, centros, parámetros generales y usuarios, pero no puede abrir un episodio clínico ni ver un diagnóstico. El administrador decide quién ve qué; no necesita verlo él.

4. Los tres roles transversales: dirección médica, DPO y sistema

Hay funciones que no encajan limpiamente en lo clínico ni en lo administrativo. La dirección médica necesita datos clínicos y datos de gestión. El delegado de protección de datos necesita trazabilidad sin dato clínico. Y el sistema necesita ejecutar procesos automáticos sin intervención humana.

4.1. Director médico

El director médico ve los datos clínicos y los datos de gestión que necesita para supervisar la actividad asistencial del centro. Es el rol con el perímetro más amplio entre los clínicos, porque su función incluye la coordinación de servicios, la revisión de indicadores y la toma de decisiones que afectan a toda la actividad. Pero ni siquiera el director médico ve la configuración del sistema ni los parámetros de facturación, porque no son su función.

4.2. Delegado de protección de datos

El DPO necesita poder consultar el informe de accesos sin ver el dato clínico en sí. Es un perfil delicado: tiene que poder auditar quién vio qué, pero no necesita ver él mismo lo que vieron. Su rol incluye los registros de acceso, las métricas de cumplimiento y las herramientas de investigación de incidentes, sin acceso a historiales ni episodios.

4.3. Sistema

El rol de sistema no lo tiene ninguna persona: lo usan los procesos automáticos del software para ejecutar tareas programadas, migraciones y operaciones de mantenimiento. Existe como rol para que esas operaciones queden registradas con una identidad auditable, no para que nadie inicie sesión con él. Intentar usarlo como usuario devuelve un error, porque no es un rol humano.

5. La matriz de pantallas por rol: cómo se lee y cómo se usa

La matriz es una tabla donde cada fila es una pantalla del sistema y cada columna es un rol. La intersección dice si ese rol ve esa pantalla. No hay medio acceso ni condiciones: la pantalla se ve o no se ve. Es la herramienta que convierte el catálogo de roles en una política de acceso auditable.

Un rol predefinido se puede personalizar después: mejor partir de una base probada que diseñar la matriz de permisos en blanco.

5.1. Qué significa que una pantalla no esté en un rol

Cuando una pantalla no está asignada a un rol, las personas con ese rol no la ven en su menú. No aparece desactivada ni en gris: no aparece. Eso simplifica la formación —el usuario aprende a trabajar con lo que tiene— y elimina la tentación de pedir acceso a algo que «está ahí pero no me deja entrar». Lo que no existe no se pide.

5.2. Qué significa que una pantalla esté en todos los roles

Si una pantalla aparece en los doce roles, es señal de que esa pantalla no contiene datos sensibles y de que su visibilidad no necesita estar controlada. Un ejemplo sería la pantalla de inicio o la de cambio de contraseña. Si una pantalla con datos de salud está en todos los roles, es un error de diseño: esa pantalla debería estar solo en los roles clínicos que la necesitan.

6. Cómo ajustar un rol sin romper el catálogo

El catálogo de roles no es rígido: es el punto de partida. Cada clínica tiene matices que pueden requerir ajustes. Lo importante es que el ajuste se haga sobre el rol, no sobre la persona, y que quede registrado.

6.1. Añadir una pantalla a un rol

Si el enfermero de un centro concreto necesita ver los resultados de laboratorio y la configuración por defecto no los incluye, el administrador añade esa pantalla al rol de enfermero. A partir de ese momento, todos los enfermeros del sistema la ven. Si solo la necesita un enfermero concreto, la solución no es modificar el rol para todos sino asignar un segundo rol a esa persona.

6.2. Quitar una pantalla de un rol

Si un rol incluye una pantalla que la clínica ha decidido que no corresponde a esa función, el administrador la retira. El cambio se aplica a todos los que tienen el rol. Es más limpio que ir usuario por usuario, y deja un registro claro de qué cambió, cuándo y por qué.

6.3. Restaurar la configuración de fábrica

Si los ajustes acumulados han dejado un rol irreconocible, se puede volver a la configuración original con un solo paso. Eso devuelve las pantallas del rol a su estado inicial sin tocar nada más: los usuarios siguen asignados al rol y sus datos no cambian. Solo cambia lo que ven.

7. Combinar roles: el profesional con doble función

En clínicas pequeñas, una persona suele cubrir más de una función. El médico que también administra, la enfermera que también coordina citas. La solución es asignar dos roles, no crear uno nuevo. El detalle de cómo funciona la combinación y cuándo no es suficiente está en por qué el rol no es el puesto.

7.1. La unión de pantallas

Un usuario con dos roles ve la unión de las pantallas de ambos. Si el rol de médico da acceso a treinta pantallas y el rol de administrador a quince, la persona ve cuarenta y algo —menos que cuarenta y cinco si hay pantallas comunes—. No hay conflicto entre roles: cada pantalla está o no está, y la presencia en cualquiera de los dos roles la hace visible.

7.2. Cuándo deshacer la combinación

Cuando la doble función termina, se retira el rol que ya no corresponde. La persona deja de ver las pantallas de esa función y sigue viendo las de la otra. Si la combinación se hubiera hecho con un rol a medida, deshacerla habría requerido crear otro rol a medida. La diferencia es la que separa una operación de dos segundos de una de dos horas.

8. Cuándo tiene sentido crear un rol nuevo de verdad

Un rol nuevo se justifica cuando ninguna combinación de los existentes cubre una función que varias personas van a necesitar. No cuando una persona concreta necesita algo distinto: eso se resuelve combinando roles o ajustando uno.

8.1. La regla de los dos usuarios

Si un rol solo lo va a tener una persona, no es un rol: es un permiso disfrazado. Un rol nuevo tiene sentido cuando al menos dos personas van a necesitarlo. Si solo lo necesita una, la combinación de roles existentes es suficiente. Si la combinación no es suficiente, antes de crear un rol hay que preguntarse si la pantalla que falta debería estar en un rol existente.

8.2. Cuando cambia la normativa o el servicio

Un cambio normativo puede exigir que ciertos datos estén accesibles solo para un perfil nuevo que antes no existía. Un servicio nuevo puede traer pantallas que no encajan en ningún rol actual. En esos casos, el rol nuevo se diseña, se documenta y se añade al catálogo con el mismo nivel de detalle que los originales. No es un parche: es una ampliación del catálogo.

8.3. Cómo documentar el rol nuevo

El rol nuevo necesita un nombre claro, una descripción de para qué sirve, una lista de pantallas asignadas y la razón por la que se ha creado. Esa documentación es lo que permite que el siguiente administrador entienda por qué existe y quién debería tenerlo. Un rol sin documentación es un rol que nadie se atreve a tocar y que nadie entiende tres meses después.

9. Qué aporta obeliOmed al catálogo de roles de día cero

obeliOmed trae los doce roles ya configurados desde la instalación. La clínica no empieza desde cero: empieza con un catálogo funcional que puede usar tal cual o ajustar a su realidad.

9.1. Roles no borrables con restauración de fábrica

Los doce roles base no se pueden eliminar. Se pueden modificar —añadir o quitar pantallas—, pero no borrar. Eso garantiza que siempre hay un catálogo completo de referencia, incluso si la clínica ha hecho ajustes. Y si los ajustes se han ido de las manos, la restauración de fábrica devuelve cada rol a su estado original.

9.2. Cada plugin siembra su propia matriz

Cuando la clínica instala un módulo nuevo —agenda, cirugía, tratamientos, consentimientos—, las pantallas de ese módulo se asignan automáticamente a los roles que les corresponden. El administrador no tiene que configurar nada: la matriz se amplía sola. Si después quiere cambiar qué rol ve qué pantalla del módulo nuevo, puede hacerlo, pero el punto de partida ya está resuelto.