Consentimiento y datos del paciente: qué guardar, dónde y cuánto tiempo

Qué debes guardar obligatoriamente en tu clínica estética

Según la normativa española de protección de datos (LOPD) y la Ley de Autonomía del Paciente, no todo lo que recopiles sobre un paciente requiere el mismo tratamiento. Pero aquí está el problema: el 67% de las clínicas estéticas no tienen un protocolo claro de qué documentos conservar, según datos de auditorías realizadas por colegios profesionales.

Lo primero que necesitas saber es que existen dos categorías de información que tu clínica debe guardar:

Documentación obligatoria por ley:

• Consentimiento informado firmado (el documento donde el paciente acepta el tratamiento después de que le expliques riesgos y beneficios)
• Historia clínica completa (antecedentes médicos, alergias, medicamentos, contraindicaciones)
• Fotografías clínicas antes/después (si las tomas)
• Recibos y facturas (por obligaciones fiscales)
• Consentimiento de tratamiento de datos personales (RGPD)
• Documentación de incidencias o reclamaciones (si las hay)

Documentación recomendable:

• Evaluaciones de satisfacción del paciente
• Notas sobre seguimiento post-tratamiento
• Comunicaciones con el paciente sobre resultados

La confusión surge porque muchos gestores no distinguen entre "información que es útil" e "información que la ley exige guardar". Tu clínica puede recopilar datos adicionales, pero debes tener una razón documentada para hacerlo.

Plazos de conservación según el tipo de documento

Este es el apartado donde más preguntas recibe tu gestor. Los plazos no son iguales para todos los documentos.

Historia clínica y consentimiento informado

La historia clínica debe conservarse mínimo 5 años desde la última atención. Este plazo viene de la normativa sobre responsabilidad civil médica: si surge una reclamación, tienes ese margen para defenderte con documentación.

Algunos colegios profesionales recomiendan alargar este período a 10 años en tratamientos invasivos o con mayor riesgo. Es una decisión prudente si tu clínica trabaja con procedimientos como inyecciones de toxina botulínica o rellenos dérmicos.

Fotografías clínicas

Las fotos antes/después tienen un régimen especial. Puedes guardarlas mientras el paciente no pida su eliminación. Sin embargo, si usas esas imágenes con fines publicitarios o educativos, necesitas un consentimiento específico y separado del consentimiento del tratamiento. Aquí es donde muchas clínicas cometen errores: un paciente puede autorizar el tratamiento pero NO la publicación de sus fotos.

Facturas y documentación fiscal

La Agencia Tributaria exige conservar facturas y registros contables mínimo 4 años. Este plazo es independiente del médico-legal.

Datos de consentimiento RGPD

Debes conservar el registro de consentimiento (dónde consta que el paciente aceptó el tratamiento de sus datos) mientras sea paciente activo + 1 año después. Pasado ese tiempo, puedes eliminarlo si no hay base legal para mantenerlo.

Cómo almacenar esta información sin riesgo legal

Seguridad física y digital

1. Documentación en papel: Archivador cerrado en zona de acceso restringido (no en recepción). Idealmente, en una sala separada del área de atención.
2. Documentación digital: Sistema con contraseña, encriptación de datos sensibles, y acceso limitado a personal autorizado. No guardes historias clínicas en carpetas compartidas de Google Drive o Dropbox sin protección.
3. Copias de seguridad: Realiza backups periódicos (mínimo mensuales) en caso de pérdida accidental.
4. Acceso limitado: Solo médicos, enfermeras y personal administrativo necesario pueden acceder. Crea un registro de quién accede a qué información.

Destrucción segura al final del plazo

Cuando llegue el momento de eliminar documentación:

• Papel: destrucción por trituración o incineración (no tires historias clínicas a la basura)
• Digital: eliminación certificada (no simplemente borrar archivos; usa software de borrado seguro o encarga a un proveedor especializado)

Errores comunes que te expondrán a sanciones

Antes de terminar, estos son los fallos que más vemos en clínicas:

Error 1: Confundir consentimiento informado con consentimiento de datos

Son dos documentos distintos. El consentimiento informado habla del procedimiento (riesgos, beneficios, alternativas). El consentimiento RGPD habla de cómo tratas sus datos personales. Necesitas ambos, firmados por separado.

Error 2: No tener fecha de firma en los documentos

Si no consta cuándo se firmó el consentimiento, no puedes demostrar que fue antes del tratamiento. Esto invalida el documento legalmente.

Error 3: Guardar fotos sin consentimiento específico

Muchas clínicas toman fotos clínicas sin pedir permiso explícito, argumentando que "es para el historial". Técnicamente, necesitas autorización separada, incluso para uso interno.

Error 4: Mantener datos más tiempo del necesario

Guardar historias clínicas de pacientes inactivos durante 10 años cuando la ley dice 5 años te expone innecesariamente. Más datos = más riesgo de filtración = más responsabilidad.

Error 5: No tener un registro de eliminación

Cuando destruyes documentación, debes dejar constancia de cuándo, cómo y quién la eliminó. Esto te protege si alguien reclama después.

Solución práctica: qué debe incluir tu protocolo interno

Tu clínica necesita un documento interno que especifique:

1. Qué información se recoge en cada tipo de tratamiento (no es lo mismo una consulta que una inyección)
2. Quién puede acceder a cada tipo de información
3. Dónde se almacena (carpeta física, carpeta digital, software específico)
4. Cuándo se elimina (fecha de destrucción según plazo legal)
5. Cómo se elimina (método de destrucción segura)
6. Quién es responsable de cada paso (médico, gestor, recepcionista)

Este protocolo debe estar por escrito y accesible para todo el equipo. No es suficiente con "lo sabemos todos"; necesita estar documentado.

Si tu clínica usa un software de gestión de pacientes, verifica que cumpla con RGPD y que incluya funcionalidades de control de acceso y auditoría. Si necesitas información sobre qué requisitos debe cumplir un asistente de IA en tu clínica para proteger estos datos, tenemos una guía específica sobre RGPD y sistemas automatizados.

La realidad es que muchas clínicas no tienen este nivel de organización hasta que reciben una inspección o una reclamación. Para entonces, es tarde. Dedicar 2-3 horas a definir este protocolo ahora te evitará multas que pueden llegar a los 10.000 euros por incumplimiento de LOPD.

Preguntas que tu equipo se hará

¿Qué pasa si un paciente me pide que elimine sus datos antes de los 5 años?

Tienes derecho al olvido (RGPD), pero con excepciones. Si existe base legal (responsabilidad civil médica, obligación fiscal), puedes mantener los datos. Debes valorar caso a caso y documentar tu decisión.

¿Puedo usar un software en la nube para guardar historias clínicas?

Sí, pero el proveedor debe tener contrato de encargo de tratamiento (DPA) y garantizar cumplimiento RGPD. No es suficiente con que sea "un software popular". Verifica con tu proveedor que tiene estas garantías por escrito.

¿Qué hago si descubro que he perdido documentación importante?

Notifica a tu responsable legal y a la Agencia Española de Protección de Datos si la pérdida afecta a datos personales sensibles. No lo ocultes; es peor si se descubre después.

¿Necesito un consentimiento diferente para cada tipo de tratamiento?

No necesariamente el mismo documento, pero sí documentación específica para cada procedimiento. Un consentimiento genérico no es válido.