RGPD en fisioterapia: lo que tienes que saber de los datos de salud de tus pacientes

Los datos de un paciente de fisioterapia son datos de salud, una categoría especial del Reglamento (UE) 2016/679 (RGPD). Eso no significa pedir un consentimiento a cada paciente ni contratar a un consultor: significa saber qué permite el tratamiento, qué obligaciones no se pueden saltar aunque trabajes solo y cómo contestar a un paciente que pide sus datos. Aquí van los artículos clave, tal como aparecen en el texto oficial.

Por qué los datos de salud son especiales (art. 9.1)

El artículo 9.1 del RGPD dice que «quedan prohibidos el tratamiento de datos personales» de ciertas categorías, entre ellas los «datos relativos a la salud». La prohibición es la regla; lo que sigue son las excepciones del artículo 9.2.

Qué permite tratarlos en una consulta (art. 9.2.h y 9.3)

La excepción relevante para ti es la 9.2.h: el tratamiento es lícito cuando «es necesario para fines de medicina preventiva o laboral, evaluación de la capacidad laboral del trabajador, diagnóstico médico, prestación de asistencia o tratamiento de tipo sanitario o social […] sobre la base del Derecho de la Unión o de los Estados miembros o en virtud de un contrato con un profesional sanitario». El apartado 9.3 añade una condición: que el tratamiento lo realice «un profesional sujeto a la obligación de secreto profesional, o bajo su responsabilidad».

Traducido: para atender al paciente (anamnesis, notas de sesión, plan de tratamiento) tu base es la prestación de asistencia sanitaria bajo secreto profesional, no el consentimiento del paciente. Para usos que no son la asistencia (por ejemplo, enviarle comunicaciones comerciales) necesitas otra base jurídica, normalmente su consentimiento, y cumplir las normas de comunicaciones comerciales. No mezcles los dos usos en un solo papel.

El registro de actividades: también si trabajas solo (art. 30.5)

El artículo 30 obliga al responsable a llevar un registro de las actividades de tratamiento. El 30.5 exime a las organizaciones de menos de 250 personas, pero con excepciones: la exención no se aplica «a menos que el tratamiento que realice pueda entrañar un riesgo para los derechos y libertades de los interesados, no sea ocasional, o incluya categorías especiales de datos personales indicadas en el artículo 9, apartado 1». Como tratas datos de salud de forma habitual, la excepción de las 250 personas no te sirve: necesitas ese registro, por escrito (puede ser electrónico, art. 30.3). Su contenido mínimo está en el 30.1: responsable, fines, categorías de interesados y de datos, destinatarios, transferencias a terceros países, plazos de supresión y medidas de seguridad cuando sea posible.

Cuando un paciente pide sus datos: plazos (art. 12)

• Plazo: debes informar de lo actuado «en el plazo de un mes a partir de la recepción de la solicitud», prorrogable otros dos meses «teniendo en cuenta la complejidad y el número de solicitudes», avisando al interesado de la prórroga y sus motivos dentro del primer mes (art. 12.3).
• Si no das curso a la solicitud: se lo dices sin dilación y como tarde en un mes, con las razones y la posibilidad de reclamar ante la autoridad de control y ante los tribunales (art. 12.4).
• Gratis: la información y las actuaciones son a título gratuito, salvo solicitudes manifiestamente infundadas o excesivas, cuya carga de prueba es tuya (art. 12.5).
• Identidad: solo puedes pedir información adicional «cuando [tengas] dudas razonables» sobre la identidad de quien solicita (art. 12.6). Si conoces al paciente y escribe desde el correo que tienes en su ficha, normalmente no habrá dudas razonables; pide más datos solo si las hay.

Para el acceso a la historia clínica rige además el artículo 18 de la Ley 41/2002, con sus reservas (datos de terceros y anotaciones subjetivas del profesional): lo tienes en la guía de historia clínica.

Seguridad y proveedores

El registro de actividades remite a las «medidas técnicas y organizativas de seguridad a que se refiere el artículo 32, apartado 1». Sin entrar en cada medida: no dejes fichas en archivos sueltos de un ordenador personal, controla quién accede, haz copias y, si usas un programa o un servicio en la nube, firma con el proveedor el contrato de encargado del tratamiento y comprueba dónde se alojan los datos y quién más los trata. Otras obligaciones (evaluación de impacto, delegado de protección de datos) dependen de la escala de tu tratamiento; si tienes dudas, la Agencia Española de Protección de Datos tiene guías oficiales.

Dónde encaja Nerela y dónde no

Qué hace y qué no hace Nerela en esta materia, sin adornos: base de datos, autenticación y archivos alojados en la UE (París); algunos subencargados tratan datos fuera del EEE (sobre todo en EE. UU.) con las garantías del capítulo V del RGPD, con la lista publicada; el acuerdo de encargado del tratamiento está publicado, aún como borrador en revisión jurídica. Permite exportar el dossier de un paciente (para acceso y portabilidad). No sustituye tu registro de actividades ni tu análisis de riesgos: eso es tuyo como responsable.

Fuentes oficiales

• Reglamento (UE) 2016/679 (RGPD), arts. 9, 12 y 30 — texto oficial en el BOE (DOUE-L-2016-80807) — consultado el 30-10-2026
• Ley 41/2002, art. 18 (BOE) — consultado el 30-10-2026

Contenido informativo, no es asesoramiento jurídico ni fiscal. Las normas autonómicas y su interpretación pueden cambiar: confirma tu caso con tu colegio profesional o tu asesor.