LGPD en la historia clínica y las fotos de la clínica de HOF
La historia clínica y las fotos son el material más valioso y más sensible de una clínica de armonización orofacial (HOF). Valioso porque sustentan la atención, la planificación y la defensa del profesional. Sensible porque revelan salud, rostro y, muchas veces, la intimidad del paciente. La Ley General de Protección de Datos de Brasil (LGPD) trata este tipo de información con especial atención, y la clínica que no se organiza corre el riesgo de filtraciones, de reclamos y de perder la confianza del paciente.
Esta guía trae lo esencial de la LGPD aplicado a la historia clínica y las fotos: qué es un dato sensible, en qué base legal se apoya el tratamiento, quién debe tener acceso, cómo conservar y descartar, y cómo responder al paciente. Es una orientación general, no un dictamen jurídico: la aplicación a tu caso debe confirmarse con asesoría especializada y con las normas de tu consejo profesional.
¿Qué considera la LGPD un dato sensible?
La información sobre salud son datos personales sensibles. La historia clínica, la anamnesis, los motivos de consulta, los medicamentos en uso, las alergias y los registros de procedimientos entran ahí. La foto del rostro de un paciente en atención de salud suele tratarse con el mismo cuidado, porque revela la condición clínica e identifica a la persona. Cuando el rostro sirve para identificar a alguien automáticamente, puede además ser un dato biométrico facial.
En la práctica, esto significa tres cuidados: finalidad clara (para qué se usa el dato), necesidad (solo lo que hace falta) y seguridad (quién accede y cómo se protege). Consulta consentimiento y LGPD para fotos.
¿En qué se apoya el tratamiento?
La LGPD exige una base legal para tratar datos. En una clínica, las más comunes suelen ser:
| Uso | Base que suele aplicarse | Observación |
|---|---|---|
| Historia clínica de la atención | Tutela de la salud y obligación legal o regulatoria | Hay deberes de registro y conservación definidos por norma |
| Consentimientos del procedimiento | Consentimiento informado clínico | Acto distinto del consentimiento de la LGPD |
| Foto como parte de la historia clínica | Tutela de la salud, según el caso | Registro clínico, con acceso restringido |
| Uso de la foto en simulación por IA | Consentimiento específico, por regla general | Consulta IA con la foto del paciente |
| Divulgación en redes sociales o sitio web | Consentimiento específico por escrito, cuando esté permitido | Depende de la norma del consejo |
| Mensaje de marketing | Consentimiento | Consulta LGPD en el marketing de la clínica |
Cuidado con la confusión más común: el consentimiento para el procedimiento (consentimiento informado) no es el consentimiento para divulgar la imagen. Son documentos distintos, con finalidades distintas. Consulta el modelo de consentimiento de uso de imagen del paciente.
¿Quién debe tener acceso?
El principio es el del mínimo privilegio: cada persona accede solo a lo que necesita para trabajar. En la práctica:
- El profesional responsable ve la historia clínica completa de sus pacientes.
- La recepción ve datos de agenda y de contacto, pero no necesariamente el historial clínico ni las fotos.
- Los terceros (contador, empresa de TI, marketing) no deben ver historias clínicas ni fotos.
- Los practicantes y los empleados nuevos acceden solo a lo necesario, después de recibir capacitación y de firmar un compromiso de confidencialidad.
Define una regla simple, por escrito, y revísala cuando cambie el equipo. Consulta delegar tareas en la clínica de HOF y contratar a un recepcionista.
Dónde y cómo guardar
Historia clínica
En papel: armario con llave, en una sala de acceso controlado. En un sistema: inicio de sesión individual, contraseña segura, copia de seguridad y registro de quién accedió. Evita las planillas sueltas y los cuadernos personales.
Fotos
Las fotos clínicas deben quedar en un lugar controlado por la clínica, vinculadas a la historia clínica y nombradas de forma que no expongan al paciente fuera del sistema. Evita dejarlas en la galería del celular personal, en grupos de WhatsApp y en carpetas compartidas sin contraseña. Consulta enviar la foto del paciente por WhatsApp y la LGPD y la lista de verificación de fotos estandarizadas.
Seguridad básica
- Contraseña en celulares, computadoras y sistemas.
- Copia de seguridad en un lugar protegido.
- Actualización del software.
- Cuidado con las redes de Wi-Fi abiertas al enviar datos.
- Capacitación rápida del equipo sobre estafas de phishing.
Conservación y descarte
La clínica no debe conservar para siempre ni borrar por su cuenta. Los plazos de conservación de la historia clínica los definen normas legales y de los consejos, y pueden variar según la profesión y el tipo de registro. El camino seguro:
- Averiguar el plazo aplicable a tu profesión y a tu tipo de documento (consulta a tu consejo y a tu asesoría).
- Registrar ese plazo en la política de retención de la clínica.
- Al final del plazo, descartar de forma segura (destrucción del papel, eliminación definitiva en el sistema y en las copias de seguridad).
- Registrar el descarte, sin exponer el contenido.
Las fotos que no forman parte de la historia clínica, como las imágenes para divulgación con consentimiento, deben descartarse cuando el consentimiento termine o se retire. Consulta descarte de fotos y datos del paciente.
Derechos del paciente
La LGPD da al titular derechos como confirmar que hay tratamiento, acceder a los datos, corregir lo que esté equivocado, pedir información sobre el intercambio de datos y, en ciertas situaciones, pedir la eliminación. No toda solicitud puede atenderse por completo: los datos que la clínica debe mantener por obligación legal permanecen, y la respuesta debe explicarlo.
Ten un camino claro: un canal (correo electrónico o formulario) para recibir la solicitud, un responsable, un plazo interno para responder y un registro de la atención. Consulta encargado de datos LGPD en la clínica.
Incidente: qué hacer si hay una filtración
Pérdida de un celular con fotos, un correo enviado a la persona equivocada, un sistema vulnerado: todo eso puede ser un incidente de seguridad. Ten un plan simple:
- Contener (cambiar contraseñas, desactivar accesos, localizar el dispositivo).
- Evaluar qué se expuso y a quién afectó.
- Registrar lo ocurrido.
- Evaluar con asesoría jurídica la necesidad de comunicar al paciente y a la autoridad, conforme a la ley.
- Corregir la causa y capacitar al equipo.
Cuanto antes reaccione la clínica, menor el daño. Evitar el incidente sigue siendo mejor que remediarlo.
Errores comunes
- Creer que el consentimiento del procedimiento cubre la divulgación de imágenes.
- Guardar fotos en el celular personal, sin contraseña.
- Enviar la historia clínica o una foto por un canal no protegido.
- Dar acceso total a todo el equipo.
- Borrar o conservar todo sin una política.
- No tener un canal para que el paciente ejerza sus derechos.
- Publicar la foto de un paciente sin autorización específica por escrito.
Cómo entra Harmy en esto
En Harmy, el profesional da su aceptación en la app antes del envío de la foto a una IA de terceros. Los contornos del rostro se calculan en el dispositivo y no se guardan. Las rutas públicas del enlace del paciente no devuelven el nombre del paciente. La cuenta se puede eliminar dentro de la app. Eso no sustituye la política de LGPD de la clínica: la historia clínica, el consentimiento del paciente, la conservación y el descarte siguen siendo responsabilidad del profesional.
Resumen
Trata la historia clínica y las fotos como datos sensibles: finalidad clara, base legal revisada, acceso restringido, conservación y descarte con una política escrita, y consentimiento separado para la divulgación y para la IA. Capacita al equipo, ten un plan para incidentes y responde al paciente con transparencia.
Preguntas frecuentes
¿La historia clínica y las fotos de los pacientes son datos sensibles según la LGPD?
La información de salud son datos personales sensibles, y las fotos en el contexto de la atención suelen tratarse con el mismo cuidado. El tratamiento exige una base legal, una finalidad definida, seguridad y acceso restringido.
¿Necesito consentimiento para conservar la historia clínica?
No siempre. La conservación de la historia clínica puede apoyarse en una obligación legal o regulatoria y en la tutela de la salud, según el caso. En cambio, los usos adicionales, como la divulgación, piden consentimiento específico. Confirma la base legal con asesoría jurídica.
¿Por cuánto tiempo debo conservar la historia clínica y las fotos?
Hay plazos definidos por normas legales y de los consejos profesionales, que varían. Consulta las normas de tu consejo y a tu asesoría jurídica antes de descartar. No borres por tu cuenta ni conserves para siempre sin motivo.
¿El paciente puede pedir una copia o la eliminación de sus datos?
La LGPD prevé derechos del titular, como acceso, corrección y, en ciertos casos, eliminación. Los datos que la clínica debe mantener por obligación legal no pueden borrarse a pedido. Ten un procedimiento claro para recibir y responder solicitudes.
¿Puedo guardar fotos de pacientes en mi celular personal?
Es arriesgado. Un celular personal suele tener copia de seguridad en la nube, acceso de terceros y riesgo de pérdida o robo. Prefiere un entorno controlado por la clínica, con contraseña, cifrado cuando sea posible y una política de descarte.