Blog
Cómo configurar roles y permisos en la clínica
Que todos vean todas las pantallas no es comodidad, es riesgo. Cómo dar solo el acceso que requiere cada trabajo.
¿Por qué no deberían todos verlo todo?
El motivo no es solo la confianza.
En las clínicas pequeñas, el tema de los permisos suele cerrarse con un "aquí confiamos unos en otros". La confianza puede ser real, pero el motivo de asignar permisos no es la desconfianza.
El primer motivo es legal: los datos de salud son datos personales de categoría especial y se espera que el acceso se limite a lo que exige el trabajo. En un entorno donde todos acceden a todos los registros, no puede demostrar ese límite.
El segundo es práctico: quién hizo una operación solo puede saberse si hay permisos y usuarios separados. En una clínica que trabaja con una cuenta compartida, nunca se sabrá quién borró por error un registro.
El tercero es la sencillez. Quien no ve pantallas innecesarias trabaja más rápido; limitar permisos también simplifica la interfaz.
Roles habituales y lo que ven
Para empezar, cuatro roles bastan en la mayoría de las clínicas.
Todos los módulos e informes. Suele ser el único rol que puede cambiar la definición de permisos.
La historia clínica, el plan de tratamiento y las citas de sus propios pacientes. En finanzas, suele bastar con ver solo sus propias operaciones.
Citas, registro de pacientes y cobros. El acceso a las notas clínicas no suele ser necesario y se recomienda no abrirlo.
Consulta de citas e información limitada del paciente. El permiso de escritura se limita a los campos que exige el trabajo.
Estos cuatro roles son una plantilla inicial; cambian según el funcionamiento de cada clínica. Lo importante no es el nombre del rol, sino que esté por escrito qué puede hacer en cada pantalla.
Lectura, escritura y control total
Los permisos no son sí/no: tienen tres niveles.
Plantear los permisos como "accede / no accede" se queda corto en la mayoría de las clínicas. Recepción necesita ver los cobros, pero no borrarlos; el profesional necesita ver las citas, pero quizá no cambiar las de otro.
Por eso son más sanos tres niveles por módulo: lectura, escritura y control total. Lectura es ver la información; escritura, añadir y editar registros; control total incluye borrar y cambiar ajustes.
En Clineo, la matriz de permisos funciona con esta lógica: cada rol tiene un valor por defecto y encima se pueden definir excepciones por persona. Lo explicamos en detalle en la página de seguridad.
Algunos registros deben ocultarse según el rol
Sobre todo en psicología y psiquiatría.
No todos los registros clínicos tienen la misma sensibilidad. Las notas de sesión de terapia, las evaluaciones psiquiátricas y registros similares no deberían estar abiertos ni siquiera para el resto del personal. Más que confidencialidad, es una exigencia profesional.
En la práctica, hay que lograr esto: que la información de citas y cobros se vea en recepción, mientras el contenido de la nota de sesión queda solo en manos del especialista que la realizó. Ver que existe una historia y leer su contenido deben ser cosas distintas.
Describimos una estructura que respalda esta separación en la página de notas de sesión confidenciales.
Personal que se va y registro de auditoría
Los dos pasos que más se olvidan.
La parte más olvidada de los permisos es la salida. Si el acceso de quien deja el trabajo no se cierra el mismo día, el riesgo sigue en silencio; en la mayoría de las clínicas se nota meses después.
Desactivar la cuenta el día de la salida debería ser un paso estándar.
Si se borra la cuenta, también puede perderse el rastro de lo que esa persona hizo. Desactivarla corta el acceso y conserva el registro.
Si hay una contraseña compartida, debe cambiarse. La verdadera solución es no usar contraseñas compartidas.
Si se registra quién abrió registros sensibles y cuándo, puede revisarse el periodo previo a la salida.
¿No es excesivo gestionar permisos en una clínica pequeña?
¿Debe el profesional ver pacientes que no son suyos?
¿Se guarda el historial de cambios de permisos?
¿Los permisos por rol son obligatorios según la KVKK?
Páginas relacionadas
Siga leyendo.
Si quiere probarlo
Lleve su clínica a un solo panel.
Pruébelo gratis 14 días, con sus propios pacientes y a su manera.