Una radiografia enviada al destinatari equivocat o una sessió oberta a recepció poden comprometre la confidencialitat. Custodiar la història clínica exigeix determinar qui consulta cada dada, com es comparteix i durant quant de temps es conserva.

En clíniques dentals i mèdiques, un protocol clar ajuda a prevenir accessos injustificats, pèrdues de documentació i respostes improvisades. Els requisits generals del sector es tracten a la nostra guia de protecció de dades per a clíniques dentals; aquí abordem la custòdia.

Quina informació integra la història clínica i qui l'ha de custodiar

La història clínica reuneix els documents relatius a l'assistència d'un pacient: antecedents rellevants, proves, diagnòstics, evolució, tractaments i informes, segons el procés assistencial. També pot incloure radiografies i fotografies de seguiment clínic.

No s'ha de confondre amb qualsevol informació administrativa. Les dades de facturació o les cites requereixen protecció, però no per això s'incorporen automàticament a l'expedient assistencial. Un pressupost de tractament també pot revelar informació de salut.

El Reglament General de Protecció de Dades (RGPD) exigeix una base jurídica de l'article 6 i una condició habilitant de l'article 9 per tractar dades de salut. En l'assistència sanitària no sempre es necessita el consentiment com a base del tractament de dades. El consentiment informat per a una intervenció mèdica és una qüestió diferent.

La custòdia correspon a qui assumeix la responsabilitat del tractament. Amb professionals contractats sol recaure en el centre; en l'exercici individual, en el professional. Quan diverses entitats comparteixen instal·lacions, s'ha d'examinar la seva relació real.

Accessos interns: limitar la consulta segons cada funció

Els perfils d'accés massa amplis generen riscos. El facultatiu necessita consultar informació assistencial. Recepció pot requerir dades per concertar visites o gestionar cobraments, però no un accés general a diagnòstics aliens a les seves tasques.

L'Agència Espanyola de Protecció de Dades (AEPD) limita l'accés administratiu al que és necessari per a les seves funcions. El deure de confidencialitat afecta tota persona autoritzada, inclosos els professionals sanitaris: treballar en una clínica no habilita a revisar qualsevol expedient.

Convé definir perfils per lloc de treball, identificar usuaris, retirar permisos quan canvien les funcions i revisar els accessos segons el risc. També s'han de preveure la traçabilitat de les consultes, el bloqueig de pantalles desateses i la custòdia de documents impresos.

Aquestes mesures requereixen coordinació amb el proveïdor informàtic. Un protocol organitzatiu no substitueix la configuració tècnica de permisos, registres d'accés, còpies de seguretat o mecanismes de recuperació. El centre ha de coordinar tots dos àmbits.

Conservació i eliminació: no tots els documents tenen el mateix termini

L'article 17 de la Llei 41/2002 exigeix conservar la documentació clínica almenys cinc anys des de l'alta de cada procés assistencial. No és un termini universal per esborrar automàticament la història completa: poden existir obligacions autonòmiques, necessitats assistencials o raons judicials que exigeixin conservar-la durant més temps.

A Catalunya, l'article 12 de la Llei 21/2000 fixa quinze anys des de l'alta per a documents com ara consentiments informats, informes d'alta, informes quirúrgics, dades d'anestèsia i informes d'exploracions complementàries. Per a altres documents preveu la possibilitat de destrucció un cop transcorreguts cinc anys, amb excepcions vinculades a la seva rellevància assistencial o altres finalitats previstes legalment.

Una clínica de Barcelona no ha de copiar sense més la taula de conservació d'una altra comunitat. Ha de classificar els documents i definir qui autoritza l'expurgació.

La destrucció ha d'impedir accessos o reconstruccions indegudes. Digitalitzar tampoc permet descartar originals sense comprovar les exigències aplicables.

Com compartir informes, radiografies i dades amb tercers

Les comunicacions a laboratoris, especialistes, asseguradores o proveïdors informàtics necessiten una finalitat definida. Abans de l'enviament cal comprovar les dades necessàries, el destinatari i el canal.

No tot col·laborador extern és automàticament un encarregat del tractament. Un proveïdor que processa informació seguint instruccions de la clínica pot necessitar el contracte previst a l'article 28 del RGPD. Un altre professional o entitat que decideix autònomament les seves finalitats i mitjans pot actuar com a responsable independent. La qualificació depèn de la relació efectiva, no només del nom del proveïdor.

Convé verificar els destinataris, utilitzar canals adequats al risc i evitar enllaços públics o permisos indiscriminats. Si s'utilitzen serveis al núvol, s'han de revisar les condicions d'accés, les subcontractacions i, quan correspongui, les transferències internacionals.

La publicació d'imatges clíniques amb finalitats promocionals requereix una anàlisi separada de l'assistència. No s'ha de pressuposar que l'autorització per realitzar o documentar un tractament permet divulgar fotografies identificables en una web o xarxa social.

Drets dels pacients i incidències de seguretat

Un pacient pot sol·licitar accés a la seva història clínica i obtenir-ne una còpia, amb els límits establerts per protegir la confidencialitat de tercers i determinades anotacions subjectives dels professionals. El centre ha de verificar la identitat i respondre dins del termini general d'un mes del RGPD, ampliable en determinats supòsits.

També s'ha de distingir una petició de rectificació d'una de supressió. El dret de supressió no permet eliminar documentació que la clínica està obligada a conservar. Cada resposta s'ha de motivar, sense denegacions automàtiques.

Si s'envia un informe a una altra persona o es detecta un accés no autoritzat, primer cal contenir la incidència, documentar el que ha passat i avaluar el risc per a les persones afectades. Quan la violació de seguretat probablement comporti un risc per als seus drets i llibertats, el responsable ha de notificar-la a l'autoritat competent, en principi dins de les 72 hores des que en tingui constància. Si existeix un risc alt, pot ser necessari informar també els pacients. Totes les violacions de seguretat s'han de documentar, encara que no exigeixin notificació.

Preguntes freqüents sobre la custòdia d'històries clíniques

Pot recepció consultar tota la història clínica?

No de manera indiscriminada. Només ha d'accedir a les dades necessàries per exercir les seves funcions. La clínica ha de configurar permisos coherents amb les tasques de cada lloc de treball i exigir confidencialitat.

És obligatori designar un delegat de protecció de dades?

La LOPDGDD exigeix un delegat de protecció de dades als centres sanitaris obligats a mantenir històries clíniques. N'exceptua els professionals sanitaris que exerceixen a títol individual, sense perjudici d'altres supòsits legals que puguin exigir-ne la designació.

Pot un pacient exigir que s'esborri el seu historial en deixar la clínica?

Pot exercir el seu dret de supressió, però la clínica ha de valorar les obligacions de conservació i altres excepcions legals. Haver finalitzat un tractament no implica que es pugui destruir immediatament la documentació assistencial.

Una custòdia adequada exigeix revisar accessos, responsabilitats, conservació, comunicacions i incidències sense interferir innecessàriament en l'assistència.

SIBPRODASA ofereix assessorament per a centres sanitaris privats en matèria de protecció de dades, revisió de fluxos d'informació, documentació i protocols organitzatius. Si la teva clínica necessita revisar la custòdia dels seus expedients, consulta el servei de protecció de dades per a centres sanitaris privats i planteja les particularitats de la teva activitat.