Una radiografía enviada al destinatario equivocado o una sesión abierta en recepción pueden comprometer la confidencialidad. Custodiar la historia clínica exige determinar quién consulta cada dato, cómo se comparte y cuánto tiempo se conserva.

En clínicas dentales y médicas, un protocolo claro ayuda a prevenir accesos injustificados, pérdidas de documentación y respuestas improvisadas. Los requisitos generales del sector se tratan en nuestra guía de protección de datos para clínicas dentales; aquí abordamos la custodia.

Qué información integra la historia clínica y quién debe custodiarla

La historia clínica reúne los documentos relativos a la asistencia de un paciente: antecedentes relevantes, pruebas, diagnósticos, evolución, tratamientos e informes, según el proceso asistencial. También puede incluir radiografías y fotografías de seguimiento clínico.

No debe confundirse con cualquier información administrativa. Los datos de facturación o las citas requieren protección, pero no por ello se incorporan automáticamente al expediente asistencial. Un presupuesto de tratamiento también puede revelar información de salud.

El Reglamento General de Protección de Datos (RGPD) exige una base jurídica del artículo 6 y una condición habilitante del artículo 9 para tratar datos de salud. En la asistencia sanitaria no siempre se necesita el consentimiento como base del tratamiento de datos. El consentimiento informado para una intervención médica es una cuestión distinta.

La custodia corresponde a quien asume la responsabilidad del tratamiento. Con profesionales contratados suele recaer en el centro; en el ejercicio individual, en el profesional. Cuando comparten instalaciones varias entidades, debe examinarse su relación real.

Accesos internos: limitar la consulta según cada función

Los perfiles de acceso demasiado amplios generan riesgos. El facultativo necesita consultar información asistencial. Recepción puede requerir datos para concertar visitas o gestionar cobros, pero no acceso general a diagnósticos ajenos a sus tareas.

La Agencia Española de Protección de Datos (AEPD) limita el acceso administrativo a lo necesario para sus funciones. El deber de confidencialidad alcanza a toda persona autorizada, incluidos los profesionales sanitarios: trabajar en una clínica no habilita a revisar cualquier expediente.

Conviene definir perfiles por puesto, identificar usuarios, retirar permisos al cambiar funciones y revisar los accesos según el riesgo. También deben preverse la trazabilidad de consultas, el bloqueo de pantallas desatendidas y la custodia de documentos impresos.

Estas medidas requieren coordinación con el proveedor informático. Un protocolo organizativo no sustituye la configuración técnica de permisos, registros de acceso, copias de seguridad o mecanismos de recuperación. El centro debe coordinar ambos ámbitos.

Conservación y eliminación: no todos los documentos tienen el mismo plazo

El artículo 17 de la Ley 41/2002 exige conservar la documentación clínica al menos cinco años desde el alta de cada proceso asistencial. No es un plazo universal para borrar automáticamente la historia completa: pueden existir obligaciones autonómicas, necesidades asistenciales o razones judiciales que exijan conservarla durante más tiempo.

En Cataluña, el artículo 12 de la Ley 21/2000 fija quince años desde el alta para documentos como consentimientos informados, informes de alta, informes quirúrgicos, datos de anestesia e informes de exploraciones complementarias. Para otros documentos contempla la posibilidad de destrucción transcurridos cinco años, con excepciones vinculadas a su relevancia asistencial u otras finalidades legalmente previstas.

Una clínica de Barcelona no debe copiar sin más la tabla de conservación de otra comunidad. Debe clasificar documentos y definir quién autoriza el expurgo.

La destrucción debe impedir accesos o reconstrucciones indebidas. Digitalizar tampoco permite descartar originales sin comprobar las exigencias aplicables.

Cómo compartir informes, radiografías y datos con terceros

Las comunicaciones a laboratorios, especialistas, aseguradoras o proveedores informáticos necesitan una finalidad definida. Antes del envío hay que comprobar datos necesarios, destinatario y canal.

No todo colaborador externo es automáticamente un encargado del tratamiento. Un proveedor que procesa información siguiendo instrucciones de la clínica puede necesitar el contrato previsto en el artículo 28 del RGPD. Otro profesional o entidad que decide autónomamente sus fines y medios puede actuar como responsable independiente. La calificación depende de la relación efectiva, no solo del nombre del proveedor.

Conviene verificar destinatarios, emplear canales adecuados al riesgo y evitar enlaces públicos o permisos indiscriminados. Si se utilizan servicios en la nube, deben revisarse las condiciones de acceso, las subcontrataciones y, cuando proceda, las transferencias internacionales.

La publicación de imágenes clínicas con fines promocionales requiere un análisis separado de la asistencia. No debe presumirse que la autorización para realizar o documentar un tratamiento permite divulgar fotografías identificables en una web o red social.

Derechos de los pacientes e incidencias de seguridad

Un paciente puede solicitar acceso a su historia clínica y obtener copia, con los límites establecidos para proteger la confidencialidad de terceros y determinadas anotaciones subjetivas de profesionales. El centro debe verificar la identidad y responder dentro del plazo general de un mes del RGPD, ampliable en determinados supuestos.

También debe distinguirse una petición de rectificación de otra de supresión. El derecho de supresión no permite eliminar documentación que la clínica está obligada a conservar. Cada respuesta debe motivarse, sin denegaciones automáticas.

Si se envía un informe a otra persona o se detecta un acceso no autorizado, primero hay que contener la incidencia, documentar lo ocurrido y evaluar el riesgo para los afectados. Cuando la brecha probablemente entrañe un riesgo para sus derechos y libertades, el responsable debe notificarla a la autoridad competente, en principio dentro de las 72 horas desde que tenga constancia. Si existe un alto riesgo, puede ser necesario informar también a los pacientes. Todas las brechas deben documentarse, aunque no exijan notificación.

Preguntas frecuentes sobre la custodia de historias clínicas

¿Puede recepción consultar toda la historia clínica?

No de forma indiscriminada. Solo debe acceder a los datos necesarios para desempeñar sus funciones. La clínica tiene que configurar permisos coherentes con las tareas de cada puesto y exigir confidencialidad.

¿Es obligatorio designar un delegado de protección de datos?

La LOPDGDD exige un delegado de protección de datos a los centros sanitarios obligados a mantener historias clínicas. Exceptúa a los profesionales sanitarios que ejercen a título individual, sin perjuicio de otros supuestos legales que puedan exigir su designación.

¿Puede un paciente exigir que se borre su historial al dejar la clínica?

Puede ejercer su derecho de supresión, pero la clínica debe valorar las obligaciones de conservación y otras excepciones legales. Haber finalizado un tratamiento no implica que pueda destruirse inmediatamente la documentación asistencial.

Una custodia adecuada exige revisar accesos, responsabilidades, conservación, comunicaciones e incidencias sin interferir innecesariamente en la asistencia.

SIBPRODASA ofrece asesoramiento para centros sanitarios privados en materia de protección de datos, revisión de flujos de información, documentación y protocolos organizativos. Si tu clínica necesita revisar la custodia de sus expedientes, consulta el servicio de protección de datos para centros sanitarios privados y plantea las particularidades de tu actividad.