En la mayoría de las clínicas privadas españolas conviven dos errores simétricos. El primero: se le pide al paciente que firme un consentimiento para tratar sus datos que, para la historia clínica, no hace ninguna falta. El segundo: no se tiene designado un delegado de protección de datos que, para muchos centros, la ley sí exige nombrar.
Los dos salen de la misma confusión, que es tratar la protección de datos como un trámite de papeles en lugar de leer qué dice exactamente la norma. Este artículo va con los artículos delante: el Reglamento General de Protección de Datos, la Ley Orgánica 3/2018 que lo desarrolla en España y la Ley 41/2002, que es la que manda sobre la historia clínica y que a menudo se olvida en esta conversación.
El consentimiento no es la base legal de la historia clínica
El artículo 9.1 del RGPD prohíbe, como punto de partida, tratar datos relativos a la salud. Es una prohibición general, igual que la que afecta al origen étnico, a las convicciones religiosas o a la orientación sexual. Si la historia se quedara ahí, no se podría ejercer la medicina.
La salida está en el artículo 9.2, que enumera diez excepciones. La primera, la letra a), es el consentimiento explícito, y es la que todo el mundo conoce. Pero para una clínica la que importa es la letra h): el tratamiento es lícito cuando es necesario para fines de medicina preventiva o laboral, evaluación de la capacidad laboral del trabajador, diagnóstico médico, prestación de asistencia sanitaria o gestión de los sistemas de asistencia sanitaria, sobre la base del Derecho de la Unión o de los Estados miembros, o en virtud de un contrato con un profesional sanitario.
Y el artículo 9.3 añade la condición que lo cierra: esos datos solo pueden tratarse al amparo de la letra h) cuando los trate un profesional sujeto a la obligación de secreto profesional, o alguien bajo su responsabilidad. En España, el artículo 9.2 de la Ley Orgánica 3/2018 exige además que el tratamiento esté amparado en una norma con rango de ley, papel que cumple la Ley 41/2002.
Conclusión: cuando una clínica abre la historia de un paciente al que va a atender, su base de licitud es la asistencia sanitaria, no el consentimiento. Pedir consentimiento para eso no solo sobra: es contraproducente. Un consentimiento se puede retirar en cualquier momento, y si esa fuera la base legal, retirarlo obligaría a dejar de tratar los datos. Pero la clínica no puede borrar la historia clínica aunque el paciente lo pida, porque otra ley se lo impide, como se ve más abajo. Se habría construido una obligación imposible de cumplir.
Para qué sí hace falta el consentimiento
Para todo lo que no es asistencia. Y ahí sí, explícito y separado:
- Comunicaciones comerciales: newsletters, promociones, campañas de captación, encuestas de marketing.
- Fotografías clínicas con fines distintos del asistencial: publicarlas en la web, en redes o en material divulgativo es otra cosa que tomarlas para el seguimiento del caso.
- Cesión a terceros que no intervienen en la asistencia.
- Tratamientos con fines de investigación fuera de los supuestos que la propia norma contempla.
La regla práctica es sencilla: un documento para la asistencia, que informa pero no pide permiso, y consentimientos separados, uno por finalidad, para lo demás. Mezclarlo todo en una sola firma al llegar a recepción es justo lo que la Agencia Española de Protección de Datos considera un consentimiento no válido, porque no es específico ni se puede retirar por partes.
El delegado de protección de datos: a quién obliga de verdad
Aquí está la obligación que más se incumple, y es específicamente española. El artículo 34.1 de la Ley Orgánica 3/2018 enumera los responsables y encargados que deben designar un delegado de protección de datos en todo caso, y su letra l) incluye a los centros sanitarios legalmente obligados al mantenimiento de las historias clínicas de los pacientes.
Es decir: no depende de que trates datos "a gran escala", que es el criterio general del RGPD y el que todo el mundo invoca para concluir que una clínica pequeña no lo necesita. Si eres un centro sanitario obligado a mantener historias clínicas, entras por la letra l) sin más discusión.
La excepción está en el mismo apartado y es la que salva al profesional individual: quedan exceptuados los profesionales de la salud que, aun estando legalmente obligados al mantenimiento de las historias clínicas, ejerzan su actividad a título individual. Un médico que pasa consulta solo, con su propio fichero de pacientes, no está obligado a nombrar delegado. Un centro con varios profesionales, sí.
El delegado puede ser alguien de la plantilla o un tercero contratado, y su designación se comunica a la Agencia Española de Protección de Datos. Lo que no puede es ser una figura nominal: tiene que poder actuar con independencia y participar en las decisiones que afecten a datos personales.
Catorce años, no dieciséis
El RGPD fija en dieciséis años la edad a partir de la cual un menor puede consentir por sí mismo en los servicios de la sociedad de la información, pero permite a los Estados bajarla hasta los trece. España la bajó.
El artículo 7.1 de la Ley Orgánica 3/2018 establece que el tratamiento de los datos personales de un menor únicamente podrá fundarse en su consentimiento cuando sea mayor de catorce años. Por debajo, hace falta el consentimiento del titular de la patria potestad o de la tutela.
Donde esto se nota en una clínica es en la cita online, en el portal del paciente y en las comunicaciones comerciales: cualquier formulario que recoja datos de un menor de catorce años necesita la intervención de un adulto responsable, y el sistema tiene que dejar constancia de ello. Conviene revisarlo, porque muchos formularios heredados siguen con el umbral de dieciséis del texto europeo.
El derecho al olvido no borra la historia clínica
Es la petición incómoda que antes o después llega a recepción: un paciente que quiere que se eliminen todos sus datos. La respuesta correcta no es ni que sí ni que no, sino que depende de qué datos.
El artículo 17.1 de la Ley 41/2002 obliga a conservar la documentación clínica en condiciones que garanticen su mantenimiento y su seguridad, "el tiempo adecuado a cada caso y, como mínimo, cinco años contados desde la fecha del alta de cada proceso asistencial". Fíjate en el detalle: el plazo no cuenta desde la última visita del paciente, sino desde el alta de cada proceso, lo que en la práctica obliga a razonar proceso a proceso. Y añade que no es preciso conservarla en el soporte original, lo que legitima la digitalización.
Hay además documentación que no se elimina nunca: los datos de la historia relativos al nacimiento, incluidas las pruebas de filiación materna, que tras el fallecimiento del paciente se trasladan a los archivos públicos correspondientes.
El mismo artículo reparte responsabilidades: en los centros con pacientes hospitalizados, o con un volumen suficiente, la gestión corresponde a la unidad de admisión y documentación clínica y la custodia a la dirección del centro (apartado 4); los profesionales que ejercen de forma individual son responsables de la gestión y custodia de la documentación que generan (apartado 5). No se puede delegar la custodia en el proveedor de software: el proveedor es encargado del tratamiento, el responsable sigue siendo la clínica.
Así que, ante la petición de borrado, lo correcto es suprimir lo que sí se puede suprimir, típicamente los datos tratados con fines comerciales y los consentimientos de marketing, y explicar por escrito por qué la historia clínica se conserva, citando el artículo. Es una respuesta que la Agencia acepta y que el paciente entiende.
Las primeras 72 horas de una brecha
Una brecha de seguridad no es solo que alguien robe datos. El artículo 33 del RGPD habla de cualquier violación de la seguridad de los datos personales, lo que incluye la destrucción, la pérdida o la alteración accidental, y también la simple pérdida de disponibilidad. Un servidor cifrado por un ransomware, un portátil extraviado o una base de datos borrada sin copia son brechas, aunque nadie haya visto un solo dato.
La obligación: notificar a la autoridad de control sin dilación indebida y, de ser posible, a más tardar 72 horas después de que el responsable tenga constancia de la violación, salvo que sea improbable que suponga un riesgo para los derechos y libertades de las personas. Si se notifica más tarde, hay que explicar por qué.
La notificación debe contener, como mínimo, la naturaleza de la violación con el número aproximado de afectados y de registros, los datos de contacto del delegado de protección de datos o del punto de contacto, las consecuencias probables y las medidas adoptadas o propuestas. Si no se tiene todo, se puede notificar por fases.
Y hay una obligación que se cumple siempre, se notifique o no: documentar toda violación, con sus hechos, sus efectos y las medidas correctivas, de forma que la autoridad pueda verificar el cumplimiento. En la práctica eso significa tener un registro de incidentes, aunque solo tenga una entrada en cinco años.
Tres días hábiles no dan para improvisar. Lo que marca la diferencia es tener decidido de antemano quién decide si hay brecha, quién redacta la notificación y de dónde se saca el número de afectados.
Las multas, y por qué no son lo importante
El artículo 83 del RGPD establece dos tramos. El del apartado 4 llega a 10 millones de euros o, en el caso de una empresa, al 2 % del volumen de negocio total anual global del ejercicio anterior, optándose por la cuantía mayor; cubre las obligaciones de los artículos 8, 11 y 25 a 39, entre las que está la seguridad del tratamiento. El del apartado 5 llega a 20 millones o al 4 %, y cubre los principios básicos del tratamiento y las condiciones del consentimiento (artículos 5, 6, 7 y 9) y los derechos de los interesados (artículos 12 a 22).
Citar esas cifras a una clínica de cinco personas es, siendo honestos, una técnica de venta y no un análisis. Las sanciones se gradúan, y lo que de verdad cuesta en un centro pequeño no es la multa: es el tiempo del equipo durante una inspección, la pérdida de confianza de los pacientes cuyos datos se han visto afectados y, en el peor caso, la interrupción de la actividad mientras se recuperan los sistemas.
El orden sensato de prioridades, por tanto, no es el de la lista de sanciones sino el del riesgo real: primero que los datos no se pierdan, después que solo los vea quien debe verlos, y después el papeleo.
La parte que sí se resuelve con el software
Buena parte de lo anterior se traduce en requisitos muy concretos sobre el sistema donde vive la historia clínica: que los accesos estén limitados por rol, que quede registro de quién ha entrado en qué ficha y cuándo, que los datos estén cifrados en tránsito y en reposo, que haya copias de seguridad reales y recuperables, y que todo ello esté dentro de la Unión Europea.
En DriCloud eso viene de serie: cifrado SSL de 256 bits en la transmisión y cifrado también en el servidor, una nube privada por clínica para que los datos de dos clientes no compartan base de datos, copias de seguridad diarias cifradas y replicadas en Alemania y Francia, permisos por rol con restricción de acceso por IP, doble factor de autenticación y auditoría completa de cada acción con su autor y su fecha. Lo contamos entero en la página de seguridad y cumplimiento.
Lo que ningún software resuelve es lo otro: la base legal que eliges, el delegado que nombras y lo que haces en las primeras 72 horas. Eso sigue siendo decisión de la clínica.
Si quieres profundizar en la parte de copias de seguridad, que es la que más clínicas dan por hecha, está desarrollada en copias de seguridad en una clínica.
