Acceso indebido a la historia clínica: qué hacer cuando la traza revela algo

1. Qué es un acceso indebido y cómo se distingue de un acceso legítimo

Un acceso indebido no es siempre un ataque. La mayoría de las veces es un empleado con credenciales válidas que abre un historial para el que no tiene justificación asistencial. La recepcionista que consulta el historial de una compañera de trabajo. El médico que mira los datos de un familiar por curiosidad. El informático que navega por fichas de pacientes para comprobar que una actualización funcionó. Todos tienen acceso al sistema; ninguno tenía motivo clínico para abrir esa historia concreta.

1.1. El criterio no es técnico: es asistencial

Un acceso es legítimo cuando existe una relación asistencial directa entre el profesional y el paciente en el momento del acceso. El médico que atiende al paciente esta mañana consulta su historial de forma legítima. El mismo médico consultando el historial del mismo paciente tres meses después de darle el alta, sin nueva cita ni derivación, está realizando un acceso que carece de justificación. El sistema técnico permite los dos accesos exactamente igual; la diferencia es la relación asistencial, y eso solo lo puede evaluar una persona.

1.2. Los tres tipos más frecuentes de acceso indebido en clínicas

El primero es la curiosidad: alguien consulta el historial de un conocido, una persona pública o un compañero de trabajo. El segundo es la conveniencia: un profesional accede a datos que no necesita para su función porque el sistema no le impide hacerlo y le resulta más rápido que pedir el dato por el canal correcto. El tercero es la cobertura: alguien accede a un historial para comprobar qué se registró después de un incidente clínico, antes de que se inicie una investigación. Los tres son indebidos. Los tres quedan registrados en la traza. Y los tres requieren una respuesta proporcionada pero distinta.

2. Cómo la traza de accesos revela lo que no debería haber ocurrido

La traza de accesos es el registro automático que guarda quién ha abierto cada historia clínica, a qué hora, durante cuánto tiempo y desde qué punto del sistema. No interpreta: solo registra. La interpretación la hace la persona que revisa ese registro y cruza los accesos con las agendas, las citas y las derivaciones activas.

2.1. Las señales que levantan la alerta

Hay patrones que destacan sobre el ruido de fondo de los accesos diarios. Un profesional que accede a un historial fuera de su horario habitual. Varios accesos al mismo historial desde perfiles que no tienen cita con ese paciente. Accesos desde un centro al que el paciente nunca ha acudido. Consultas masivas en poco tiempo, como si alguien estuviera navegando historiales uno detrás de otro. Ninguna de estas señales prueba por sí sola un acceso indebido, pero cada una justifica una revisión.

2.2. La traza como prueba: qué registra y qué no

La traza registra el hecho del acceso: quién, cuándo, a qué ficha, desde dónde. No registra la intención ni el motivo. Eso significa que la traza puede demostrar que un acceso se produjo, pero no puede demostrar por sí sola que fue indebido. La calificación de indebido requiere cruzar el hecho del acceso con la información asistencial: ¿ese profesional tenía al paciente en su agenda? ¿Estaba en su lista de derivaciones? ¿Había alguna razón clínica documentada? Sin ese cruce, la traza es solo un dato sin contexto.

2.3. Revisión periódica frente a detección en tiempo real

Algunas clínicas revisan la traza de forma periódica: una vez al mes, el DPO o el responsable de seguridad analiza los accesos del periodo buscando anomalías. Otras configuran alertas automáticas que avisan cuando se produce un patrón sospechoso. La revisión periódica tiene la ventaja de ser sistemática y completa; la detección en tiempo real tiene la ventaja de acortar el tiempo de respuesta. Lo que no funciona es no hacer ninguna de las dos y descubrir el acceso indebido cuando el paciente presenta una reclamación.

3. Quién debe revisar la alerta y en qué plazo

Una alerta de acceso sospechoso necesita un responsable claro. Si la alerta llega a todo el mundo, no la atiende nadie. Si la atiende alguien sin autoridad para investigar, se queda en una nota que nadie sigue.

3.1. El DPO o el responsable de seguridad: primera línea

En clínicas con delegado de protección de datos, la primera revisión de las alertas de acceso recae sobre el DPO. Es quien tiene el conocimiento normativo para evaluar si un acceso constituye un incidente de seguridad en el sentido del RGPD. En clínicas sin DPO designado, esta función la asume el responsable del tratamiento —normalmente, la dirección de la clínica— o la persona que tenga asignada la supervisión de la protección de datos. Lo que importa es que haya un nombre concreto: «el responsable de turno» no es un responsable.

3.2. Las primeras 72 horas: el reloj del RGPD

Si el acceso indebido se confirma y constituye una brecha de seguridad con riesgo para los derechos del paciente, el RGPD establece un plazo de 72 horas desde que la clínica tiene conocimiento de la brecha para notificarlo a la Agencia Española de Protección de Datos. El reloj empieza a correr desde la confirmación, no desde la detección de la anomalía. Pero si la revisión de la alerta tarda una semana porque nadie la atendió, la AEPD no va a considerar que las 72 horas no empezaron. La diligencia en la revisión forma parte de la obligación.

3.3. El papel de la dirección clínica

Cuando el acceso indebido lo ha cometido un profesional sanitario, la dirección clínica tiene que participar en la evaluación. No basta con que el DPO califique el incidente como brecha o no brecha: si el profesional accedió al historial de un paciente fuera de su relación asistencial, hay una cuestión deontológica y posiblemente laboral que excede la protección de datos. La dirección clínica evalúa el impacto asistencial; el DPO evalúa el impacto normativo. Ambas evaluaciones son necesarias y complementarias.

4. Los primeros pasos: verificar, documentar y contener

La traza ha señalado un acceso sospechoso. Antes de calificarlo y antes de tomar medidas contra nadie, hay que verificar que efectivamente es lo que parece, documentar todo lo que se sabe y contener el riesgo de que se repita.

4.1. Verificar: descartar el falso positivo

No todo acceso sin cita es indebido. Un médico puede haber atendido a un paciente de urgencia que no estaba en su agenda. Un coordinador puede haber necesitado consultar un historial para resolver una incidencia administrativa. Antes de escalar, hay que comprobar si existe una justificación asistencial que no aparece en la traza. La verificación se hace preguntando al profesional que realizó el acceso: se le pide que explique el motivo y se documenta su respuesta. Si el motivo es legítimo y verificable, el incidente se cierra como falso positivo y se archiva con la explicación.

4.2. Documentar: el acta del incidente

Si la verificación no resuelve la sospecha o la confirma, se abre un acta de incidente que recoge todo lo que se sabe hasta el momento: la fecha y hora del acceso, el profesional que lo realizó, el paciente afectado, el dato al que se accedió, la explicación del profesional si la ha dado, y la evaluación preliminar del DPO. Este acta no es un formulario burocrático: es la evidencia que la clínica necesita para demostrar que actuó con diligencia si el caso llega a la AEPD, al paciente o a los tribunales.

4.3. Contener: evitar que se repita mientras se investiga

La contención no es una sanción: es una medida preventiva. Si el acceso indebido lo cometió un profesional que sigue teniendo acceso al sistema, hay que evaluar si se le retiran temporalmente los permisos sobre el historial afectado o sobre el conjunto de historiales mientras dura la investigación. La decisión depende de la gravedad del acceso y de si el profesional necesita esos permisos para su trabajo diario. Revocar un acceso mientras se investiga no prejuzga el resultado: protege al paciente y a la clínica.

5. Cuándo hay que notificar a la Agencia Española de Protección de Datos

No todo acceso indebido hay que notificarlo a la AEPD. La obligación de notificación se activa cuando el acceso constituye una brecha de seguridad de los datos personales con riesgo para los derechos y libertades de las personas afectadas.

5.1. El test de riesgo: cuándo un acceso indebido es una brecha

Un acceso indebido se convierte en brecha cuando implica un riesgo real para el paciente. La recepcionista que abrió el historial de una compañera y vio que está en tratamiento psicológico ha generado un riesgo: esa información puede afectar a la relación laboral de la compañera. Un médico que consultó el historial de un paciente que ya no atiende pero no descargó, copió ni compartió nada ha generado un acceso indebido, pero el riesgo para el paciente es menor. La evaluación de riesgo la documenta el DPO o el responsable del tratamiento, y es la pieza clave para decidir si se notifica.

5.2. Qué incluye la notificación a la AEPD

La notificación a la AEPD debe describir la naturaleza de la brecha, las categorías de datos afectados, el número aproximado de interesados, las consecuencias probables y las medidas adoptadas o propuestas para remediar la brecha. En el caso de un acceso indebido a historiales clínicos, las categorías de datos son especialmente sensibles —datos de salud— y eso sube automáticamente el nivel de riesgo. La notificación se presenta a través del canal electrónico de la AEPD, dentro del plazo de 72 horas, y puede completarse por fases si no se dispone de toda la información al inicio.

5.3. Qué ocurre si no se notifica o se notifica tarde

No notificar una brecha que debía notificarse es una infracción independiente de la brecha misma. El RGPD prevé sanciones específicas para la falta de notificación, y la AEPD las ha impuesto en casos donde la organización conocía el incidente y decidió no comunicarlo. Notificar tarde es menos grave que no notificar, pero la AEPD evalúa la diligencia de la organización como un factor atenuante o agravante. Una clínica que detectó el acceso indebido el lunes y notificó el jueves tiene un argumento razonable. Una clínica que lo detectó en enero y notificó en abril, no.

6. Qué comunicar al paciente afectado

La comunicación al paciente es la parte más delicada del protocolo. El paciente tiene derecho a saber que sus datos de salud han sido accedidos sin justificación, pero la forma de comunicarlo puede agravar o contener el daño.

6.1. Cuándo es obligatorio comunicar al paciente

El RGPD obliga a comunicar la brecha al interesado cuando es probable que entrañe un alto riesgo para sus derechos y libertades. En el contexto sanitario, un acceso a datos de salud por parte de un compañero de trabajo del paciente cumple casi siempre ese umbral: la persona que accedió conoce al paciente fuera del contexto asistencial, y la información clínica puede afectar a su vida personal o laboral. Si el DPO evalúa que el riesgo es alto, la comunicación al paciente no es opcional.

6.2. Qué decir y qué no decir

La comunicación al paciente debe ser clara, directa y sin tecnicismos. Debe explicar qué ha ocurrido —un empleado accedió a su historial sin justificación asistencial—, qué datos se vieron afectados, qué ha hecho la clínica al respecto y qué puede hacer el paciente si quiere ejercer sus derechos. No debe incluir el nombre del empleado que accedió ni los detalles de la investigación interna. La comunicación protege al paciente, no lo involucra en el proceso disciplinario.

6.3. El canal y el registro de la comunicación

La comunicación al paciente se hace por un canal que permita acreditar que se realizó: carta certificada, correo electrónico con acuse de recibo o comunicación presencial con acta firmada. Una llamada telefónica no deja constancia verificable. El registro de la comunicación forma parte del expediente del incidente y es una prueba más de que la clínica actuó con diligencia. Si el paciente presenta una reclamación posterior, la clínica necesita poder demostrar que le informó.

7. La investigación interna: qué se busca y qué se documenta

La investigación interna tiene dos objetivos: establecer qué ocurrió exactamente y determinar si fue un error aislado o un síntoma de un problema más amplio en el sistema de control de accesos.

7.1. Reconstruir la secuencia completa

La traza muestra el acceso que levantó la alerta, pero la investigación debe mirar más atrás. ¿Es la primera vez que este profesional accede a un historial sin justificación, o ha habido accesos previos que pasaron desapercibidos? ¿Otros profesionales han accedido al mismo historial de forma sospechosa? La revisión del historial de accesos del profesional y del paciente en un periodo amplio —los últimos tres a seis meses— puede revelar un patrón que un acceso aislado no muestra.

7.2. El informe de investigación: estructura y contenido

El informe documenta los hechos, el análisis y las conclusiones. Incluye la descripción del acceso detectado, la cronología de la respuesta, la verificación realizada con el profesional, el análisis de la traza histórica, la evaluación de riesgo, las medidas de contención adoptadas y las recomendaciones de medidas correctoras. Es un documento interno que se conserva como evidencia de la diligencia de la clínica. Si la AEPD investiga el caso, este informe es la primera pieza que va a pedir.

7.3. Cuándo interviene el asesor jurídico

Si el acceso indebido fue deliberado y la clínica se plantea medidas disciplinarias, el asesor jurídico debe revisar el caso antes de que se adopte ninguna medida. También debe intervenir si el acceso podría constituir un delito: el artículo 197 del Código Penal tipifica el descubrimiento y revelación de secretos, y un acceso deliberado a datos de salud ajenos puede encajar en ese tipo. La intervención del asesor jurídico no retrasa el protocolo: se activa en paralelo a la investigación interna, no después de ella.

8. Medidas correctoras y prevención de la recurrencia

Las medidas correctoras no son solo una respuesta al incidente: son la demostración de que la clínica aprende de lo ocurrido. La AEPD valora específicamente las medidas adoptadas tras una brecha como factor atenuante en los procedimientos sancionadores.

8.1. Ajustar los permisos a la realidad asistencial

Si el acceso indebido fue posible porque el profesional tenía permisos más amplios de los necesarios para su función, la primera medida correctora es revisar y ajustar esos permisos. Un médico de una especialidad no necesita acceder a los historiales de otra especialidad salvo que exista una derivación. Un administrativo no necesita ver datos clínicos para gestionar citas. Cada acceso indebido es una oportunidad para preguntarse si los permisos del rol están bien diseñados o si el profesional tenía acceso a más de lo necesario.

8.2. Reforzar la revisión periódica

Si el acceso indebido se descubrió por casualidad o por una reclamación del paciente, y no por la revisión periódica de la traza, la segunda medida correctora es revisar la frecuencia y la profundidad de esas revisiones. El informe de accesos del DPO debe incluir los patrones que habrían detectado este acceso si se hubieran buscado. Si la revisión es mensual y el acceso se produjo tres meses antes de ser descubierto, la frecuencia no era suficiente.

8.3. Formación: que el equipo sepa qué está prohibido y por qué

La formación no es un trámite posterior al incidente: es la medida que más peso tiene ante la AEPD como factor atenuante. Si la clínica puede demostrar que todo su personal recibió formación específica sobre protección de datos sanitarios, acceso a historiales y consecuencias del acceso indebido, la responsabilidad se desplaza hacia el individuo que incumplió. Si la clínica nunca formó a su equipo sobre estas cuestiones, comparte la responsabilidad por no haber establecido las condiciones mínimas de cumplimiento.

9. Qué aporta obeliOmed

obeliOmed registra cada acceso a cada historia clínica con el detalle suficiente para reconstruir la secuencia completa: quién accedió, cuándo, a qué ficha, desde qué pantalla y durante cuánto tiempo. Esa traza no se puede editar ni borrar, y se conserva de forma independiente al historial clínico.

9.1. Detección de patrones sospechosos

El sistema permite configurar alertas basadas en patrones: accesos fuera de horario, accesos sin cita activa, volumen inusual de consultas en un periodo corto. Cuando se activa una alerta, se genera una notificación al responsable designado con el detalle del acceso para que inicie la verificación. La alerta no sustituye la revisión periódica, pero acorta el tiempo entre el acceso sospechoso y su evaluación.

9.2. Permisos granulares que reducen la superficie de riesgo

Cada rol predefinido en obeliOmed tiene acceso únicamente a las pantallas que necesita para su función. El médico accede a la historia clínica de sus pacientes; el administrativo accede a los datos de gestión de citas y facturación sin ver los datos clínicos; el DPO accede a los informes de acceso sin poder modificar los historiales. Cuantos menos profesionales puedan acceder a un historial, menos accesos indebidos se producen. No es una medida reactiva: es la configuración que reduce el número de incidentes que hay que investigar.