Auditoría de accesos de empleados a la historia clínica: qué exige el RGPD y cómo organizarla
Para directores y gerentes de clínicas privadas que quieren entender bien qué obliga la normativa sobre el control de quién accede a cada expediente, cómo organizar los permisos por perfil y qué hacer si se detecta un acceso indebido.
Cada consulta deja un rastro, aunque sea pequeño. La pregunta es si alguien se para a mirarlo.
1. El riesgo real: cuando un empleado consulta sin necesidad clínica
1.1. La curiosidad no es un delito menor
Un vecino, un excompañero de instituto, un personaje conocido de la localidad: la tentación de mirar «solo por curiosidad» existe en cualquier centro que gestiona datos de salud, y quien lo hace no suele pensar que está cometiendo una infracción grave. Pero acceder a un dato de salud sin una finalidad asistencial que lo justifique es exactamente eso, tanto si se hace con intención de dañar como si es simple curiosidad sin consecuencia aparente. El dato de salud no deja de ser sensible porque quien lo mira no tenga malas intenciones: la norma no distingue entre curiosidad inocente y curiosidad malintencionada, distingue entre acceso justificado y acceso sin justificar.
1.2. Quién responde cuando ocurre: el centro, no solo el empleado
El centro sanitario es el responsable del tratamiento de los datos de sus pacientes, y eso significa que, ante una inspección o una reclamación, es la clínica la que tiene que demostrar que tenía medidas razonables para prevenir y detectar este tipo de accesos. No basta con confiar en la buena fe del equipo: hace falta que el sistema permita saber, después, quién consultó qué. Esta responsabilidad no desaparece porque el centro sea pequeño o porque «aquí nos conocemos todos»: el tamaño de la clínica no reduce la obligación legal, aunque sí puede facilitar detectar un acceso fuera de lugar antes, precisamente porque hay menos personal y menos expedientes que vigilar.
2. Qué exige la normativa sobre el control de accesos
2.1. RGPD: minimización y necesidad de conocer
El RGPD exige que el acceso a datos de categoría especial, como los de salud, se limite a quien lo necesita para su función. No es una recomendación de buenas prácticas: es un principio del propio reglamento, y su incumplimiento —dar acceso general a todo el personal sin distinción— es en sí mismo una infracción, incluso antes de que ocurra un acceso indebido concreto. Es un matiz importante: la infracción no depende de que se demuestre un daño o una filtración real. Basta con que el diseño del sistema permita, sin control, que alguien acceda a datos que no necesita para su trabajo diario.
2.2. Ley 41/2002: trazabilidad de la historia clínica
La Ley 41/2002 exige que la historia clínica sea trazable: que se pueda saber quién ha intervenido en ella y cuándo. Un sistema que no permite reconstruir ese historial de accesos y cambios no cumple con esta exigencia, al margen de lo segura que sea técnicamente la infraestructura donde vive el dato. Un sistema puede tener el mejor cifrado del mercado y aun así fallar en este punto concreto, porque cifrado y trazabilidad protegen cosas distintas: uno protege el dato de quien no debería verlo, el otro documenta quién lo vio de verdad. Más detalle en el cumplimiento del RGPD en clínicas privadas.
3. Qué es un registro de accesos, y qué debe contener
3.1. Quién, cuándo y qué se consultó
Un registro de accesos útil responde a tres preguntas por cada consulta: quién abrió el expediente, en qué momento, y a qué parte del historial accedió. Sin esas tres piezas juntas, el registro sirve de poco: saber que «alguien entró el martes» no permite reconstruir nada si no se sabe quién ni a qué expediente. Algunos sistemas añaden un cuarto dato útil, el dispositivo o la ubicación desde la que se accedió, que ayuda a distinguir un acceso normal desde el puesto de trabajo habitual de uno que llama la atención por su origen.
3.2. Por qué «inalterable» no es la palabra correcta, y qué sí es cierto
Es habitual encontrar la promesa de un «registro inmutable» o «a prueba de manipulación». En la práctica, lo relevante no es que el registro sea literalmente imposible de tocar —eso depende de a quién se le dé acceso de administrador—, sino que quede constancia clara de cada consulta y de cada cambio, con su autor y su fecha, de forma que cualquier intento de manipulación sea también detectable. En obeliOmed, cada cambio en el expediente queda registrado con su autor, su fecha y el valor anterior, que es la trazabilidad real que exige la Ley 41/2002. Es una diferencia de fondo, no solo de palabras: prometer inmutabilidad es prometer algo que ningún sistema con administradores humanos puede sostener del todo, mientras que prometer trazabilidad es prometer algo verificable y honesto sobre cómo funciona el sistema de verdad.
Un registro solo sirve si responde a tres preguntas: quién, cuándo y qué se consultó exactamente.
4. Cómo se organiza el acceso por perfil, antes de auditar
4.1. Acceso por necesidad, no por plantilla
La mejor auditoría es la que nunca hace falta hacer, porque el acceso indebido no fue posible desde el principio. Configurar perfiles —qué ve una recepcionista, qué ve un facultativo de otra especialidad, qué ve la dirección— reduce la superficie de exposición antes de que exista ningún problema que investigar. Un sistema donde todo el mundo ve todo es difícil de justificar ante una inspección, y además genera un volumen de registro tan grande que revisarlo de verdad se vuelve poco práctico.
4.2. Menos accesos innecesarios, menos que auditar después
Cuantos menos perfiles tengan acceso por defecto a un expediente que no les corresponde, menos ruido hay en el registro cuando llega el momento de revisarlo. Es más fácil detectar un acceso fuera de lugar en un sistema donde los accesos legítimos son pocos y predecibles que en uno donde cualquiera podría, en teoría, haber abierto cualquier ficha. Piénsalo como reducir el número de sospechosos habituales: si solo cuatro personas tienen motivo legítimo para abrir un expediente concreto, un quinto acceso salta a la vista de inmediato; si lo tienen veinte, ese mismo acceso se pierde entre el ruido.
5. Revisar el registro: cuándo y cómo hacerlo
5.1. Revisión periódica, no solo cuando hay una sospecha
Esperar a que alguien se queje para revisar el registro de accesos es una política reactiva que no cumple con el espíritu de la norma. Una revisión periódica —mensual o trimestral según el volumen de la clínica— de accesos a pacientes con apellidos coincidentes con los del propio equipo, o de consultas fuera del horario habitual, es una práctica razonable que cualquier director puede establecer sin necesidad de herramientas complejas. No hace falta revisar cada acceso uno a uno: basta con dedicar un rato fijo cada mes a repasar los casos que más llaman la atención por su patrón, no por su volumen.
5.2. Qué mirar cuando algo llama la atención
Un acceso a un expediente por parte de alguien que no tiene relación con ese paciente en la agenda del día es la señal más simple de revisar primero. No siempre significa mala fe —puede ser una consulta legítima que no quedó bien documentada—, pero conviene preguntarlo directamente a la persona antes de sacar conclusiones, y dejar constancia de la respuesta. Otra señal a vigilar es un volumen de consultas inusualmente alto de una misma persona en un periodo corto, sobre todo si no coincide con un aumento real de su carga de trabajo asistencial.
6. Qué hacer si se detecta un acceso indebido
Antes de actuar, confirmar los hechos. La lupa va antes que la conversación, nunca al revés.
6.1. Los primeros pasos
Confirmar los hechos con el registro antes de actuar, hablar con la persona implicada para entender el contexto, y documentar todo el proceso por escrito. Actuar con precipitación sin haber confirmado los datos del registro puede generar un conflicto laboral innecesario si resulta que había una justificación que no se conocía. Ese orden importa tanto por justicia hacia el empleado como por la propia solidez del caso: si la clínica tiene que responder ante una reclamación externa, una investigación bien documentada pesa mucho más que una reacción improvisada del primer momento.
6.2. Protocolo interno, antes de necesitarlo
Tener decidido de antemano qué pasos se siguen ante un acceso indebido confirmado —desde una conversación formal hasta una sanción disciplinaria según la gravedad— evita que la respuesta dependa del humor del momento o de quién esté al mando ese día. El detalle de cómo actuar ante un incidente de seguridad mayor está en plan de contingencia ante una brecha de seguridad.
7. Formación y buenas prácticas del equipo
7.1. Que el equipo entienda el porqué, no solo la norma
Explicar la norma sin el porqué genera cumplimiento de fachada: la gente evita mirar donde sabe que queda registrado, pero no interioriza por qué importa. Explicar casos reales —anonimizados— de lo que ha pasado en otros centros por un acceso indebido suele calar mucho más entre el equipo que citar el número exacto del artículo del reglamento aplicable.
7.2. Prácticas básicas de manejo de credenciales
No compartir usuario ni contraseña entre compañeros, aunque sea «solo un momento» para cubrir una ausencia, es la práctica más simple y más incumplida. Si dos personas comparten una misma sesión, el registro de accesos deja de servir para lo que está pensado: ya no se sabe con certeza quién hizo qué, y eso invalida buena parte del valor de tener un registro en primer lugar. Lo mismo aplica a dejar una sesión abierta en un ordenador de uso compartido al levantarse del puesto: técnicamente no es compartir una contraseña, pero el efecto sobre la trazabilidad es idéntico.
Riesgo normativo
¿Tu infraestructura resistiría una inspección de la AEPD?
El RGPD clasifica los expedientes clínicos como datos de categoría especial. Una brecha técnica o un consentimiento mal custodiado puede acarrear sanciones muy elevadas. Solicita un análisis técnico de viabilidad normativa.
8. Qué hace y qué no hace obeliOmed en materia de accesos
8.1. Lo verificable
Permisos configurables por perfil, cifrado de documentos y campos sensibles con AES-256-GCM, y trazabilidad de cada cambio en el expediente con su autor, su fecha y el valor anterior. Son piezas concretas que se pueden pedir ver en una demo.
8.2. Lo que sigue siendo trabajo del centro
obeliOmed no sustituye la revisión periódica que tiene que hacer alguien de la clínica: el sistema guarda la información, pero decidir con qué frecuencia se revisa, quién lo hace y qué protocolo se sigue ante un hallazgo sigue siendo una decisión de gestión del centro, no algo que un software resuelva completamente por sí solo sin que nadie del centro mire nunca el resultado con criterio propio.
9. Qué aporta obeliOmed y cómo empezar
9.1. Permisos por perfil y trazabilidad, desde el primer día
obeliOmed permite configurar qué ve cada perfil del equipo y documenta cada cambio del expediente con su autor y su fecha, sin necesidad de contratar un módulo aparte. Es uno de los puntos que conviene revisar en cualquier programa de gestión para clínicas privadas. El resto de piezas de seguridad relacionadas, con el mismo nivel de detalle, está en almacenamiento cloud con cumplimiento de grado médico y en copias de seguridad del historial médico.
9.2. Cómo dar el primer paso
Puedes ver cómo se configuran los perfiles de acceso y cómo se consulta el historial completo de cambios directamente en la demo de obeliOmed.
10. Preguntas frecuentes
¿Es delito que un empleado consulte la ficha de un paciente sin justificación clínica?
Es, como mínimo, una infracción grave de protección de datos, y según las circunstancias puede tener también consecuencias penales si hay una divulgación posterior de la información. No hace falta que el dato salga de la clínica para que el acceso en sí ya sea un problema: el RGPD exige que solo se acceda a un dato de salud por una finalidad legítima, y la curiosidad no lo es. Que el empleado no comparta lo que vio con nadie no elimina la infracción: el acceso indebido ya se produjo en el momento en que se abrió el expediente sin justificación.
¿Qué debe registrar exactamente un log de auditoría de accesos?
Como mínimo, quién accedió, en qué momento y a qué expediente o dato concreto. Sin esas tres piezas juntas el registro no sirve para reconstruir lo ocurrido. Algunos sistemas añaden también desde qué dispositivo o ubicación se produjo el acceso, lo que puede ayudar a distinguir un acceso legítimo desde la clínica de uno sospechoso desde fuera del horario o del lugar habitual de trabajo. Cuantos más de estos datos estén disponibles, más fácil resulta reconstruir con precisión lo ocurrido cuando hace falta investigar un caso concreto en detalle.
¿obeliOmed tiene un registro de accesos inmutable que no se puede manipular?
No usamos esa palabra porque no es precisa: nada es literalmente inalterable si alguien tiene acceso de administrador. Lo que sí es cierto es que cada cambio en el expediente queda registrado con su autor, su fecha y el valor anterior, y que ese registro no se pierde ni se sobrescribe en el uso normal del sistema. Ante una inspección, lo que se pide no es demostrar que el registro es técnicamente imposible de tocar, sino que existe, que es completo y que cualquier alteración dejaría huella. Es la trazabilidad real que exige la Ley 41/2002, no una promesa de invulnerabilidad absoluta que ningún sistema con administradores humanos puede sostener honestamente.
¿Con qué frecuencia debería revisar el registro de accesos de mi clínica?
No hay una cifra legal única, pero una revisión mensual o trimestral, según el volumen de pacientes y de personal, es una práctica razonable que puedes documentar como parte de tu política interna. Lo importante no es la frecuencia exacta, sino que la revisión exista, esté asignada a alguien concreto y quede constancia de que se hizo, aunque no se encuentre nada irregular. Un centro que puede mostrar un historial de revisiones periódicas, aunque hayan salido siempre limpias, está en una posición mucho mejor ante una inspección que uno que nunca ha revisado nada.
¿Qué hago si sospecho que un empleado ha accedido a un expediente sin justificación?
Confirma primero los hechos consultando el registro de accesos, antes de hablar con la persona implicada: puede haber una explicación legítima que no conocías. Revisa si el acceso coincide con la agenda del día de esa persona y si el paciente consultado tiene alguna relación asistencial real con ella. Documenta la conversación y la decisión que se tome, sea cual sea, y aplica el protocolo interno que tenga tu clínica para estos casos. No actuar a tiempo tiene un coste doble: si el paciente reclama después, la falta de respuesta del centro agrava la posición ante la AEPD. Si no tienes un protocolo definido, es buen momento para crearlo antes de que vuelva a ocurrir.
¿Compartir usuario entre compañeros es un problema real, o es solo teoría?
Es un problema real y frecuente. En el momento parece inofensivo —cubrir a un compañero, ahorrar tiempo—, pero invalida el registro de accesos: si dos personas usan la misma sesión, ya no se puede saber con certeza quién hizo cada consulta o cada cambio. Ante una inspección o una reclamación, esa ambigüedad juega en contra del centro, no a su favor: es la propia clínica la que tiene que demostrar diligencia, y un registro con lagunas de este tipo debilita esa defensa.
¿Cómo se organizan los permisos cuando hay varios profesionales en la misma clínica?
Por perfil: cada profesional sanitario ve normalmente los expedientes de sus propios pacientes, la recepción accede a lo necesario para gestionar la agenda y la facturación sin ver el contenido clínico completo, y la dirección tiene una vista consolidada de la actividad del centro. Este reparto se configura una vez y se aplica a cada nuevo usuario que se da de alta, así que no hay que decidirlo caso a caso. El beneficio directo para la auditoría es que reduce el ruido del registro: cuantos menos accesos sean técnicamente posibles, más fácil es detectar uno que no debería estar ahí. El detalle completo de cómo configurar estos perfiles está en gestión de accesos y roles en la consulta.
¿Puede la AEPD sancionar a una clínica aunque nadie haya presentado una reclamación?
Sí. La AEPD puede iniciar una investigación de oficio, sin que ningún paciente haya presentado una reclamación. En la práctica, estas inspecciones suelen arrancar por una denuncia en otro ámbito —laboral, por ejemplo— que destapa la falta de control de accesos como hallazgo secundario. Lo que los inspectores comprueban es si el centro tiene un sistema que limite el acceso por perfil y que registre quién consultó qué; no tener ninguno de los dos es, en sí mismo, un incumplimiento del principio de minimización del RGPD, independientemente de que se haya producido o no un acceso indebido concreto. El detalle de las sanciones aplicables está en sanciones de la AEPD a clínicas sanitarias.
Pide una demo de obeliOmed
Sin permanencia · Demo personalizada para tu especialidad · Te respondemos en menos de 24 horas.
Más sobre seguridad de datos en clínicas privadas
Firma digital del consentimiento informado: adiós al papel en la clínica
Imprimir, firmar en papel, escanear y destruir no añade ninguna garantía legal extra: solo añade tiempo. Qué hace…
Leer artículo →
Gestión de accesos por roles: qué debe ver cada perfil en tu clínica
Que recepción pueda leer las notas de evolución clínica no es una comodidad, es un riesgo. Cómo organizar…
Leer artículo →
Derecho de acceso a la historia clínica: plazos, formato y qué se puede negar
El paciente pide su historia. En qué plazo se entrega, en qué formato, qué apartados se pueden restringir…
Leer artículo →Referencias
- Reglamento (UE) 2016/679 (RGPD): principio de minimización y acceso a datos de categoría especial.
- Ley 41/2002: trazabilidad y conservación de la historia clínica.
Última actualización: agosto de 2026.
