Borrar la historia clínica: quién puede y por qué debería ser la acción más difícil del sistema

1. Borrar es una operación diferente a todas las demás

Consultar deja el dato como está. Editar lo modifica pero conserva el historial. Exportar lo saca fuera pero lo deja dentro. Borrar lo elimina. De todas las acciones que puede hacer un usuario en el sistema, el borrado es la única que destruye información. Y en el ámbito clínico, la información destruida puede ser la que demuestra que se atendió correctamente a un paciente o la que un tribunal necesita para resolver una reclamación.

1.1. El borrado no tiene marcha atrás

Si un usuario exporta datos sin justificación, la clínica puede investigar y tomar medidas, pero los datos originales siguen en el sistema. Si un usuario edita un dato por error, el sistema puede conservar la versión anterior. Si un usuario borra un historial, no hay nada que recuperar salvo que exista una copia de seguridad reciente y alguien sepa restaurarla. La irreversibilidad del borrado es lo que lo convierte en la operación más peligrosa del sistema.

1.2. La responsabilidad legal del dato borrado

La historia clínica no es propiedad de la clínica: es un documento con valor legal que recoge la relación asistencial entre el profesional y el paciente. Si un paciente reclama por una atención recibida hace tres años y la clínica no puede presentar el historial porque alguien lo borró, la clínica tiene un problema doble: no puede defender la calidad de la atención prestada y, además, ha incumplido la obligación de conservación. El borrado no solo destruye información: destruye la capacidad de defensa de la propia clínica.

1.3. Por qué el borrado requiere un permiso específico

Si el sistema trata el borrado como una acción más —disponible para cualquiera que pueda editar la ficha del paciente—, basta un error o un acto malintencionado para destruir años de historial clínico. Separar el permiso de borrado del permiso de edición es la medida más básica de protección. Un profesional que necesita editar una nota clínica no necesita poder borrar el historial completo. Son funciones distintas con riesgos distintos, y el sistema de permisos debe reflejar esa diferencia.

2. Qué dice la ley sobre conservar y borrar historiales

La legislación española establece plazos mínimos de conservación de la historia clínica que son incompatibles con el borrado libre.

2.1. La Ley 41/2002 y el plazo mínimo de cinco años

La Ley 41/2002 de autonomía del paciente establece que la historia clínica se conservará como mínimo cinco años desde la fecha del alta de cada proceso asistencial. Es un mínimo, no un máximo: la legislación autonómica puede ampliarlo, y en varias comunidades lo ha hecho. Un sistema que permite borrar un historial con un solo clic no puede garantizar el cumplimiento de este plazo si el usuario que pulsa el botón no comprueba si han pasado los cinco años.

2.2. Los plazos autonómicos: más largos y más variados

Algunas comunidades autónomas han establecido plazos de conservación más largos que los cinco años del mínimo estatal. Madrid exige quince años; otras comunidades contemplan la conservación indefinida de determinados datos. Una clínica privada con centros en varias comunidades puede estar sujeta a plazos distintos según dónde se prestó la asistencia. El sistema de gestión tiene que conocer esos plazos o, al menos, impedir el borrado hasta que el responsable haya verificado que se cumplen.

2.3. Los plazos de prescripción de la responsabilidad profesional

Más allá de los plazos de conservación sanitaria, la historia clínica es una prueba esencial en reclamaciones por responsabilidad profesional. El plazo de prescripción de la acción civil por daños derivados de la asistencia sanitaria es de cinco años desde que el paciente conoce el daño, no desde la fecha de la asistencia. En la práctica, esto significa que la clínica puede necesitar el historial mucho después de los cinco años desde el alta. Borrarlo antes del plazo de prescripción real es arriesgarse a no poder defenderse.

3. Quién debería tener permiso de borrado y quién no

El borrado de historiales clínicos es una operación administrativa, no clínica. Quien borra no es el médico que trata al paciente, sino el responsable del tratamiento que ha verificado que se cumplen los plazos.

3.1. El administrador: el único perfil con justificación operativa

En la mayoría de las clínicas, el administrador del sistema o el responsable del archivo clínico es el único perfil que debería tener permiso de borrado. Y no de forma habitual: el borrado es una operación excepcional que se ejecuta cuando se han verificado los plazos de conservación y se ha documentado la justificación. Un administrador que borra historiales como parte de su rutina diaria debería hacer saltar una alarma.

3.2. El médico no debería poder borrar historiales

Un médico necesita leer y escribir en la historia clínica. No necesita borrarla. Si un médico detecta un error en un dato que introdujo, la corrección se hace editando y dejando constancia de la modificación, no borrando la entrada original. La Ley 41/2002 exige que las rectificaciones queden registradas conservando el dato original. Borrar un dato clínico para corregirlo es incumplir la norma, no aplicarla.

3.3. El DPO: supervisión sin ejecución

El delegado de protección de datos supervisa que los tratamientos de datos cumplan la normativa, pero no ejecuta operaciones sobre los datos. Si un paciente ejerce su derecho de supresión, el DPO evalúa si procede y, si es así, instruye al administrador para que lo ejecute. No necesita el permiso de borrado en el sistema: necesita la autoridad para validar la solicitud. Separar la decisión de la ejecución es una medida de seguridad que protege a las dos partes.

4. El derecho de supresión del paciente y sus límites

El RGPD reconoce el derecho del paciente a solicitar la supresión de sus datos. Pero ese derecho no es absoluto, y en el ámbito sanitario tiene límites importantes que la clínica tiene que conocer.

4.1. Cuándo el paciente puede pedir que se borren sus datos

El paciente puede ejercer el derecho de supresión cuando los datos ya no son necesarios para la finalidad para la que se recogieron, cuando retira el consentimiento que era la base del tratamiento, o cuando el tratamiento es ilícito. En el ámbito sanitario, la base del tratamiento suele ser la obligación legal de conservación, no el consentimiento, lo que limita el alcance del derecho de supresión mientras la obligación de conservación esté vigente.

4.2. Cuándo la clínica puede negarse

La clínica puede negarse a borrar los datos si la conservación es necesaria para el cumplimiento de una obligación legal —como los plazos de conservación de la historia clínica— o para la formulación, ejercicio o defensa de reclamaciones. En la práctica, esto significa que mientras no se hayan cumplido los plazos de conservación sanitaria y los plazos de prescripción de la responsabilidad profesional, la clínica tiene una base legal para conservar los datos aunque el paciente pida que se borren. Lo que está en cuándo se puede borrar y cuándo no aplica también a esta sección.

4.3. La respuesta al paciente: obligada siempre, aunque sea negativa

Independientemente de si la clínica accede o no a la supresión, tiene la obligación de responder al paciente en un plazo máximo de un mes, explicando las razones de su decisión. La falta de respuesta es una infracción en sí misma, independiente de si el derecho de supresión procedía o no. El sistema tiene que facilitar que la persona encargada pueda generar esa respuesta con los datos necesarios: qué se conserva, por qué y durante cuánto tiempo.

5. Borrado frente a anonimización: dos mecanismos distintos

Borrar y anonimizar no son lo mismo, y la elección entre uno y otro tiene consecuencias distintas para la clínica.

5.1. El borrado destruye el dato

Borrar un historial significa que los datos dejan de existir en el sistema. No hay forma de reconstruirlos, no hay forma de consultarlos y no hay forma de demostrar qué contenían. Si el borrado se hace antes de que se cumpla el plazo de conservación, la clínica ha incumplido la norma. Si se hace después, la clínica ha cumplido pero pierde la posibilidad de utilizar esos datos para fines estadísticos o de investigación.

La historia clínica se conserva un mínimo de cinco años desde el alta; los datos de ensayos clínicos y enfermedades de declaración obligatoria, más.

5.2. La anonimización conserva el dato sin identificar al paciente

Anonimizar un historial significa eliminar o transformar los datos que permiten identificar al paciente, conservando el resto. El resultado es un registro que contiene la información clínica —diagnósticos, tratamientos, evolución— pero que no puede vincularse a una persona concreta. Los datos anonimizados dejan de ser datos personales y, por tanto, dejan de estar sujetos al RGPD, pero conservan su valor para estadística, investigación y mejora de la práctica clínica.

5.3. Cuándo conviene cada uno

El borrado es apropiado cuando la obligación de conservación ha vencido y no hay ninguna utilidad adicional para los datos. La anonimización es preferible cuando la clínica quiere conservar el valor estadístico de la información sin mantener la identificación del paciente. En la práctica, la mayoría de los historiales clínicos tienen más valor anonimizados que borrados, pero la anonimización es técnicamente más compleja y requiere una verificación de que la identidad del paciente no es reconstruible a partir de los datos restantes.

6. Qué pasa cuando se borra un historial

El borrado no afecta solo al historial del paciente. Afecta a todo lo que estaba vinculado a él.

6.1. Las referencias cruzadas se rompen

Si el paciente tenía citas, las citas quedan huérfanas. Si tenía episodios vinculados a otros pacientes —por ejemplo, un menor vinculado a su tutor—, la vinculación se pierde. Si tenía derivaciones hacia otros centros, la referencia desaparece. El borrado de un historial no es un acto aislado: tiene efectos en cadena que el sistema tiene que gestionar o, al menos, advertir antes de ejecutar.

6.2. La auditoría del borrado: quién, cuándo y por qué

El propio acto de borrado tiene que quedar registrado. No los datos borrados —que ya no existen—, sino el hecho de que se borraron: quién lo autorizó, quién lo ejecutó, cuándo, qué alcance tenía y cuál fue la justificación. Ese registro es la evidencia de que el borrado fue legítimo. Sin él, si alguien pregunta qué pasó con el historial de un paciente, la clínica no puede demostrar que el borrado fue autorizado y justificado.

7. Cómo proteger el sistema contra borrados no autorizados

La protección contra borrados no autorizados tiene varias capas, y el permiso separado es solo la primera.

7.1. Permiso de borrado separado y restringido

El permiso de borrado no debería ser el mismo que el de edición, ni el de edición debería incluirlo. El catálogo de roles debería asignar el borrado solo al administrador, y dentro del administrador, solo al perfil que gestiona el archivo clínico. Cuantas menos personas tengan el permiso, menor es la superficie de riesgo.

7.2. Confirmación en dos pasos

Un borrado accidental es un borrado igualmente irreversible. El sistema debería exigir una confirmación explícita antes de ejecutar el borrado: no un «¿Estás seguro?» que se pulsa por inercia, sino un proceso que requiera introducir un motivo y confirmar que se han verificado los plazos de conservación. La fricción es deliberada: una operación destructiva debería costar más esfuerzo que las operaciones habituales.

7.3. Verificación automática de plazos

Si el sistema conoce la fecha del alta del último proceso asistencial y el plazo de conservación aplicable, puede advertir automáticamente cuando un borrado se intenta antes de que se haya cumplido el plazo. No es infalible —los plazos pueden depender de circunstancias que el sistema no conoce—, pero es una red de seguridad que evita los errores más evidentes. Un mensaje que diga «Este historial tiene un proceso asistencial de hace tres años; el plazo mínimo de conservación es de cinco» debería ser suficiente para detener la mayoría de los borrados prematuros.

8. La tensión entre normativas: protección de datos y conservación sanitaria

El RGPD dice que los datos se borran cuando ya no son necesarios. La legislación sanitaria dice que la historia clínica se conserva al menos cinco años. Las dos normas son obligatorias y, en la superficie, parecen contradecirse. La resolución está en los plazos.

8.1. La conservación no contradice la minimización

El principio de minimización del RGPD no dice «borre todo lo antes posible». Dice que los datos se traten «de manera adecuada, pertinente y limitada a lo necesario». Mientras la conservación de la historia clínica sea necesaria para cumplir una obligación legal o para la defensa de reclamaciones, la conservación es adecuada, pertinente y necesaria. La tensión desaparece cuando se entiende que «minimización» se refiere al alcance del tratamiento, no a la duración.

8.2. Después de los plazos: la obligación de revisar

Cuando se cumplen todos los plazos de conservación —sanitario, de prescripción, autonómico—, la clínica tiene la obligación de evaluar si los datos siguen siendo necesarios. Si no lo son, debe proceder a su supresión o anonimización. No conservarlos indefinidamente «por si acaso»: eso sí contradice la minimización. La revisión periódica debería incluir una revisión de los historiales que han superado todos los plazos y que están pendientes de decisión sobre su destino.

9. Qué aporta obeliOmed

obeliOmed trata el borrado como una operación de alto riesgo, separada del resto de las acciones del sistema y restringida a los perfiles que la necesitan.

9.1. Permiso de borrado restringido por diseño

El borrado de historiales no forma parte del permiso de edición. Es un permiso independiente que solo el administrador tiene en la configuración por defecto. Los roles clínicos —médico, enfermero, auxiliar— no pueden borrar historiales por mucho que puedan leer y escribir en ellos. La separación viene de fábrica, no es una configuración adicional que haya que acordarse de activar.

9.2. Registro del borrado con justificación obligatoria

Cada borrado genera un evento en el registro de auditoría que incluye quién lo ejecutó, cuándo, qué paciente afectaba y cuál fue la justificación. Ese registro permanece aunque los datos del paciente hayan sido eliminados, porque su función no es conservar los datos sino demostrar que el borrado fue legítimo. La auditoría del borrado es la última línea de defensa de la clínica ante una pregunta sobre un historial que ya no existe.