Cifrado documental en la clínica: qué se cifra y qué no
Para dirección clínica y para responsable técnico: qué documentos y qué campos se cifran en una clínica sanitaria, cómo se gestiona la clave y su rotación, cómo se accede al documento cifrado desde el sistema clínico y por qué no se cifra el expediente entero sino lo que necesita protección específica.
Cifrar es sustituir el contenido por versión ilegible sin la clave. En clínica se aplica a lo que hace falta.1. Qué significa cifrar
Este artículo trata el cifrado documental. La firma electrónica —qué tipo se usa en cada caso— vive aparte en sello electrónico del centro sanitario. Aquí se decide qué se cifra en la clínica, cómo funciona el proceso y qué queda expuesto cuando no se cifra.
1.1. La operación técnica en una frase
Cifrar transforma el contenido de un documento en una versión ilegible mediante un algoritmo matemático y una clave. Solo quien tenga la clave correcta puede volver el documento a su forma legible. Sin la clave, el documento cifrado no aporta información al que consigue acceso al fichero, aunque acceda físicamente al soporte donde vive.
1.2. Cifrado en reposo y cifrado en tránsito
Cifrado en reposo protege el documento almacenado en el servidor; cifrado en tránsito protege el documento cuando viaja por la red entre el sistema clínico y el navegador del profesional. Los dos son complementarios y ninguno sustituye al otro. La configuración de la clínica típicamente cifra en ambas capas.
1.3. Lo que este artículo no cubre
Este artículo no ofrece asesoría técnica sobre configuración concreta ni sustituye la valoración del responsable técnico del centro. Cuenta qué se cifra en la clínica sanitaria por defecto y qué exige análisis específico. La decisión sobre la política concreta de cifrado del sistema corresponde al responsable con asesoramiento cualificado.
Para directores de clínica
¿Tu clínica todavía gestiona esto de forma manual?
Descubre qué procesos puedes automatizar sin cambiar cómo trabajas, y cuánto tiempo recuperas cada semana.
2. Los documentos cifrados
El cifrado documental aplica al conjunto de ficheros que la clínica maneja como documentos —imágenes diagnósticas, informes en PDF, consentimientos firmados, adjuntos que el paciente aporta—. Cada tipo tiene su lugar en la política de cifrado del centro.
2.1. Consentimientos firmados
Los consentimientos firmados por el paciente son documentos con valor probatorio propio y su cifrado protege el contenido durante toda la vida del expediente. La política habitual cifra el consentimiento en el momento de firmarse y conserva la clave asociada al ámbito del paciente, no a una clave general del sistema.
2.2. Imágenes diagnósticas y adjuntos clínicos
Radiografías, ecografías, tomografías, OCT, adjuntos aportados por el paciente. El cifrado protege la información contenida en el propio fichero, con independencia de las medidas de control de accesos que el sistema aplique al catálogo. La combinación de cifrado y control de acceso es la que sostiene la protección efectiva.
2.3. Informes clínicos y documentación de derivación
Los informes que la clínica genera para el paciente o para otros centros son documentos con contenido sensible que se cifran en su almacenamiento y en su envío. La entrega al paciente se realiza con las medidas correspondientes al canal utilizado, tema tratado en enlace público y privado en la clínica.
3. Los campos cifrados
Además del cifrado de documentos completos, la clínica cifra campos concretos dentro de la propia historia clínica cuando contienen información especialmente sensible o cuando la propia normativa lo exige.
3.1. Datos identificativos con protección específica
Documento de identidad, número de seguridad social, cuenta bancaria para domiciliación, contacto de emergencia. Cada uno de estos campos cifra su contenido en la base de datos con clave específica que solo se descifra al mostrar el dato al profesional autorizado y en el contexto autorizado.
3.2. Datos clínicos de alta sensibilidad
Diagnósticos con estigma social, información sobre vida sexual, datos de salud mental cuando el paciente pide protección extra explícita, datos genéticos completos. La política cifra estos campos con clave separada de la clave general del expediente, para que su acceso exija autorización específica adicional al del expediente ordinario.
3.3. Datos administrativos con obligación externa
Determinados datos administrativos exigen cifrado por normativa fiscal, mercantil o de protección de datos específica del sector. El cumplimiento de estas obligaciones es responsabilidad del centro y suele coordinarse con el responsable técnico y con el asesor jurídico del propio ámbito.
4. Lo que no se cifra
Metadatos operativos e índices internos viven en claro para que el sistema pueda funcionar.Cifrar todo el expediente por defecto no es la práctica correcta. Hay elementos que no se cifran porque el sistema necesita usarlos para funcionar y el cifrado impediría el uso legítimo sin aportar protección real.
4.1. Metadatos operativos
Fecha de creación del registro, identificador interno del paciente en el sistema, tipo de documento, tamaño del fichero. Estos metadatos no contienen información clínica sensible pero son imprescindibles para que el sistema pueda listar, buscar y organizar los documentos. Su cifrado impediría el funcionamiento sin aportar protección real.
4.2. Índices y catálogos internos
Los índices que el sistema usa para localizar rápidamente un documento —qué expediente lo contiene, qué tipo es, en qué carpeta virtual está— no se cifran porque el sistema los consulta constantemente y su cifrado degradaría el rendimiento sin aportar seguridad significativa. Los índices no contienen contenido del documento; solo su ubicación.
4.3. Datos administrativos ordinarios
Nombre y apellidos, teléfono, dirección postal, correo electrónico para comunicaciones ordinarias. Estos datos administrativos ordinarios se protegen por control de accesos y por trazabilidad, no por cifrado, porque el sistema los usa continuamente para funciones ordinarias del centro —confirmaciones de cita, recordatorios, facturación—.
Demo configurada para tu especialidad
30 minutos con datos reales de tu tipo de clínica. Sin ejemplos genéricos.
5. La clave y su rotación
La clave criptográfica es el elemento que determina la protección efectiva del cifrado. Un algoritmo excelente con una clave débil o mal custodiada equivale a una protección débil en el resultado final.
5.1. La clave por ámbito
La práctica actual cifra con claves derivadas por ámbito —una clave distinta para cada expediente de paciente, para cada tipo de documento, para cada centro cuando la clínica tiene varias sedes—. Esta derivación garantiza que la exposición eventual de una clave concreta no compromete todo el resto del sistema. El compromiso queda acotado al ámbito de la clave afectada.
5.2. La rotación periódica
Las claves se rotan periódicamente para reducir la ventana de exposición ante una eventual filtración no detectada. La rotación es transparente para el uso ordinario: el sistema descifra con la clave antigua y vuelve a cifrar con la nueva sin intervención del profesional. La frecuencia de rotación es una decisión de configuración del sistema y forma parte de su política interna de seguridad.
5.3. La custodia de la clave maestra
Las claves derivadas se apoyan en una clave maestra que exige custodia específica. Esa custodia vive en la infraestructura del sistema y no en el conocimiento operativo del centro clínico. La responsabilidad técnica de la custodia es del proveedor del sistema como encargado del tratamiento; la responsabilidad general del cumplimiento sigue siendo del centro como responsable, tema tratado en contrato de encargado del tratamiento.
6. Cómo se accede al documento cifrado
El acceso al documento cifrado desde el sistema clínico es transparente para el profesional autorizado: el sistema descifra en el momento de la consulta y presenta el contenido legible. Todo el circuito de descifrado ocurre en segundo plano.
6.1. El descifrado en el momento del acceso
Cuando el profesional autorizado abre un documento cifrado desde el sistema, el motor descifra con la clave correspondiente al ámbito y presenta el contenido. El documento descifrado no se guarda en claro en ningún soporte permanente; solo vive en memoria durante la consulta y se descarta al cerrar.
6.2. La descarga fuera del sistema
Cuando el profesional descarga un documento cifrado —para adjuntarlo a un informe externo, para consulta fuera del sistema— el descifrado se produce en el momento de la descarga y el fichero descargado ya no está cifrado por defecto. La política del centro puede exigir que la descarga se mantenga cifrada con clave que el propio profesional gestione, con las complicaciones operativas correspondientes.
6.3. El acceso denegado sin clave
Cualquier acceso al fichero fuera del sistema clínico —acceso físico al servidor, acceso administrativo al almacenamiento, filtración del propio fichero— encuentra el documento cifrado sin acceso a la clave. La protección es efectiva contra el compromiso de la infraestructura de almacenamiento, no contra el uso legítimo desde el propio sistema.
7. Cuando se comparte con un tercero
Compartir un documento cifrado con un tercero externo al sistema clínico exige decidir cómo se transmite y cómo se garantiza que solo el destinatario legítimo puede descifrarlo. Cada situación tiene su propia solución técnica.
7.1. Envío a otro profesional del propio sistema
Cuando el destinatario está dentro del propio sistema clínico y tiene autorización de acceso al ámbito del documento, el envío es simplemente una notificación de acceso: el receptor abre el documento en su propio entorno con la misma clave que lo cifra, sin necesidad de compartir la clave por otra vía.
7.2. Envío a un profesional fuera del sistema
Cuando el destinatario está fuera del sistema, el documento se comparte por canal seguro —enlace privado con caducidad, plataforma de intercambio con autenticación, correo cifrado— y la clave de acceso viaja por canal distinto del propio documento. La política del centro define el canal habitual y las alternativas para casos concretos.
7.3. Envío al propio paciente
Cuando el paciente solicita copia de un documento cifrado, la clínica se la entrega descifrada por el canal autorizado por el paciente —correo, portal, entrega presencial— con las medidas correspondientes a la sensibilidad del contenido. La entrega descifrada es la operativa habitual en interacción con el propio titular de los datos.
8. Trazabilidad del acceso
Cada operación de descifrado queda registrada. Cifrado y trazabilidad se sostienen la una a la otra.Todo acceso a documento cifrado queda registrado en el sistema con la trazabilidad completa del acto. La combinación de cifrado y trazabilidad es lo que permite reconstruir después quién accedió a qué y cuándo.
8.1. Cada descifrado como evento
Cada operación de descifrado se registra como evento con la fecha, la hora exacta, el profesional que accedió, el ámbito del documento y el contexto del acceso —desde qué pantalla, con qué motivo si consta—. La retención de este registro sigue las reglas de trazabilidad general del sistema.
8.2. La revisión periódica del registro
La dirección clínica revisa periódicamente el registro de accesos a documentos cifrados para detectar patrones anómalos: descifrados en horario no habitual, accesos a expedientes sin cita asociada, volumen de descifrados inusualmente alto de un profesional concreto. La revisión es tarea de auditoría interna, tratada en trazabilidad de accesos internos.
8.3. La disponibilidad del registro ante requerimiento
El registro de accesos a documentos cifrados es accesible ante requerimiento del propio paciente en el ejercicio de su derecho de acceso, y ante requerimiento de la AEPD o de la autoridad judicial en el marco de sus funciones. La entrega del registro es en formato electrónico legible con las medidas correspondientes de protección durante el propio envío.
9. Qué aporta obeliOmed
Para que el cifrado documental cumpla su función técnica, el sistema tiene que aplicar cifrado real sobre los documentos y campos que lo necesitan, gestionar las claves con derivación por ámbito y rotación, y mantener trazabilidad completa de cada acceso.
9.1. La afirmación técnica anclada en el tiempo
Hoy, agosto de 2026, comprobado en el módulo de cifrado del propio sistema, obeliOmed cifra los documentos del expediente con AES-256-GCM y deriva claves por ámbito con HKDF-SHA-256, con rotación de claves gestionada por la infraestructura. Los servidores viven en España y el descifrado ocurre en el momento del acceso legítimo desde el propio sistema, con trazabilidad de cada operación. Esta afirmación es verificable hoy en el propio código del motor y por eso se ancla con fecha explícita: si el código cambia en el futuro, la afirmación se actualiza aquí, porque la política del centro debe reflejar el estado real del sistema y no un estado histórico.
9.2. Con qué se combina
El cifrado documental se apoya en el resto del despliegue del RGPD: control de accesos por rol, trazabilidad de cada operación, contrato con el encargado que gestiona la infraestructura. Todo eso vive en el mismo circuito, sostenido por el pilar del cumplimiento en RGPD en clínicas privadas.
10. Preguntas frecuentes sobre cifrado documental
¿Se cifra el expediente entero del paciente?
No. Se cifran los documentos con contenido sensible —consentimientos firmados, imágenes diagnósticas, informes clínicos, adjuntos aportados por el paciente— y campos concretos con protección específica —documento de identidad, cuenta bancaria, datos de alta sensibilidad—. Los metadatos operativos, los índices internos y los datos administrativos ordinarios no se cifran porque el sistema los usa continuamente y su cifrado impediría el funcionamiento sin aportar protección real. La distinción es importante porque los proveedores que ofrecen «cifrado del expediente entero» a menudo se refieren a cifrado del volumen de almacenamiento del servidor —protección contra el acceso físico— sin aplicar cifrado documental real sobre los ficheros concretos. Las dos capas son complementarias y no se sustituyen: el cifrado del volumen protege contra el acceso físico, el cifrado documental protege contra el uso ilegítimo desde el propio sistema y contra la filtración del fichero concreto.
¿Con qué algoritmo se cifra en la clínica?
La respuesta técnica concreta depende del sistema clínico que el centro utilice y puede cambiar con el tiempo si el proveedor actualiza el motor. Los estándares actuales en el sector consideran AES-256 en modo GCM como referencia sólida para cifrado simétrico de datos de salud, con derivación de clave por ámbito mediante HKDF-SHA-256 o similar y con rotación periódica de claves gestionada por la infraestructura. La regla operativa que ayuda a valorar al proveedor es preguntarle explícitamente qué algoritmo aplica, dónde se aplica, cómo se derivan las claves y con qué frecuencia se rotan. Una respuesta que se limita a decir «cifrado militar» o «cifrado del más alto nivel» sin detalle técnico verificable es insuficiente. La documentación técnica del proveedor tiene que permitir al centro justificar ante la AEPD qué medidas de cifrado aplica su sistema, y esa justificación tiene que apoyarse en información concreta comprobable en el propio código del motor.
¿Cifrar hace más lento el sistema?
El impacto sobre el rendimiento es habitualmente mínimo en operaciones ordinarias. Los algoritmos de cifrado modernos y las CPU actuales procesan las operaciones de cifrado y descifrado en tiempos imperceptibles para el uso interactivo, y la infraestructura habitual optimiza estas operaciones con soporte por hardware específico. La sobrecarga es más apreciable en operaciones masivas —descarga de gran volumen de imágenes, migración de datos, generación de informes agregados sobre muchos expedientes— pero incluso en esos casos rara vez es determinante para el rendimiento efectivo del sistema. Si el centro percibe lentitud atribuible al cifrado, la causa suele estar en configuraciones ineficientes o en infraestructura infradimensionada más que en el cifrado en sí. La regla operativa útil es probar el rendimiento con y sin cifrado en un entorno controlado antes de asumir que el cifrado es responsable de una lentitud percibida.
¿Qué pasa si se pierde la clave de cifrado?
Si la clave maestra que sostiene el cifrado se pierde íntegramente sin posibilidad de recuperación, los documentos cifrados quedan efectivamente inaccesibles, y esa es exactamente la razón por la que la custodia de la clave maestra vive en la infraestructura del sistema y no en el conocimiento operativo del centro clínico. La responsabilidad técnica de la custodia recae en el proveedor como encargado del tratamiento, con procedimientos específicos de gestión y de continuidad ante posibles incidencias con la clave. La arquitectura habitual en el sector incluye redundancia de custodia, procedimientos de recuperación controlada y separación de funciones para que la pérdida efectiva sea un escenario extraordinariamente improbable. La política de continuidad de la clínica debería contemplar este riesgo con el proveedor y confirmar qué garantías específicas de custodia existen antes de firmar el contrato de encargo del tratamiento con el proveedor concreto que se elija.
¿Cifrar el disco del servidor cumple el RGPD?
Es una medida útil pero insuficiente por sí sola en clínica sanitaria. El cifrado del disco del servidor protege contra el acceso físico al soporte —alguien que se lleva el disco no puede leerlo sin la clave del sistema operativo— pero no protege contra el uso ilegítimo desde el propio sistema en funcionamiento normal, que es el vector de riesgo más frecuente en la práctica sanitaria. La protección efectiva combina varias capas: cifrado del disco como línea base, cifrado documental sobre los ficheros con contenido sensible, cifrado de campos concretos en la base de datos, control de accesos por rol con trazabilidad, y trazabilidad completa de cada operación de descifrado. Cada capa protege contra un vector distinto y ninguna sustituye a las demás. Un proveedor que promete cumplimiento del RGPD apoyándose solo en el cifrado del disco está simplificando la realidad técnica del despliegue de protección de datos en el sector sanitario de forma que puede llevar a decisiones equivocadas.
¿El profesional necesita hacer algo especial para descifrar?
No en operaciones ordinarias. El descifrado es transparente para el profesional autorizado: el sistema descifra en el momento de la consulta con la clave correspondiente al ámbito y presenta el contenido legible, sin que el profesional tenga que introducir ninguna clave adicional ni realizar operación técnica. La autorización del profesional se comprueba con las credenciales ordinarias de acceso al sistema, y esa comprobación es la que autoriza el descifrado por parte del motor. La transparencia operativa es lo que hace usable el cifrado en la práctica: si cada apertura de un documento cifrado exigiera intervención específica del profesional, el cifrado se percibiría como carga y se relajaría de facto en el uso cotidiano. La misma transparencia aplica al almacenamiento —el profesional guarda el documento en el sistema y este lo cifra automáticamente— y al envío interno entre profesionales del propio sistema con autorización de acceso.
¿Y si envío el documento fuera del sistema?
Cuando el profesional descarga un documento cifrado para adjuntarlo a un informe externo o para consulta fuera del sistema, el descifrado se produce en el momento de la descarga y el fichero descargado ya no está cifrado por defecto. La política del centro puede exigir que la descarga se mantenga cifrada con clave que el propio profesional gestione, con las complicaciones operativas correspondientes de compartir clave por canal seguro con el destinatario. La operativa habitual para envío a paciente es entregar descifrado por el canal autorizado con las medidas correspondientes a la sensibilidad del contenido. La operativa para envío a otro centro sanitario es utilizar canal seguro específico —enlace privado con caducidad, plataforma de intercambio con autenticación— y la clave de acceso viaja por canal distinto del propio documento. La política del centro sobre envío fuera del sistema es parte de las medidas técnicas y organizativas que la clínica documenta como parte de su despliegue del RGPD.
¿Se puede afirmar ante la AEPD que el sistema está cifrado?
Se puede y se debe cuando es cierto, con el detalle técnico concreto y verificable en el propio código del motor. Ante la AEPD, la afirmación genérica de que «el sistema está cifrado» es insuficiente: la agencia pide detalle técnico específico sobre qué se cifra —documentos, campos, disco, tránsito por la red—, con qué algoritmo, cómo se gestionan las claves, con qué política de rotación, quién custodia la clave maestra. La documentación técnica del proveedor tiene que respaldar cada afirmación y la clínica tiene que poder acreditar que la información que declara refleja la realidad efectiva del sistema en el momento de la declaración. Las afirmaciones sobre algoritmos concretos son verificables y caducan si el código cambia: la política de cifrado del centro tiene que revisarse periódicamente para reflejar el estado real del sistema en cada momento, con actualización de la documentación correspondiente cuando el motor se modifica por el proveedor.
Pide una demo de obeliOmed
Sin permanencia · Demo personalizada para tu especialidad · Te respondemos en menos de 24 horas.
Más sobre documentación legal
Firma cualificada del paciente: cuándo la exige el procedimiento
Los casos concretos en los que el procedimiento exige firma cualificada del paciente, con las alternativas cuando no…
Leer artículo →
Sello electrónico del centro sanitario: cuándo firma la clínica, no el profesional
Qué distingue un sello electrónico de una firma personal, cuándo lo usa la clínica y qué documentos suele…
Leer artículo →
Consentimiento informado digital en oftalmología: firma biométrica sin papel
Cómo gestionar el consentimiento informado con firma biométrica: qué validez legal tiene, qué datos captura y cómo se…
Leer artículo →Información adicional
- Reglamento (UE) 2016/679 (RGPD) — artículo 32 sobre medidas técnicas y organizativas adecuadas.
- Agencia Española de Protección de Datos (AEPD) — guías sobre cifrado y seudonimización.
- Centro Criptológico Nacional (CCN) — recomendaciones técnicas sobre cifrado.
- RGPD en clínicas privadas: las 7 obligaciones concretas
- Sello electrónico del centro sanitario
- Contrato de encargado del tratamiento
- Trazabilidad de accesos internos a la historia clínica
Última actualización: agosto de 2026.
