Derecho de acceso a la historia clínica: plazos, formato y qué se puede negar

1. Qué es el derecho de acceso, y qué no es

El derecho de acceso a la historia clínica es la facultad del paciente —y en casos concretos, de otros—, reconocida por la Ley 41/2002 y por el RGPD, de obtener del centro los datos personales que hay sobre él en la historia clínica, con la información sobre el tratamiento que se está haciendo y con la posibilidad de recibir copia de la documentación.

1.1. La ley específica pesa sobre el reglamento general

La Ley 41/2002 es lex specialis en materia de historia clínica: cuando entra en conflicto con las normas generales del RGPD, prevalece en lo que regula específicamente. El RGPD ampara el derecho de acceso genérico a los datos personales; la Ley 41/2002 fija el contenido de la historia clínica, las excepciones al acceso y el régimen de conservación. En la práctica, el centro aplica ambas: cumple los plazos del RGPD y respeta los límites de la Ley 41/2002.

1.2. No es una descarga técnica: es un derecho con procedimiento

El derecho de acceso no obliga al paciente a saber usar un portal ni a firmar por medios electrónicos concretos. Puede ejercerse por escrito, presencialmente en la clínica, por correo postal, por correo electrónico o por cualquier medio del que quede constancia. El centro debe tener una vía razonable habilitada y no puede exigir formas que dificulten el ejercicio del derecho.

1.3. Y no es lo mismo que la portabilidad

El derecho de acceso entrega copia legible de la información; el derecho de portabilidad —artículo 20 del RGPD— entrega los datos en formato estructurado y reutilizable para que el paciente pueda transferirlos a otro responsable. En sanidad la portabilidad está limitada por la propia naturaleza de la historia clínica —muchas anotaciones son de elaboración propia del profesional— pero los datos identificativos y estructurados sí son portables. Son derechos distintos y las peticiones deben distinguirse.

2. Quién puede pedirlo y cómo

La regla general es que el titular de los datos es quien puede ejercer el derecho, pero hay casos donde legítimamente otros están habilitados.

2.1. El propio paciente

El caso más común. El paciente adulto con capacidad ejerce el derecho por sí mismo, identificándose adecuadamente. La identificación es un requisito de seguridad: entregar historia clínica sin verificar la identidad expone al centro a comunicar datos al equivocado, lo cual es incidente RGPD.

2.2. Representante legal del menor o del incapaz

El titular de la patria potestad del menor o el tutor legal del incapacitado ejercen el derecho por representación. La Ley 41/2002 introduce el matiz del menor maduro: a partir de los 16 años, el propio menor puede ejercer sus derechos sanitarios en muchos contextos, y hay tensión con la petición del progenitor sobre historial del mayor de 16. El centro debe tener criterio claro documentado para estos casos.

2.3. Herederos del paciente fallecido

La Ley 41/2002 permite el acceso a familiares vinculados por razones familiares o de hecho al paciente fallecido, salvo que el propio paciente lo hubiera prohibido en vida. La motivación se limita al fin declarado —fines periciales, resolución de dudas médicas, herencia—, y el acceso no incluye anotaciones subjetivas del profesional cuando estas no aporten al fin declarado.

3. Los plazos, con números concretos

Un mes desde la peticion, ampliable a tres cuando la peticion es especialmente compleja.

Los plazos son la parte más medible del derecho, y donde más se equivocan los centros por descuido más que por mala fe.

3.1. Un mes desde la petición, ampliable a tres

El artículo 12 del RGPD fija el plazo general: el responsable debe facilitar la información en el plazo de un mes desde la recepción de la solicitud. El plazo puede prorrogarse dos meses más cuando la petición sea especialmente compleja o cuando haya muchas peticiones acumuladas, y en tal caso hay que informar al paciente de la prórroga dentro del primer mes con las razones.

3.2. La Ley 41/2002 no fija plazo específico

La normativa sanitaria de acceso a la historia clínica no establece plazo distinto, por lo que aplica el del RGPD. Las normativas autonómicas sí han desarrollado plazos concretos en algunos casos —a veces más cortos—, y el centro que opera en varias comunidades debe conocer las diferencias.

3.3. El plazo empieza cuando se recibe la petición identificada

El plazo se cuenta desde que el centro recibe la petición del paciente correctamente identificado. Si el centro necesita verificar la identidad porque la petición llegó con dudas, el plazo se cuenta desde que la identidad queda acreditada, pero la petición inicial debe registrarse y responderse rápido —«hemos recibido su petición, necesitamos verificar su identidad y le contestaremos en el plazo legal»— para que quede rastro de que el centro está actuando.

4. Qué debe contener la copia

El contenido del derecho de acceso se define en dos partes: la información sobre el tratamiento y la copia de los datos.

4.1. La información sobre el tratamiento

El paciente tiene derecho a saber para qué fines se tratan sus datos, quiénes son los destinatarios de los datos —terceros a los que se ha comunicado—, cuánto tiempo se conservan, cuáles son sus derechos y cómo ejercerlos. Esta información puede estar en la cláusula informativa del centro que se entrega en la primera visita, pero en respuesta a una petición formal de acceso debe reiterarse.

4.2. La copia de los datos

Copia de la historia clínica del paciente: notas, pruebas, informes, consentimientos, prescripciones. El detalle de qué es «historia clínica» está en el artículo 15 de la Ley 41/2002: hoja clínico-estadística, autorización de ingreso, informe de urgencia, anamnesis y exploración física, evolución, órdenes médicas, hoja de interconsulta, informes de exploraciones complementarias, consentimiento informado, informe de anestesia, informe de quirófano o de registro del parto, informe de anatomía patológica, evolución y planificación de cuidados de enfermería, aplicación terapéutica de enfermería, gráfico de constantes, informe clínico de alta.

4.3. Documentación de accesos anteriores

Por el RGPD, el paciente puede pedir información sobre quién ha accedido a sus datos personales y con qué fin. La auditoría de accesos del centro es lo que permite responder a esta parte de la petición sin reconstruir de memoria.

5. En qué formato se entrega

El formato no es libre: debe cumplir requisitos de legibilidad y de accesibilidad para el paciente.

5.1. Legible para el paciente

El paciente no es profesional sanitario. La copia debe ir en formato que pueda leer y entender —no todo, pero al menos lo estructurado—. Un dump técnico de la base de datos con códigos internos no es una entrega válida: el paciente no puede interpretarlo. Un documento organizado por episodio, con las notas legibles y los informes tal cual se emitieron, sí lo es.

5.2. Electrónico si la petición fue electrónica

Cuando el paciente pide el acceso por medios electrónicos, la respuesta debe ir por medios electrónicos también, salvo que el paciente pida otra cosa. El PDF firmado electrónicamente por el centro, entregado por correo o descargado por el paciente desde un enlace con caducidad, es la vía habitual. Enviar los datos personales por correo simple sin cifrado adicional deja el envío expuesto en tránsito y no es la mejor práctica.

5.3. Copia impresa cuando el paciente lo prefiera

Si el paciente prefiere entrega presencial en papel, el centro debe habilitarla. Especialmente relevante para pacientes mayores o con dificultades de acceso digital. El centro debe cubrir el coste normal de la primera copia; una segunda copia repetitiva sí puede llevar tarifa proporcional al coste administrativo.

6. Qué se puede restringir por Ley 41/2002

La Ley 41/2002 introduce dos límites al derecho de acceso, y son limitados: no autorizan al centro a negar el acceso completo.

6.1. Anotaciones subjetivas del profesional

El artículo 18.3 de la Ley 41/2002 permite reservar las anotaciones subjetivas del profesional que hizo la historia, cuando este las considere protegidas. No es una regla absoluta: la anotación debe ser genuinamente subjetiva —una impresión personal, no un dato objetivo— y la reserva debe estar motivada. La entrega debe indicar que se han reservado anotaciones concretas, no ocultar su existencia.

6.2. Derechos de terceros

El artículo 18.3 también permite reservar información cuando su entrega pudiera perjudicar los derechos de un tercero —por ejemplo, información aportada por un familiar bajo condición de confidencialidad—. La reserva se aplica a la parte concreta que afecta al tercero, no a toda la historia.

6.3. Lo que NO se puede negar

Los datos objetivos de la asistencia sanitaria del paciente no se pueden negar. Las pruebas, los diagnósticos, los tratamientos, los informes de alta, los consentimientos firmados forman parte de la historia clínica del paciente y le pertenecen. Un centro que niegue el acceso a datos objetivos vulnera la Ley 41/2002 y el RGPD, y expone a sanción y a reclamación civil por parte del paciente.

7. Qué debe hacer tu software para responder rápido

El sistema exporta el paquete de acceso en una operacion: sin preparacion manual seccion por seccion.

La disciplina para responder un mes puede parecer holgada, pero se agota rápido si cada petición se prepara a mano. El software del centro puede quitar la mayor parte del trabajo.

7.1. Exportar la historia completa de un paciente en un clic

Al recibir una petición identificada, el sistema debe permitir generar el paquete de acceso —historia clínica en formato legible, con episodios ordenados, pruebas y adjuntos incluidos, y la ficha del paciente— en una única operación. La preparación manual paciente por paciente, sección por sección, es la vía por la que se cumple el plazo con horas extras, no con proceso.

7.2. Aplicar automáticamente las reservas configuradas

Cuando el profesional ha marcado anotaciones como subjetivas y ha motivado la reserva, la exportación las excluye sin necesidad de revisar una a una. La marca se hace en el momento de escribir la anotación, no cuando llega la petición; llegado el momento del acceso, el filtro ya está hecho.

7.3. Documentar la respuesta como acto trazable

Cada petición de acceso queda registrada con fecha de recepción, fecha de respuesta, contenido entregado, autor que preparó y forma de entrega. Es la trazabilidad que permite defenderse ante una reclamación por respuesta insuficiente, y también forma parte de la auditoría RGPD del centro.

Y un cuarto criterio, más operativo. El procedimiento del centro debe estar escrito para que cualquier miembro del equipo pueda gestionar una petición razonablemente, no solo un especialista. Un procedimiento en la memoria de una persona es un procedimiento que falla el día que esa persona no está.

8. Errores frecuentes al gestionar el acceso

• Ignorar el plazo hasta el último día. Un mes se agota más deprisa de lo que parece.
• Exigir formas incómodas al paciente. Un formulario específico obligatorio o presencia física obligatoria son barreras y pueden considerarse denegación indirecta.
• Entregar un dump técnico ilegible para el paciente. No cumple el requisito de legibilidad.
• Cobrar por la primera copia. La primera es gratuita salvo casos excepcionales; el cobro rutinario es infracción.

8.1. El error que más caro sale: no verificar la identidad antes de entregar

Un correo llega pidiendo la historia de un paciente con datos verificables desde fuera —nombre, fecha de nacimiento— y el centro responde con la copia sin comprobar que el solicitante es realmente el paciente. La copia llega a un tercero que ha suplantado al titular. Es un incidente RGPD grave y perfectamente evitable con un paso de verificación: llamada a un teléfono ya registrado del paciente, contraste por un canal secundario ya verificado, entrega presencial con DNI. Añadir un día al plazo por verificar es infinitamente mejor que entregar al equivocado en menos de 24 horas.

8.2. Responder solo con la parte fácil

La petición pide «toda la información sobre mi tratamiento» y el centro entrega solo la copia de la historia sin la información sobre el tratamiento —fines, destinatarios, plazos—. La petición se responde a medias y el paciente puede volver a pedir la parte que falta, alargando el proceso y dando pie a una reclamación por respuesta incompleta. Responder entero la primera vez cierra el caso.

8.3. Improvisar el criterio sobre reservas caso a caso

Cada petición encuentra al profesional decidiendo en el momento qué anotaciones son subjetivas y qué reserva se aplica. La respuesta es inconsistente entre pacientes similares y difícil de defender. La disciplina razonable es que las anotaciones subjetivas se marquen como tales en el momento en que se escriben, con motivo documentado, y que la reserva se aplique automáticamente al preparar la respuesta.

9. Qué aporta obeliOmed con esto

9.1. Paquete de acceso generado en una operación

obeliOmed permite generar el paquete de derecho de acceso desde la ficha del paciente: exporta la historia clínica en formato legible, con episodios ordenados y adjuntos incluidos, y añade la cláusula informativa sobre el tratamiento —fines, destinatarios, conservación, derechos—. La operación es única y su resultado queda registrado como acto en el expediente.

9.2. Reserva de anotaciones aplicada por marca previa

Cuando el profesional escribe una anotación y la marca como subjetiva con motivo, la marca se aplica automáticamente al preparar la respuesta al derecho de acceso, sin necesidad de revisar cada anotación en el momento de la petición. La coherencia es del centro; el sistema la sostiene.

9.3. Lo que no hace, dicho antes de que lo preguntes

obeliOmed no decide por el centro qué anotaciones son subjetivas ni cuándo se aplica la excepción por derechos de terceros: esas son decisiones clínicas y jurídicas que hace el profesional o el responsable del centro con criterio propio. El sistema aplica lo marcado; no juzga por sí solo si una anotación merece reserva.