Derecho al olvido en sanidad: qué es y cómo se ejerce cuando choca con la conservación clínica

1. Qué es el derecho al olvido, en una frase

El derecho al olvido es el derecho reconocido en el RGPD y en la LOPDGDD por el que el interesado puede solicitar al responsable del tratamiento la supresión de sus datos personales cuando ya no sean necesarios para la finalidad del tratamiento, cuando haya retirado el consentimiento, cuando se haya opuesto al tratamiento sin motivo legítimo imperioso o cuando concurra alguna de las restantes circunstancias que el artículo 17 del RGPD prevé expresamente para su ejercicio.

1.1. Derecho reconocido pero con límites

El derecho al olvido es derecho subjetivo reconocido pero no absoluto: el propio RGPD establece excepciones tasadas donde el derecho no puede ejercerse por prevalecer otros intereses legítimos. En el ámbito sanitario, la excepción por cumplimiento de obligación legal —conservación obligatoria de historia clínica según Ley 41/2002— es la más relevante y limita significativamente el alcance del derecho al olvido en la práctica asistencial cotidiana del sector correspondiente al centro sanitario.

1.2. Ejercicio a instancia del paciente

El derecho al olvido se ejerce a solicitud del paciente, que debe dirigirse al responsable del tratamiento —el centro sanitario— por los canales habilitados. El centro tiene obligación de responder en el plazo legal con la decisión motivada sobre la solicitud: aceptarla si no concurre ninguna excepción, denegarla parcial o totalmente si concurre alguna excepción con la fundamentación jurídica correspondiente a la denegación motivada del ejercicio del derecho por el paciente solicitante.

2. Cómo lo regula el RGPD

El marco jurídico del derecho al olvido está en el artículo 17 del RGPD.

2.1. Artículo 17

El artículo 17 del RGPD reconoce el derecho a la supresión —el término oficial que la doctrina llama coloquialmente derecho al olvido— con las circunstancias que dan lugar al ejercicio: datos ya no necesarios, retirada del consentimiento, oposición sin motivo legítimo imperioso, tratamiento ilícito, cumplimiento de obligación legal de supresión, datos de menores recabados sin consentimiento del titular de la patria potestad. Cualquiera de estas circunstancias activa el derecho del interesado a solicitar la supresión.

2.2. Excepciones del apartado 3

El apartado 3 del artículo 17 establece excepciones donde el derecho no aplica: ejercicio del derecho a la libertad de expresión, cumplimiento de obligación legal del responsable, razones de interés público en el ámbito de la salud pública, fines de archivo en interés público, investigación científica o histórica, formulación o defensa de reclamaciones. Las excepciones son tasadas y su aplicación exige justificación motivada. La excepción por obligación legal de conservación es la más relevante en el ámbito sanitario privado.

2.3. LOPDGDD y derechos digitales

La LOPDGDD desarrolla el derecho al olvido en el Título X sobre derechos digitales, con las precisiones nacionales sobre supuestos concretos y con el reconocimiento del derecho al olvido en búsquedas de internet y en redes sociales como derechos autónomos. En el ámbito estrictamente sanitario, la LOPDGDD reproduce esencialmente el régimen del RGPD con las adaptaciones nacionales aplicables al tratamiento de datos de salud correspondiente al régimen jurídico general del centro sanitario privado.

3. Choque con la conservación clínica

La articulación entre derecho al olvido y conservación obligatoria de la historia clínica genera situaciones prácticas específicas.

3.1. Obligación legal de conservación

La Ley 41/2002 obliga al centro sanitario a conservar la historia clínica durante los plazos legales mínimos. Esta obligación legal es excepción tasada al derecho al olvido según el artículo 17.3 del RGPD: mientras dure la obligación de conservación, la solicitud de supresión no puede atenderse en la parte que afecte a la historia clínica bajo obligación de conservación. La retención y conservación obligatoria prevalece sobre la solicitud de olvido del paciente correspondiente.

3.2. Alcance de la excepción

La excepción por obligación legal cubre solo la parte de los datos que están sujetos a esa obligación. Datos personales del paciente que no formen parte estricta de la historia clínica —por ejemplo, información en bases de datos de gestión comercial sin obligación específica de conservación— pueden suprimirse a solicitud del paciente aunque otros datos de la historia clínica no puedan suprimirse. La distinción entre categorías de datos y su régimen específico de conservación es clave para la respuesta correcta al ejercicio del derecho por el paciente solicitante.

3.3. Después del plazo mínimo

Una vez cumplido el plazo mínimo de conservación de cada episodio, cesa la obligación legal y el derecho al olvido recupera plenamente su vigencia sobre esos datos. El paciente que solicite supresión de información con plazo cumplido tiene derecho a que se atienda la solicitud, salvo que concurra otra excepción distinta que la ampare. La política del centro debe articular claramente qué información está bajo obligación de conservación en cada momento y qué información ya está fuera de esa obligación correspondiente al régimen aplicable.

4. Qué se puede suprimir y qué no

La distinción entre lo suprimible y lo no suprimible tiene matices prácticos concretos.

4.1. Historia clínica bajo obligación

La historia clínica con episodios cuyo plazo mínimo de conservación aún no ha cumplido no es suprimible a solicitud del paciente por prevalencia de la obligación legal. Esta parte —habitualmente la mayor parte del expediente clínico— queda amparada por la excepción del artículo 17.3 del RGPD. La denegación motivada de la supresión sobre esta parte es correcta y protege al centro ante cualquier reclamación posterior sobre la conservación efectuada correspondiente al tratamiento realizado.

4.2. Datos accesorios sin obligación específica

Datos personales del paciente en bases de datos accesorias sin obligación específica de conservación pueden suprimirse a solicitud del paciente: datos comerciales de contacto no vinculados directamente a la asistencia sanitaria, información de campañas promocionales, datos en bases de fidelización o de comunicación no asistencial. Estos datos accesorios están sujetos al régimen general del RGPD y el derecho al olvido puede ejercerse sobre ellos sin la excepción de la obligación legal específica de conservación clínica.

4.3. Información de episodios con plazo cumplido

Los datos de episodios asistenciales cuyo plazo mínimo de conservación ya ha cumplido y donde no concurre otra excepción específica pueden suprimirse a solicitud del paciente. La política del centro debe articular esta posibilidad con la trazabilidad de las supresiones efectuadas y con la coherencia técnica correspondiente. La conservación adicional más allá del plazo mínimo requiere justificación por finalidad legítima concreta que puede oponerse al ejercicio del derecho al olvido en cada caso correspondiente al tratamiento realizado.

5. Cómo debe responder el centro

La respuesta a una solicitud de derecho al olvido tiene requisitos formales concretos.

5.1. Plazo de respuesta

El centro tiene plazo de un mes para responder a la solicitud, ampliable a dos meses adicionales cuando la complejidad de la solicitud lo justifique con comunicación previa al solicitante. El plazo se cuenta desde la recepción efectiva de la solicitud en el centro. Superar el plazo sin respuesta es infracción con las consecuencias correspondientes ante la AEPD. La operativa del centro debe articular flujos que garanticen respuesta en plazo con la coherencia correspondiente al tratamiento.

5.2. Respuesta motivada

La respuesta debe ser motivada: si se atiende la solicitud, con la información sobre qué se ha suprimido y con qué documento acreditativo del proceso; si se deniega parcial o totalmente, con la fundamentación jurídica de la denegación —artículo 17.3 del RGPD, obligación legal de conservación por Ley 41/2002, plazo mínimo aplicable al episodio concreto—. La motivación permite al solicitante entender la respuesta y ejercer sus derechos posteriores —reclamación ante la AEPD, tutela judicial— con conocimiento de causa correspondiente.

5.3. Información sobre recursos

La respuesta debe informar al solicitante sobre los recursos disponibles ante la decisión del centro: reclamación ante la AEPD, tutela judicial de derechos fundamentales en supuestos concretos, otros mecanismos aplicables. Esta información sobre recursos es requisito del artículo 12 del RGPD y protege el ejercicio efectivo de derechos del interesado ante decisiones del responsable del tratamiento que puedan considerarse insuficientes o improcedentes correspondientes al ejercicio realizado por el centro correspondiente.

6. Documentación imprescindible

La gestión del derecho al olvido requiere documentación específica para garantías del proceso.

6.1. Registro de la solicitud

La solicitud del paciente se registra formalmente con fecha de recepción, identidad del solicitante verificada, alcance de la solicitud —qué datos se piden suprimir— y motivos alegados. El registro es requisito de la trazabilidad del proceso y permite responder ante reclamación posterior sobre el trámite dado a la solicitud. La verificación de identidad del solicitante es imprescindible para evitar suprimir información a solicitud de persona no autorizada correspondiente al paciente titular de los datos.

6.2. Análisis motivado

El análisis motivado de la solicitud queda documentado con la valoración de cada categoría de datos, la aplicación de las excepciones que correspondan, la fundamentación jurídica de las decisiones adoptadas y la firma del responsable —habitualmente el DPD o el responsable del tratamiento— que asume la decisión. Este análisis es la base de la respuesta al solicitante y de la defensa ante cualquier reclamación posterior sobre la decisión adoptada correspondiente al ejercicio del derecho por el paciente.

6.3. Certificación de las acciones ejecutadas

Las supresiones o anonimizaciones efectivamente ejecutadas se certifican con acta o documento equivalente que acredite el proceso técnico realizado, con la trazabilidad de qué información concreta ha sido tratada y con qué garantías de irreversibilidad. La certificación permite responder ante requerimiento sobre la ejecución efectiva de la decisión y protege al centro ante reproches posteriores sobre el proceso técnico aplicado a la información del paciente correspondiente al tratamiento realizado.

7. Qué debe cumplir tu software con el derecho al olvido

Cuatro criterios comprobables antes de asumir que el sistema soporta bien la gestión del derecho.

7.1. Los dos criterios estructurales

• Panel de derechos ARSOPL con recepción y trazabilidad de solicitudes.
• Análisis por categoría de datos con identificación de excepciones aplicables.

7.2. Los dos criterios operativos

• Supresiones y anonimizaciones trazables con certificación del proceso técnico.
• Respuesta al solicitante con fundamentación jurídica documentada en el sistema.

7.3. La prueba con una solicitud simulada

Coge una solicitud imaginaria de derecho al olvido de un paciente con historia clínica activa y con episodios variados. Simula el análisis: identifica qué categorías están bajo obligación de conservación, qué categorías pueden suprimirse, cuál es la fundamentación jurídica de cada decisión y cómo se documenta la respuesta al solicitante. Si el flujo cierra en el plazo con evidencia técnica y jurídica objetiva, el sistema soporta bien la gestión con la solvencia que la AEPD puede requerir correspondiente al ejercicio del derecho por el paciente.

8. Errores frecuentes al hablar del derecho al olvido

Tres confusiones habituales sobre el derecho al olvido en sanidad.

8.1. «El paciente puede exigir que borre toda su historia clínica»

La obligación legal de conservación de la historia clínica según la Ley 41/2002 prevalece sobre el derecho al olvido durante los plazos mínimos de conservación. El paciente puede solicitar la supresión pero el centro debe denegarla motivadamente en la parte que afecta a información bajo obligación de conservación. La denegación motivada es correcta y no vulnera el derecho al olvido, porque la excepción por obligación legal está expresamente reconocida en el artículo 17.3 del RGPD correspondiente al régimen jurídico aplicable al tratamiento.

8.2. «El centro puede ignorar la solicitud si no procede la supresión»

Aunque la supresión no proceda por prevalencia de la obligación legal, el centro tiene obligación de responder motivadamente a la solicitud en el plazo legal. Ignorar la solicitud —no responder— es infracción independiente de la procedencia o no de la supresión solicitada. La respuesta debe explicar por qué no procede la supresión, con la fundamentación jurídica correspondiente y con información sobre recursos disponibles. La ausencia de respuesta es lo que puede sancionar la AEPD, independientemente del fondo de la decisión correspondiente al ejercicio del derecho.

8.3. «Con cumplir el plazo mínimo puedo suprimir automáticamente»

Cumplido el plazo mínimo, la conservación adicional puede seguir siendo procedente por finalidad legítima concreta —valor asistencial del histórico, investigación biomédica—. La supresión automática al cumplirse el plazo mínimo sin análisis específico puede eliminar información con valor asistencial legítimo. La política del centro debe articular análisis específico al finalizar el plazo con la valoración de finalidades adicionales, con la coherencia con las orientaciones de la AEPD sobre conservación proporcional a la finalidad concreta correspondiente al ejercicio realizado.

9. Qué aporta obeliOmed con esto

El sistema estructura la gestión del derecho al olvido con la coherencia jurídica que la operativa exige.

9.1. Panel de derechos ARSOPL integrado

El sistema tiene panel específico de gestión de derechos ARSOPL con recepción de solicitudes, trazabilidad del proceso, asignación al DPD del centro, gestión del plazo legal con alertas ante próximo vencimiento y documentación de la decisión adoptada. La operativa habitual del centro atiende las solicitudes desde este panel con la coherencia procesal correspondiente al régimen aplicable al derecho ejercido por el paciente correspondiente.

9.2. Análisis por categoría con excepciones

El sistema facilita el análisis por categoría de datos con identificación de las excepciones aplicables a cada categoría —obligación legal de conservación por Ley 41/2002 con los plazos mínimos calculados desde el evento relevante, otras excepciones específicas—. La decisión motivada se documenta con la fundamentación jurídica y con la coherencia con las excepciones reconocidas por el artículo 17.3 del RGPD correspondiente al ejercicio realizado por el paciente.

9.3. Certificación de acciones ejecutadas

Las supresiones o anonimizaciones ejecutadas al atender parcialmente la solicitud se certifican con acta del proceso técnico realizado. La certificación queda archivada junto a la solicitud original y a la respuesta motivada, con la trazabilidad completa del proceso disponible para responder ante requerimiento posterior o ante reclamación del solicitante ante la AEPD sobre el trámite dado a su solicitud del derecho al olvido correspondiente al ejercicio realizado.