Derecho de portabilidad de la historia clínica: qué se entrega y cómo

1. Portabilidad frente a acceso

Este artículo trata el derecho de portabilidad. El derecho de acceso vive aparte en derecho de acceso a la historia clínica. Aquí se decide qué se entrega cuando el paciente no solo quiere consultar su información sino recibirla en formato que permita transferirla a otro proveedor.

1.1. Dos derechos, dos objetivos

El derecho de acceso permite al paciente conocer qué se trata sobre él, con qué finalidad, quién accede y en qué condiciones. El derecho de portabilidad va más allá: permite recibir los datos en formato estructurado, de uso común y lectura mecánica, para poder transmitirlos a otro responsable del tratamiento sin obstáculo por parte del centro emisor.

1.2. Origen y alcance en el RGPD

El artículo 20 del RGPD introduce el derecho de portabilidad como novedad respecto a la normativa anterior. Su alcance se limita a los datos que el propio interesado ha facilitado al responsable y que se tratan por medios automatizados sobre la base del consentimiento o del contrato. Los datos derivados del tratamiento —diagnósticos, evolución— tienen tratamiento distinto en la portabilidad.

1.3. Lo que este artículo no cubre

Este artículo no ofrece asesoría jurídica de caso concreto ni sustituye la valoración del delegado de protección de datos. Cuenta qué es la portabilidad, en qué formato se entrega la historia clínica, qué datos se portan y qué no, y qué queda registrado del proceso. La decisión sobre el alcance concreto en una solicitud específica corresponde al responsable con asesoramiento cualificado.

2. Qué se entrega y en qué formato

El artículo 20 del RGPD exige entregar los datos en formato estructurado, de uso común y lectura mecánica. Esa exigencia técnica es la que distingue la portabilidad de la simple entrega de una copia impresa.

2.1. Formato estructurado

Los datos tienen que llegar organizados en campos identificables, no como texto libre en un documento. Un CSV con columnas nombradas, un JSON con claves y valores, un XML con etiquetas o cualquier otro formato que preserve la estructura de la información cumple el requisito. Un PDF con la información impresa como texto continuo no cumple.

2.2. Uso común

El formato tiene que ser de uso común en el sector, no un formato propietario que solo el propio proveedor pueda leer. En sanidad los estándares habituales incluyen HL7 FHIR para intercambio de historia clínica, CDA para documentos clínicos estructurados y formatos abiertos genéricos como CSV o JSON para datos administrativos.

2.3. Lectura mecánica

La entrega tiene que ser procesable por un sistema informático sin intervención humana. Los datos escaneados desde papel no cumplen; una descarga desde el sistema con la información codificada en campos sí. La regla operativa es: si el centro receptor tiene que retreclar la información, la portabilidad no se ha cumplido correctamente.

3. El plazo del centro

El RGPD marca plazo general de un mes para atender la solicitud, con posibilidad de ampliación dos meses adicionales en casos complejos.

3.1. Un mes desde la solicitud

El artículo 12 aplica al derecho de portabilidad con las mismas condiciones que a los demás derechos del interesado. La respuesta se entrega dentro del mes con la entrega efectiva de los datos o con la explicación motivada de por qué no procede en parte o en su totalidad.

3.2. Ampliación en casos complejos

La ampliación exige comunicación al interesado dentro del primer mes explicando el motivo. La portabilidad puede ser especialmente compleja cuando la historia clínica es muy voluminosa, cuando abarca muchos años o cuando incluye elementos de terceros que exigen tratamiento específico dentro del proceso de entrega.

3.3. La coordinación con el centro receptor

El paciente puede solicitar que la entrega se dirija directamente a otro responsable —el nuevo centro— cuando sea técnicamente posible. Esta modalidad exige coordinación entre ambos centros y la garantía de que el destinatario está autorizado por el paciente para recibir la información. La clínica emisora conserva la responsabilidad hasta que la entrega efectiva se completa.

4. El otro centro receptor

La coordinación técnica entre emisor y receptor es lo que hace útil la portabilidad en la práctica.

La portabilidad tiene sentido cuando el destinatario puede aprovechar los datos entregados. La coordinación técnica entre centros es una parte del proceso que la Ley 41/2002 favorece pero que la propia práctica del sector no siempre facilita.

4.1. Cuando el receptor usa el mismo estándar

Si el centro receptor trabaja con el mismo estándar de historia clínica —HL7 FHIR, CDA— la portabilidad funciona en su forma más eficiente: los datos llegan y se cargan sin retecleo. La convergencia hacia estándares abiertos es el escenario ideal y el que el RGPD pretende favorecer al establecer el derecho.

4.2. Cuando el receptor trabaja con formato propietario

Muchas clínicas trabajan con sistemas propietarios que no importan directamente los estándares abiertos. En este caso la portabilidad entrega los datos en formato estructurado abierto y el receptor asume el trabajo de importarlos a su propio sistema. La responsabilidad del emisor se agota entregando en formato correcto; la carga técnica de importación es del centro receptor.

4.3. Cuando el receptor no facilita la incorporación

Algunos centros receptores hacen difícil incorporar información de historia clínica externa alegando complicaciones técnicas o de organización. El paciente puede escalar la situación por vía del derecho de acceso al receptor y por reclamación a la AEPD si detecta obstrucción. El emisor no puede responder de lo que hace el receptor una vez entregada la información correctamente.

5. Datos que no se portan

El artículo 20 del RGPD limita el derecho de portabilidad a los datos que el propio interesado ha facilitado. Los datos derivados del tratamiento, los datos de terceros y algunos otros elementos tienen tratamiento distinto en la solicitud.

5.1. Los datos derivados del tratamiento

Diagnósticos emitidos por el profesional, evolución clínica, resultados de exploración, valoraciones firmadas. Todos estos son datos derivados del acto asistencial y no son datos facilitados por el paciente en sentido estricto del artículo 20. La AEPD y la doctrina europea aplican en la práctica un criterio flexible que incluye buena parte del contenido clínico en la portabilidad, pero conviene declarar el alcance concreto de cada entrega.

5.2. Los datos de terceros

Datos de familiares, de otros profesionales que han intervenido, de otros pacientes cuando el expediente incluye información compartida —consultas conjuntas, terapia familiar—. La portabilidad no puede vulnerar los derechos de terceros y esos datos se filtran de la entrega o se anonimizan en la medida necesaria antes de portar la información al nuevo destinatario.

5.3. Los documentos firmados por profesionales

Los consentimientos firmados por el paciente sí se portan porque el paciente los generó; los informes firmados por el profesional que atendió tienen tratamiento específico y su entrega en formato estructurado puede exigir preparación técnica adicional para preservar la firma electrónica cuando aplique, tema tratado en documento firmado que hay que modificar.

6. La conversación con el paciente

La solicitud de portabilidad llega a veces por escrito y a veces en la propia consulta cuando el paciente comenta que va a cambiar de centro. La conversación en el momento de la solicitud determina la calidad del cierre del caso.

6.1. Aclarar qué necesita el paciente

Un «quiero llevarme mi historia» puede significar: llevarla en papel para su archivo personal —eso es acceso—, entregarla al nuevo centro en formato importable —eso es portabilidad—, obtener copia de un documento específico. La respuesta correcta depende de qué opción concreta necesita, y aclararlo desde el primer momento evita repetir el proceso más adelante.

6.2. Explicar las limitaciones del formato receptor

El centro emisor puede desconocer las capacidades técnicas del centro receptor. La conversación puede incluir la sugerencia de que el paciente confirme con el receptor qué formato aceptan preferentemente, para preparar la entrega en la variante más útil. Esa coordinación proactiva reduce el retrabajo posterior.

6.3. Advertir de lo que no se porta

La conversación aclara qué elementos concretos van en la portabilidad y cuáles quedan fuera —datos de terceros, elementos derivados con tratamiento distinto—. La transparencia sobre el contenido efectivo de la entrega evita reclamaciones posteriores por expectativas no cumplidas sobre lo recibido en la portabilidad.

7. Trazabilidad de la entrega

Toda entrega de portabilidad queda registrada con la trazabilidad completa del proceso, con independencia de que el destinatario sea el propio paciente o directamente otro centro autorizado.

7.1. Qué queda en el expediente

La solicitud original del paciente con su fecha, la descripción del alcance de la entrega —qué datos se han incluido y cuáles no—, el formato utilizado, la fecha de entrega efectiva y el canal por el que se entregó. Cuando la entrega va directamente al centro receptor, se registra también la identificación del destinatario y la evidencia de la autorización del paciente para esa entrega directa.

7.2. La copia interna de lo entregado

La clínica conserva copia de lo entregado durante el mismo plazo que el resto del expediente. Esa copia es evidencia de qué información concreta se transfirió, lo que resulta útil ante cualquier disputa posterior sobre el alcance efectivo de la portabilidad realizada.

7.3. La accesibilidad a la AEPD

La documentación del proceso de portabilidad es accesible a la AEPD cuando la Agencia la requiere. La entrega en formato incorrecto o incompleto es infracción autónoma sancionable y la calidad de la trazabilidad del proceso es la primera defensa del centro ante una reclamación posterior, tratado en sanciones de la AEPD a clínicas sanitarias.

8. Cuando el paciente reclama

La entrega en formato incorrecto o incompleto es infracción autónoma sancionable.

Las reclamaciones sobre portabilidad son de las que más han crecido en la actividad de la AEPD en los últimos años, especialmente en contextos de cambio de proveedor sanitario donde el paciente encuentra dificultad para llevarse su información.

8.1. Los motivos habituales de reclamación

Entrega en formato no estructurado —PDF impreso donde se pidió fichero procesable—, alcance limitado sin motivación —solo parte de la historia sin explicación de qué queda fuera—, plazo incumplido sin comunicación de ampliación, cobro indebido por la entrega. Cada uno de estos motivos activa el circuito de reclamación con posibilidades reales de que la AEPD dé la razón al paciente.

8.2. La vía interna con el DPO

Cuando la clínica tiene DPO, el paciente puede reclamar internamente antes de escalar a la AEPD. El DPO revisa el caso y puede rectificar la entrega si detecta error, lo que resuelve buena parte de las disputas sin necesidad de intervención externa, tratado en cómo elegir un DPO.

8.3. La vía externa a la AEPD

La reclamación ante la AEPD abre expediente informativo con solicitud de alegaciones al centro. La resolución puede confirmar la actuación del centro, requerir rectificación de la entrega, o sancionar según la gravedad del incumplimiento. La calidad de la respuesta original del centro y la trazabilidad del proceso interno son los elementos principales de la defensa.

9. Qué aporta obeliOmed

Para que la portabilidad se atienda con formato correcto y trazabilidad completa, el sistema tiene que ofrecer exportación estructurada de la historia clínica en formatos abiertos y registro del proceso de entrega dentro del propio expediente.

9.1. Exportación estructurada disponible

En obeliOmed la clínica puede exportar la información del expediente en formato estructurado abierto sin retecleo ni conversión manual. La entrega se registra en el propio expediente con la fecha, el alcance y el destinatario si aplica. La responsabilidad de responder a la solicitud del paciente sigue siendo del centro; lo que el sistema aporta es no dejar a la clínica sin la infraestructura técnica para responder correctamente en tiempo y forma. Un sistema que no permite exportar en formato estructurado abliga a la clínica a improvisar la respuesta al derecho, y esa improvisación es la que la AEPD identifica en las reclamaciones que llegan.

9.2. Con qué se combina

La portabilidad forma parte del ejercicio de derechos del interesado que la clínica atiende, sostenido por el pilar del cumplimiento del RGPD en RGPD en clínicas privadas.