Historia clínica y RGPD: plazos de conservación y derecho de acceso

1. Los plazos: cinco años es el suelo, no la respuesta

1.1. Lo que fija la ley estatal

El artículo 17 de la Ley 41/2002 de autonomía del paciente obliga a conservar la documentación clínica, como mínimo, cinco años contados desde la fecha del alta de cada proceso asistencial. Es una norma básica: fija el mínimo por debajo del cual nadie puede bajar. No dice que a los cinco años haya que destruir nada, y esa confusión es el origen de la mitad de las políticas de conservación mal escritas. El desglose por tipo de dato —consulta, cirugía, consentimiento, imagen diagnóstica, dato genético— vive en retención de la historia clínica por tipo de dato, y cada uno tiene su plazo específico más allá del mínimo genérico.

1.2. Lo que amplían las comunidades autónomas

Varias comunidades han legislado por encima de ese mínimo, y la diferencia no es menor. En Cataluña, el artículo 12 de la Ley 21/2000 exige quince años desde el alta de cada proceso para las hojas de consentimiento informado, los informes de alta, los informes quirúrgicos y el registro de parto, los datos de anestesia, los informes de exploraciones complementarias, los de necropsia y los de anatomía patológica; el resto puede destruirse a los cinco.

1.3. La consecuencia práctica: hay que mirar tu comunidad, y por documento

De ahí salen dos reglas que conviene tener escritas antes de tocar nada. La primera: el plazo aplicable es el de la comunidad donde presta el servicio el centro, y hay que comprobarlo, no suponerlo. La segunda: el plazo no es del expediente, es de cada tipo de documento dentro del expediente. Una política que trata la historia como un bloque único acaba guardando de más —lo que también es un incumplimiento— o destruyendo un consentimiento que tenía que seguir ahí.

2. Desde cuándo cuenta el plazo, que es donde casi todos fallan

2.1. Desde el alta del proceso, no desde la última visita

La norma no dice «desde la última vez que vino el paciente». Dice desde el alta de cada proceso asistencial. Son cosas distintas y se calculan distinto: un paciente que vuelve cada año por motivos nuevos genera un proceso nuevo cada vez, con su propio reloj. Contar desde la última visita alarga la conservación de todo lo anterior sin base legal, y guardar datos personales más allá de lo necesario es exactamente lo que el RGPD prohíbe.

2.2. Un paciente crónico no tiene un reloj, tiene muchos

En una consulta de seguimiento —glaucoma, un postoperatorio largo, una patología crónica— el proceso asistencial puede durar años y no cerrarse nunca formalmente. Mientras el proceso siga abierto, el plazo no ha empezado a correr. Y al revés: un proceso cerrado antes de tiempo pone en marcha un plazo que todavía no debía contar. Por eso el criterio de cierre de proceso tiene que estar definido en la clínica y aplicado en el sistema, y no depender de que alguien se acuerde de marcar un alta. Aquí ayuda tener la historia clínica estructurada en datos comparables.

2.3. Si el sistema no guarda esa fecha, no tienes política, tienes intención

Todo lo anterior depende de un dato muy concreto: la fecha de alta de cada proceso, guardada en un campo, no deducida de la última nota. Sin ese campo no se puede listar qué expedientes han cumplido plazo, ni acreditar ante una inspección por qué se destruyó lo que se destruyó. Una política de conservación que hay que aplicar a ojo, expediente por expediente, no se aplica: se pospone hasta que alguien pregunta.

3. El derecho de acceso: qué se entrega, cuándo y en qué formato

3.1. Un mes de plazo, y gratuito

El RGPD da al paciente derecho a obtener copia de sus datos, con un plazo de respuesta de un mes prorrogable a tres si la solicitud es compleja —y la prórroga hay que comunicarla dentro del primer mes, con su motivo—. La primera copia es gratuita. Solo cabe cobrar un canon razonable por copias adicionales manifiestamente repetitivas, y ese «razonable» es el coste real, no una tarifa disuasoria.

3.2. Copia, no «venga a mirarla»

El derecho es a obtener una copia, no solo a consultarla en el mostrador. Si la solicitud llega por medios electrónicos, la copia se facilita en un formato electrónico de uso común, salvo que el paciente pida otra cosa. Un PDF legible y completo vale; un montón de capturas sueltas o un formato que solo abre tu software, no. La historia clínica electrónica tiene que poder exportarse sin que nadie recomponga nada a mano.

3.3. Quién más puede pedirla

• El representante legal del paciente, acreditando la representación: es el punto donde más se falla al identificar a quien pide.
• Un tercero autorizado por el paciente, con autorización expresa y verificable, no con un mensaje reenviado.
• Personas vinculadas al fallecido por razones familiares o de hecho, con los límites del artículo 18.4 de la Ley 41/2002.
• Nadie más: ni la aseguradora, ni la empresa, ni un familiar «que se está encargando de todo», sin autorización del titular.

4. Lo que se queda fuera de la copia: terceros y anotaciones subjetivas

4.1. Los datos de terceros no salen

Una historia clínica suele contener información de personas que no son el solicitante: antecedentes familiares nombrados, el relato de un conflicto de pareja en una consulta de salud mental, datos de un donante. Ese contenido no se entrega, y no porque sea incómodo: entregarlo es una comunicación de datos sin base jurídica. Se retira antes de generar la copia, y la retirada se hace sobre el documento, no confiando en que el solicitante no lo lea.

4.2. Las anotaciones subjetivas del profesional

El artículo 18.3 de la Ley 41/2002 reserva al profesional sus anotaciones subjetivas, y el acceso puede limitarse en esa parte. Es una excepción estrecha, no un cajón donde meter lo que preferirías no enseñar: son impresiones personales del profesional, no hechos clínicos ni diagnósticos. Un diagnóstico no se convierte en anotación subjetiva porque sea delicado, y aplicar la excepción con manga ancha es de lo que se queja el paciente después.

4.3. Lo excluido se documenta

Cuando se entrega una copia parcial hay que decirlo y explicar el motivo: qué se ha retirado y bajo qué amparo. Callarlo se lee como ocultación en cuanto el paciente compara con lo que esperaba. Ese registro —qué se pidió, qué se entregó, qué se excluyó y por qué, con fecha— es lo que sostiene la respuesta si la reclamación llega a la Agencia, como se ve en qué sanciona la AEPD a clínicas sanitarias.

5. El derecho de supresión choca con el deber de conservar

5.1. Gana la obligación legal

El derecho de supresión no es absoluto. Cuando el tratamiento es necesario para cumplir una obligación legal —y conservar la documentación clínica lo es—, la supresión no procede. Así que a un paciente que pide que borres su historia se le responde, y se le explica por qué no se puede todavía y hasta cuándo. Lo que no vale es ignorar la solicitud: no atenderla en plazo es una infracción por sí sola, independientemente de que el fondo te dé la razón.

5.2. Bloquear no es borrar

La figura que resuelve el choque es el bloqueo, en el artículo 32 de la Ley Orgánica 3/2018: los datos se identifican y reservan con medidas técnicas y organizativas que impiden su tratamiento, y quedan a disposición exclusiva de jueces y tribunales, el Ministerio Fiscal o las administraciones competentes, hasta que prescriban las responsabilidades. En la práctica: fuera de las pantallas del día a día, dentro del archivo, y con el acceso registrado.

5.3. Y cuando prescribe, se destruye de verdad

Transcurrido ese plazo procede la destrucción definitiva, y ahí la palabra importa: destruir no es dejar de mostrar. Un registro marcado como borrado que sigue en la base de datos, en una copia antigua o en un volcado de pruebas no está destruido. Conviene tener escrito qué se destruye, con qué método y quién lo firma, porque es lo único que se puede acreditar después. Y sirve igual para la custodia legal del historial en psicología.

6. Qué pasa con el archivo si la clínica cierra

6.1. La obligación no se extingue con la sociedad

Cerrar la consulta o disolver la sociedad no cancela el deber de custodia: los plazos siguen corriendo sobre expedientes que ya no genera nadie. Es el punto que más veces se resuelve tarde y mal, con cajas en un trastero o un disco duro en casa de alguien. Y es también cuando aparece el problema de fondo: si el archivo solo se puede leer desde el software que se acaba de dar de baja, la obligación es materialmente imposible de cumplir.

6.2. Alguien tiene que quedar como depositario

Hay que designar quién custodia el archivo, con nombre, y comunicarlo a la autoridad sanitaria de la comunidad, que en varias regula expresamente el cierre de centros. El depositario asume las mismas obligaciones de seguridad y de atención a los derechos de acceso: un paciente puede pedir su copia dos años después de que la clínica cerrara, y alguien tiene que poder dársela.

6.3. Lo que hay que poder llevarse

Por eso el formato de salida deja de ser un detalle técnico y pasa a ser una obligación: exportación completa, en formatos abiertos, legible sin la aplicación original y con los documentos adjuntos incluidos. Merece comprobarse antes de contratar, no al darse de baja, y pesa en la decisión entre software médico en la nube y on-premise tanto como el precio.

7. La política de conservación, escrita y aplicable

7.1. Un documento corto, con plazos, responsables y excepciones

No hace falta un tratado: dos folios que digan qué tipos de documento maneja el centro, qué plazo tiene cada uno según la norma aplicable, desde cuándo cuenta, quién decide la destrucción y qué excepciones la suspenden. Es el documento que la inspección pide primero, y el que convierte una decisión aislada en la aplicación de un criterio. Encaja con el resto del cumplimiento del RGPD en clínicas privadas.

7.2. La depuración periódica, con acta

Una vez al año se listan los expedientes que han cumplido plazo, se revisan las excepciones —un litigio abierto, una reclamación, un requerimiento judicial suspenden la destrucción— y se destruye lo que queda. Se levanta un acta breve: qué lote, qué criterio, quién lo autorizó, qué método. Sin acta no hay forma de demostrar que se destruyó conforme a la política, y la política sin aplicar es peor que no tenerla, porque acredita que sabías qué debías hacer.

7.3. Las excepciones que suspenden el reloj

• Un procedimiento judicial o una reclamación en curso sobre esa asistencia: nada se destruye hasta que termine y sea firme.
• Un requerimiento de una autoridad —judicial, fiscal, sanitaria o de protección de datos— que afecte a ese expediente.
• Datos bloqueados a raíz de una solicitud de supresión: tienen su propio calendario, el de la prescripción de responsabilidades.
• Documentación relevante a efectos asistenciales, epidemiológicos o de investigación, que se conserva más allá del plazo general.

8. Qué medir para saber si la custodia está bajo control

8.1. Tiempo medio de respuesta a una solicitud de acceso

Contando desde que entra la solicitud, por el canal que sea, hasta que la copia sale. El plazo legal es de un mes, pero el número que importa es la media real: si está en veintiséis días, no tienes margen para la solicitud complicada, la baja del que la tramita o la semana de agosto. Y el contador tiene que arrancar cuando el paciente lo pide, no cuando alguien abre el correo.

8.2. Expedientes fuera de plazo sin decisión tomada

Cuántos expedientes han cumplido su plazo y siguen en el archivo sin que nadie haya decidido destruirlos ni haya anotado por qué se quedan. Es la métrica que revela si la política se aplica o solo existe. Debería ser cero después de cada depuración anual, y cualquier otra cifra es una lista de trabajo pendiente, no un dato de contexto.

8.3. Copias entregadas con datos de más

Se detecta revisando por muestreo las copias entregadas: buscar en ellas nombres de terceros o anotaciones que debieron quedar fuera. Es incómodo y por eso no se hace casi nunca, pero es el fallo que llega a la Agencia como reclamación de un tercero que no era ni paciente. El checklist de auditoría RGPD para clínicas incluye este repaso.

9. Qué aporta obeliOmed en la custodia del expediente

9.1. Dónde están los datos y qué va cifrado

Los servidores están en España. Los documentos clínicos y los campos marcados como sensibles se cifran con AES-256-GCM, con la clave derivada por ámbito mediante HKDF-SHA-256 y rotación de claves, y la conexión viaja bajo TLS. La integridad del dato —huella criptográfica, registro de solo añadir, verificación al descargar— es la capa complementaria que acredita que el dato conservado sigue diciendo lo que decía cuando se registró. Conviene la precisión: lo cifrado son los documentos y los campos marcados, no el expediente entero. Es un matiz que también importa al valorar un incidente, como se ve en la notificación de una brecha a la AEPD.

9.2. Trazabilidad, no bloqueo del dato

Cuando alguien corrige una prueba o un dato del expediente, el dato se modifica —un profesional que se equivoca al guardar tiene que poder rectificar—, pero el cambio queda registrado con su autor, su fecha y el valor anterior. Qué puede pedir el paciente en rectificación de su historia clínica y qué se queda fuera del derecho ordinario se trata aparte, junto con los plazos de respuesta del centro. El resto de la trazabilidad se apoya en que el cambio queda registrado con su autor, su fecha y el valor anterior. Es el mismo criterio que rige al corregir algo de un proceso ya cerrado. Eso es lo que pide la Ley 41/2002 de la documentación clínica, y lo que permite responder a las dos preguntas que llegan siempre juntas: qué decía antes el expediente, y quién lo tocó.

9.3. La copia es tuya, y eso resuelve el cierre

Cada centro puede descargar en cualquier momento una copia de sus propios datos. No es solo portabilidad frente al proveedor: es lo que hace materialmente posible cumplir la obligación de custodia si un día la clínica cierra, porque el archivo se puede llevar completo y seguir siendo legible. Los permisos, además, se conceden por rol y por pantalla, que es como se evita el acceso por curiosidad dentro del propio equipo.