El informe de accesos del DPO: qué debe incluir y para qué sirve cada dato
El delegado de protección de datos necesita saber quién accedió a qué datos clínicos, cuándo y por qué. Este artículo explica qué debe contener el informe de accesos para que sea útil ante una revisión interna, una inspección de la AEPD o una reclamación del paciente.
El informe de accesos del DPO responde a cuatro preguntas: quién accedió, a qué datos, cuándo y desde dónde. Si falta una, el informe no cumple.
1. Para qué sirve un informe de accesos
El informe de accesos es la herramienta que permite al DPO verificar que los datos clínicos se están consultando de forma legítima. Sin él, el control de acceso existe en la configuración pero nadie verifica si funciona en la práctica.
1.1. Verificar que los permisos se usan como se diseñaron
Configurar los permisos por rol es la primera mitad del trabajo. La segunda es comprobar que los accesos reales se corresponden con lo esperado. Un médico que accede a historiales de pacientes que tiene en agenda es normal. Un médico que accede a historiales de pacientes de otro centro donde no trabaja es una anomalía. El informe de accesos es lo que permite distinguir uno del otro.
1.2. Detectar accesos fuera de patrón
El informe no solo sirve para confirmar que todo está bien: su valor principal está en detectar lo que no está bien. Un administrativo que consulta datos clínicos, un profesional que accede a historiales de famosos, un usuario que descarga datos sin motivo aparente. Esas anomalías pueden ser errores de configuración, curiosidad sin mala intención o indicios de un problema más serio. El informe las hace visibles; la investigación posterior determina qué son.
1.3. Responder a preguntas concretas
Cuando un paciente pregunta quién ha visto su historia clínica, el DPO tiene que poder responder con precisión. Cuando la AEPD investiga una brecha de seguridad, una de las primeras cosas que pide es el registro de accesos al dato afectado. Cuando un profesional es acusado de acceso indebido, el informe es la prueba que confirma o desmiente la acusación. En los tres casos, la calidad de la respuesta depende de la calidad del informe.
2. El contenido mínimo: los cinco campos imprescindibles
Un informe de accesos que no contenga estos cinco campos no es un informe: es un listado incompleto que no permite llegar a ninguna conclusión.
2.1. Quién accedió: la identidad del usuario
El nombre de usuario, el nombre completo del profesional y su rol en el sistema. Si el informe dice que «el usuario 347» accedió a un historial y hay que cruzar tablas para saber quién es el usuario 347, el informe no es operativo. La identidad tiene que ser legible sin consultas adicionales, e incluir el rol para que el revisor pueda evaluar si el acceso es coherente con la función.
2.2. Qué dato se consultó: el alcance del acceso
No basta con saber que se accedió a la ficha del paciente. El informe debería indicar qué tipo de dato se consultó: datos de identificación, historial clínico, resultados de pruebas, consentimientos, notas de evolución. La granularidad importa: un recepcionista que consulta el nombre y el teléfono del paciente es normal; el mismo recepcionista consultando los diagnósticos no lo es.
2.3. Cuándo: fecha y hora del acceso
La marca temporal permite cruzar el acceso con la agenda del profesional. Si un médico accedió al historial de un paciente a las diez de la mañana y el paciente tenía cita a las diez, el acceso es coherente. Si accedió a las once de la noche de un domingo, merece explicación. La hora también permite reconstruir secuencias: si un usuario consultó cincuenta historiales en media hora, el patrón sugiere una exportación encubierta, no una atención clínica normal.
Para directores de clínica
¿Tu clínica todavía gestiona esto de forma manual?
Descubre qué procesos puedes automatizar sin cambiar cómo trabajas, y cuánto tiempo recuperas cada semana.
3. Tipos de acceso que deben aparecer en el informe
No todos los accesos son iguales. El informe debería distinguir entre tipos para facilitar la revisión.
3.1. Consulta: lectura de datos
La consulta es el acceso más frecuente: el profesional abre la ficha del paciente y lee los datos. Es el tipo de acceso que genera más registros y el que menos preocupación causa individualmente. Pero en volumen, las consultas fuera de patrón son la señal de alerta más común: muchas consultas a pacientes sin cita, consultas a horas inusuales o consultas desde un centro al que el profesional no está vinculado.
3.2. Modificación: escritura de datos
Las modificaciones son menos frecuentes pero más relevantes. Si alguien edita un dato clínico, el informe debería registrar qué se modificó, cuál era el valor anterior y cuál es el nuevo. Las modificaciones son especialmente sensibles en notas clínicas y diagnósticos, donde un cambio puede alterar el historial del paciente. La trazabilidad de las modificaciones no es solo una buena práctica: la Ley 41/2002 la exige.
Un registro de accesos que se genera bajo demanda tarda horas; uno que se genera solo desde la traza del sistema tarda segundos y no depende de nadie.
3.3. Exportación: extracción de datos
Las exportaciones merecen una sección propia en el informe. Son operaciones irreversibles que sacan datos del sistema y que, por su naturaleza, necesitan una justificación más fuerte que una consulta. El informe debería mostrar cuántas exportaciones se han hecho en el período, quién las hizo, qué alcance tenían y si tenían un motivo registrado.
4. Cómo filtrar el informe para que sea manejable
Un informe de accesos sin filtrar en una clínica con treinta profesionales y cien pacientes al día genera miles de registros semanales. Sin filtros, es inmanejable.
4.1. Filtrar por paciente
Cuando un paciente ejerce su derecho de acceso o presenta una reclamación, el DPO necesita el informe filtrado por ese paciente concreto: quién accedió a sus datos, cuándo y qué consultó. El filtro por paciente es el más frecuente y el que debe resolverse más rápido, porque suele tener un plazo legal de respuesta.
4.2. Filtrar por usuario
Cuando un profesional es investigado por un posible acceso indebido, el filtro es por usuario: a qué pacientes accedió en un período determinado, cuántas veces, qué tipo de datos consultó. El filtro por usuario permite reconstruir la actividad completa de una persona y detectar si algún acceso no tiene justificación asistencial.
4.3. Filtrar por anomalía
El filtro más útil para la revisión periódica es el de anomalías: accesos fuera de horario, accesos a pacientes sin cita, accesos desde centros no vinculados, exportaciones sin motivo. Este filtro convierte un listado de miles de registros en una lista corta de casos que merecen revisión. Es el que el DPO debería usar cada semana o cada mes para la revisión periódica.
5. Las anomalías: qué buscar y cómo interpretarlas
Una anomalía no es una infracción: es un dato que no encaja con el patrón esperado y que merece una explicación.
5.1. Acceso sin relación asistencial
Un profesional que accede al historial de un paciente que no tiene en agenda y que no ha derivado. Puede tener explicación —una urgencia, una consulta informal entre colegas—, pero si no la tiene, es un acceso que no debería haberse producido. El informe lo hace visible; la investigación determina si fue legítimo.
5.2. Volumen inusual
Un usuario que consulta muchos más historiales de lo habitual en un período corto. Puede ser un coordinador que revisa la agenda del día siguiente, o puede ser alguien que está descargando datos. El contexto importa: el mismo volumen que es normal para un coordinador es anómalo para un auxiliar clínico.
5.3. Acceso a historiales de figuras públicas
Los historiales de personajes públicos, famosos o personas conocidas en el entorno de la clínica son especialmente sensibles. La curiosidad es humana, pero acceder al historial de alguien conocido sin relación asistencial es un acceso indebido. Algunas clínicas configuran alertas automáticas para estos historiales; otras los revisan de forma específica en cada período.
6. Con qué frecuencia se genera el informe
La frecuencia depende del tamaño de la clínica y del volumen de accesos, pero hay mínimos razonables.
6.1. Revisión mensual para la mayoría de las clínicas
Una revisión mensual del informe de anomalías es suficiente para la mayoría de las clínicas privadas. Permite detectar patrones sin generar una carga de trabajo excesiva para el DPO. Si la revisión mensual no encuentra anomalías durante varios meses seguidos, eso es una buena señal, no un motivo para dejar de hacerla.
6.2. Revisión inmediata ante un incidente
Si se sospecha un acceso indebido, un empleado deja la clínica de forma conflictiva o un paciente presenta una queja, el informe se genera de inmediato para el paciente o el usuario afectado. La capacidad de generar un informe ad hoc en minutos, no en días, es lo que marca la diferencia entre una clínica que controla sus accesos y una que solo los registra.
Pide una demo de obeliOmed
Sin permanencia · Demo personalizada para tu especialidad · Te respondemos en menos de 24 horas.
7. El informe ante una inspección de la AEPD
Cuando la AEPD inspecciona, el informe de accesos es una de las evidencias que pide. Lo que busca es la capacidad de la clínica para demostrar quién accedió a qué datos.
7.1. Lo que la AEPD evalúa no es el número de accesos
La AEPD no sanciona por el número de accesos a datos clínicos. Sanciona por la falta de control: por no poder demostrar quién accedió, por no tener registro de accesos, por no limitar el acceso a lo necesario, por no detectar anomalías. Un informe completo con algunas anomalías explicadas es mejor que la ausencia de informe.
7.2. La trazabilidad completa como evidencia de diligencia
Presentar un informe que muestre los accesos del período investigado, filtrado por el paciente afectado, con la identidad del usuario, la marca temporal y el tipo de dato consultado, demuestra que la clínica tiene un sistema de control de accesos operativo. No que todo está perfecto —puede haber anomalías—, sino que la clínica sabe lo que pasa con los datos de sus pacientes y tiene capacidad para investigarlo.
7.3. Lo que no se puede presentar
Un listado de logs técnicos en formato crudo que requiere un ingeniero para interpretarlo no es un informe de accesos. La AEPD evalúa la capacidad de la clínica para controlar el acceso, no la capacidad técnica de su equipo informático. El informe tiene que ser legible por alguien que entienda la organización de la clínica, no solo por alguien que entienda la base de datos.
8. Los errores más frecuentes en los informes de accesos
Los errores no están en el dato registrado, sino en lo que no se registra o en cómo se presenta.
8.1. Registrar el acceso sin el contexto
Un registro que dice «usuario 347 accedió a la ficha del paciente 1289» sin indicar qué datos consultó, a qué hora ni desde qué centro es un registro incompleto. El acceso se registró, pero no se puede evaluar si fue legítimo sin cruzarlo manualmente con otras fuentes. El registro debería ser autosuficiente: un revisor debería poder evaluar cada línea sin consultas adicionales.
8.2. No distinguir entre tipos de acceso
Un informe que mezcla consultas, modificaciones y exportaciones en una misma lista sin distinguirlas obliga al revisor a evaluar cada registro individualmente. Si el informe separa los tipos de acceso, el revisor puede centrarse primero en las exportaciones —más riesgosas—, después en las modificaciones y finalmente en las consultas anómalas.
8.3. No revisar el informe
El error más frecuente no es técnico: es no revisarlo. Una clínica que genera un informe de accesos cada mes y lo archiva sin que nadie lo lea tiene un registro, pero no tiene un control. El informe existe para ser revisado, y la revisión existe para detectar problemas antes de que se conviertan en incidentes. Un informe sin revisor es un archivo muerto.
El informe del DPO no es un trámite: es el documento que demuestra que alguien mira quién accede y cuándo.
9. Qué aporta obeliOmed
obeliOmed genera el informe de accesos con los cinco campos imprescindibles y los filtros que el DPO necesita para trabajar.
9.1. Informe filtrable por paciente, usuario, centro y tipo de acceso
El DPO puede generar un informe para un paciente concreto en minutos, filtrado por el período que necesite. También puede filtrar por usuario —para investigar a un profesional—, por centro —para la auditoría periódica— o por tipo de acceso —para revisar las exportaciones del mes—. Los filtros se combinan: «exportaciones del usuario X en el centro A durante julio» es una consulta directa, no una extracción manual.
9.2. Detección automática de anomalías
El sistema marca los accesos que no encajan con el patrón esperado: accesos fuera de horario habitual, accesos a pacientes sin relación asistencial activa, exportaciones sin motivo y consultas desde centros no vinculados. Esas marcas no son acusaciones: son señales que el DPO revisa y que, en la mayoría de los casos, tienen una explicación legítima. Pero las que no la tienen se detectan antes de que se conviertan en incidentes.
10. Preguntas frecuentes sobre el informe de accesos del DPO
¿El paciente puede pedir una copia de su informe de accesos?
Sí. El paciente tiene derecho a saber quién ha accedido a sus datos de salud. La clínica debe poder generar un informe filtrado por ese paciente y entregárselo en un plazo razonable. El informe que recibe el paciente contiene los accesos a sus datos, pero no los datos de otros pacientes ni información interna del sistema que no sea relevante para su solicitud. La respuesta debería ser comprensible sin conocimientos técnicos: quién, cuándo y qué tipo de dato, no códigos de base de datos.
¿Cuánto tiempo se conserva el registro de accesos?
El registro de accesos se conserva como mínimo durante el mismo período que los datos a los que hace referencia. Si la historia clínica se conserva cinco años o más, el registro de accesos a esa historia debería conservarse al menos el mismo tiempo. En la práctica, conservar el registro de accesos es barato en espacio y caro de perder: sin él, la clínica no puede demostrar que los datos se trataron de forma legítima durante el período en que estuvieron vigentes.
¿Qué pasa si el informe muestra un acceso indebido?
El DPO investiga el acceso: verifica si había una relación asistencial activa, si el profesional tenía cita con el paciente o si hay otra justificación. Si no la encuentra, lo escala a la dirección de la clínica. Si el acceso afecta a datos sensibles y hay riesgo para los derechos del paciente, la clínica evalúa si constituye una brecha de seguridad que deba notificarse a la AEPD. La detección es el primer paso; la respuesta depende de la gravedad y el contexto.
¿Los accesos del propio DPO también se registran?
Sí. El DPO accede a datos personales en el ejercicio de su función, y esos accesos se registran igual que los de cualquier otro usuario. La independencia del DPO no le exime del control de accesos. Si el DPO genera un informe para un paciente, el hecho de que generó ese informe queda registrado. La trazabilidad es universal: si alguien puede acceder a datos, su acceso se registra, independientemente de su función. Esto también protege al propio DPO: si alguien cuestiona un acceso suyo, el registro demuestra que fue en el ejercicio legítimo de su función.
¿El informe incluye los accesos fallidos?
Debería. Un acceso fallido es un intento de acceder a datos sin tener permiso. Si un administrativo intenta abrir una historia clínica y el sistema se lo deniega, ese intento debería quedar registrado. Los accesos fallidos repetidos pueden indicar que alguien está intentando acceder a datos que no le corresponden, o que los permisos están mal configurados y un usuario legítimo no puede hacer su trabajo. En ambos casos, el problema solo se detecta si el intento queda registrado: un acceso fallido que no se registra es un acceso fallido que nadie puede investigar.
¿Se puede automatizar la revisión del informe?
La detección de anomalías se puede automatizar: el sistema marca los accesos fuera de patrón y genera una lista corta para el DPO. Lo que no se puede automatizar es la evaluación: cada anomalía necesita una persona que decida si tiene explicación legítima o si hay que investigar más. La automatización reduce el trabajo de revisión de miles de registros a decenas de anomalías, pero las decenas las evalúa el DPO. Sin esa evaluación humana, una alerta automática es solo un aviso que nadie atiende y que acaba ignorándose por rutina.
¿El informe de accesos es un documento confidencial?
Sí. El informe de accesos contiene datos personales de los usuarios del sistema y referencias a los pacientes cuyos datos se consultaron. Su distribución debe ser limitada: el DPO, el responsable del tratamiento y, en caso de inspección, la autoridad de control. No debería compartirse con terceros ni publicarse internamente sin anonimizar los datos de los usuarios y los pacientes que aparecen en él. Si se filtra sin anonimizar, la clínica estaría exponiendo datos personales de su propio equipo y de sus pacientes, lo que puede constituir por sí mismo una brecha de seguridad.
¿Sirve el mismo informe para todas las clínicas?
La estructura básica —quién, qué, cuándo, desde dónde, por qué— es la misma, pero el nivel de detalle y los filtros relevantes dependen del tamaño y la complejidad de la clínica. Una clínica con un centro y diez profesionales necesita un informe más sencillo que una con cinco centros y cien profesionales. Lo que no cambia son los cinco campos imprescindibles ni la obligación de revisarlo periódicamente. Lo que sí hay que adaptar es qué se considera una anomalía: en una clínica pequeña, un acceso fuera de horario puede ser el propio director; en una grande, puede ser la señal de un problema real.
Varios centros
Si gestionas varias sedes, la comparativa la haces con tus propios datos
Facturación, expedientes y agendas de todos tus centros en un mismo sitio, con permisos por sede y una sola vista de dirección. Te lo montamos con tu estructura real.
Más sobre auditoría y control de accesos en la clínica
Acceso indebido a la historia clínica: qué hacer cuando la traza revela algo
La trazabilidad ha revelado un acceso que no debería haberse producido. Protocolo, plazos y a quién avisar.
Leer artículo →
¿Puede una sede ver la agenda de otro centro? La visibilidad entre clínicas
En una red de clínicas, saber si hay hueco en otra sede es útil. Pero ver la agenda…
Leer artículo →
El dato que no puede ver todo el que abre la pantalla: por qué separarlo funciona
Cuando un dato necesita menos ojos que los que abren la pantalla, la solución más limpia es darle…
Leer artículo →Referencias
- Reglamento (UE) 2016/679 (RGPD): registro de actividades de tratamiento (art. 30), seguridad del tratamiento (art. 32), derecho de acceso del interesado (art. 15).
- Ley Orgánica 3/2018 (LOPDGDD): funciones del DPO y obligaciones del responsable del tratamiento.
- Ley 41/2002 de autonomía del paciente: acceso a la historia clínica (art. 16) y custodia (art. 17).
Última actualización: septiembre de 2026.
