Integridad del dato clínico: qué garantiza que no se ha alterado

1. Qué es integridad del dato

Este artículo trata la integridad del dato clínico. La huella criptográfica aplicada específicamente al documento firmado vive aparte en huella de un documento firmado. Aquí se decide qué garantiza que cualquier dato del expediente —no solo los firmados— demuestre no haber sido alterado desde el registro.

1.1. Integridad frente a mera existencia

La existencia del dato en el expediente es condición mínima pero no suficiente. Integridad significa que el dato existente sigue diciendo exactamente lo que decía cuando se registró, con evidencia técnica de que no se ha alterado desde entonces. Un sistema que guarda datos pero no acredita su integridad ofrece almacenamiento, no expediente clínico con valor probatorio.

1.2. El marco jurídico que la exige

El artículo 32 del RGPD exige medidas técnicas y organizativas que garanticen la integridad de los datos personales. La Ley 41/2002 refuerza el requisito para la historia clínica al exigir que cada cambio quede registrado con su autor y su fecha, sin posibilidad de alteración silenciosa. La combinación de ambas normas fija integridad como característica exigible del propio sistema clínico.

1.3. Lo que este artículo no cubre

Este artículo no ofrece asesoría técnica sobre configuración concreta ni sustituye la valoración del responsable técnico del centro. Cuenta qué es integridad, cómo se garantiza técnicamente y cómo se verifica. La decisión sobre la infraestructura concreta corresponde al centro con asesoramiento cualificado.

2. Alteración accidental frente a intencional

La integridad protege contra dos tipos de alteración muy distintos: la accidental por error técnico o humano y la intencional por manipulación deliberada. Los mecanismos de protección son parecidos pero las implicaciones jurídicas y las respuestas del centro difieren radicalmente.

2.1. La alteración accidental

Fallo técnico durante una migración de sistema que corrompe parte del expediente, error de configuración que sobrescribe campos, corrupción del propio soporte por incidente de infraestructura. La alteración accidental no implica mala fe pero sigue comprometiendo la integridad del dato. La detección temprana permite intervenir antes de que la corrupción se propague o llegue a manifestarse en circunstancias adversas.

2.2. La alteración intencional

Manipulación deliberada del dato para reescribir el pasado —modificar un diagnóstico ante una reclamación, alterar una evolución tras un incidente, borrar un registro comprometedor—. La alteración intencional es infracción grave que puede tener consecuencias penales adicionales a las de protección de datos. Los mecanismos técnicos que protegen contra ella son los mismos que protegen contra la accidental, con la diferencia de que ante la intencional la investigación posterior es más exhaustiva.

2.3. La detección conjunta

El sistema técnico de integridad no distingue por sí solo entre alteración accidental e intencional: detecta que la alteración ha ocurrido y la marca como discrepancia. La distinción entre ambas causas se establece después con investigación específica que valora el contexto del incidente, las personas con acceso al dato alterado y las circunstancias del propio proceso.

3. La huella del documento

La huella criptográfica —hash— es el mecanismo técnico principal para acreditar integridad. Un valor matemático único derivado del contenido del dato que cambia por completo con cualquier alteración, aunque el cambio sea de un solo carácter.

3.1. El algoritmo aplicado

Los algoritmos actuales de referencia para uso clínico son SHA-256 y SHA-3-256, con longitud de valor de 256 bits que hace prácticamente imposible que dos contenidos distintos produzcan la misma huella por azar o por manipulación intencionada con la capacidad de cómputo actual. Los sistemas más antiguos con SHA-1 u otros algoritmos ya considerados débiles exigen migración a los actuales.

3.2. La aplicación de la huella al dato

La huella se calcula sobre el contenido del dato en el momento de registrarse o de modificarse legítimamente, y se guarda en el propio expediente vinculada al dato correspondiente. Cualquier alteración posterior del dato produce huella distinta al recalcular, y la comparación con la huella conservada detecta la alteración sin ambigüedad.

3.3. La aplicación al fichero completo

Además de huella de dato individual, la política habitual aplica huella al fichero completo que contiene el conjunto de datos del expediente. La combinación de huellas por dato y huella agregada del fichero cubre alteraciones puntuales y alteraciones estructurales del propio contenedor, con protección redundante que se detecta en cualquier verificación posterior.

4. El registro de modificaciones

Solo se añaden entradas nuevas. Ninguna entrada anterior se altera aunque el dato al que apunta cambie después.

La huella detecta la alteración; el registro de modificaciones documenta el propio proceso. Ambos elementos son complementarios: la huella prueba que hubo cambio, el registro reconstruye qué cambio fue, cuándo, quién lo autorizó y por qué motivo.

4.1. Cada modificación como evento

Cada modificación legítima del dato queda registrada como evento con la fecha y hora exactas, el profesional o usuario que la ejecutó, el valor anterior, el valor nuevo, el motivo del cambio si consta y el contexto operativo desde el que se realizó. La retención del registro sigue las reglas generales de trazabilidad del sistema.

4.2. El registro que solo se añade

El registro de modificaciones tiene arquitectura de solo añadir: crece con cada nueva entrada cuando ocurren nuevas modificaciones y ninguna entrada anterior se altera aunque el dato al que se refiere se corrija después. Un cambio del propio registro se detecta a su vez con la trazabilidad general del sistema. La estructura del propio registro es lo que hace de él evidencia sólida ante disputas sobre el proceso.

4.3. La visualización habitual y el histórico completo

La visualización habitual del expediente muestra el valor vigente del dato para no sobrecargar la lectura. El histórico completo con todos los valores anteriores, sus fechas de modificación y sus autores se abre con un click desde el propio expediente sin exigir búsquedas complicadas. Esta arquitectura hace útil la trazabilidad: presente al usar, disponible al revisar cuando aparece la necesidad.

5. Cuando el dato se corrige

La corrección legítima de un dato no es ataque a la integridad: es actualización controlada que preserva la evidencia del estado anterior. La distinción entre corrección legítima y alteración ilegítima está exactamente en la trazabilidad del proceso.

5.1. La corrección con registro completo

Cuando el profesional detecta error material en un dato y lo corrige desde el sistema autorizado, la corrección queda registrada con el valor anterior, el nuevo, la fecha, el profesional que la firma y el motivo material del error. La huella se recalcula sobre el nuevo valor y ambas huellas —la anterior y la actual— quedan en el histórico del propio dato.

5.2. La alteración sin registro

Cuando el dato cambia sin registro correspondiente —acceso directo al almacenamiento, error de sistema, manipulación intencional— la huella actual deja de coincidir con la conservada y no hay entrada en el registro que justifique el cambio. Esa combinación es la señal de alerta que la auditoría periódica y la verificación bajo requerimiento detectan.

5.3. La política escrita del centro

La política del centro identifica quién puede modificar cada tipo de dato del expediente, con qué requisitos y por qué canales. Modificaciones fuera de canal —acceso técnico directo al almacenamiento sin autorización, edición manual del fichero fuera del sistema— son operaciones prohibidas por política y detectadas técnicamente por la propia infraestructura de integridad.

6. Verificación al descargar

Cuando el dato sale del propio sistema —descarga por profesional, entrega a paciente, envío a otro centro— la verificación de integridad en el momento de la descarga garantiza que lo que sale es lo que hay, sin alteración por el propio proceso de descarga.

6.1. La verificación automática

El sistema recalcula la huella del dato en el momento de la descarga y la compara con la huella conservada. La coincidencia autoriza la descarga; la discrepancia bloquea el proceso y registra la incidencia para investigación específica. La operación es transparente para el usuario cuando funciona bien y aparece como bloqueo específico cuando detecta problema.

6.2. La huella acompañante del dato descargado

El dato descargado puede acompañarse de su propia huella firmada por el sistema, para que la parte receptora pueda verificar por su cuenta que el dato recibido es idéntico al que salió del sistema emisor. La operación aporta valor especialmente cuando el receptor es un centro sanitario que integra el dato en su propio expediente.

6.3. La copia certificada al paciente

Cuando el paciente solicita copia de su expediente por derecho de acceso, la descarga incorpora huella y sello de tiempo cualificado que permiten al paciente conservar copia con evidencia técnica de que se corresponde con el original en el momento de la entrega. La operativa está desarrollada en portabilidad de la historia clínica.

7. Auditoría periódica de integridad

La verificación reactiva —cuando aparece requerimiento externo o incidencia detectada— es necesaria pero insuficiente. La auditoría proactiva periódica encuentra problemas antes de que se manifiesten como reclamación, y esa detección temprana es la que evita el escenario adverso.

7.1. La verificación programada del conjunto

La política del centro programa verificación periódica automática de integridad sobre el conjunto del expediente o sobre muestras representativas. La periodicidad depende del volumen del expediente y de la sensibilidad del contenido; los centros con volumen relevante o con contenido especialmente sensible aplican verificación mensual o incluso más frecuente.

7.2. El informe resultante

La auditoría produce informe con hallazgos: datos con integridad verificada, datos con discrepancia detectada, categorías con incidencias específicas. El informe se archiva como parte del propio expediente de cumplimiento del centro y se comparte con el DPO cuando exista designado.

7.3. La actuación sobre las discrepancias

Cada discrepancia detectada abre incidente específico con investigación posterior sobre causa, alcance, personas afectadas y medidas correctoras aplicables. La investigación queda documentada y la resolución del incidente cierra el circuito con las medidas técnicas y organizativas que la propia causa identificada requiera.

8. Trazabilidad legal

La auditoría proactiva periódica encuentra problemas antes de que se manifiesten como reclamación externa.

La integridad del dato clínico es la infraestructura sobre la que se apoya la validez legal del expediente en cualquier procedimiento judicial o administrativo posterior al acto asistencial. Su documentación técnica es lo que hace defendible el propio expediente ante la reclamación.

8.1. La evidencia técnica ante requerimiento

Cuando aparece requerimiento judicial o de la AEPD sobre un dato del expediente, la entrega incorpora la huella conservada del dato, el registro completo de modificaciones desde su primer registro y la certificación de que la verificación de integridad en el momento del requerimiento no ha detectado discrepancia. La evidencia técnica objetiva es lo que sostiene la validez del dato ante la parte reclamante.

8.2. La sanción por falta de integridad

La AEPD sanciona autónomamente la falta de integridad del expediente cuando aparece en inspección o en investigación por denuncia del paciente. La ausencia de infraestructura técnica que garantice integridad es incumplimiento del artículo 32 del RGPD sancionable con arreglo al régimen del artículo 83, tratado en sanciones de la AEPD a clínicas sanitarias.

8.3. La responsabilidad del centro

La responsabilidad de garantizar integridad recae en el centro como responsable del tratamiento, con las obligaciones específicas que el proveedor del sistema clínico asume por contrato de encargo. La distribución de responsabilidades entre centro y proveedor se acredita con el propio contrato firmado, tratado en contrato de encargado del tratamiento.

9. Qué aporta obeliOmed

Para que la integridad del dato clínico se garantice técnicamente, el sistema tiene que aplicar huella criptográfica sobre cada dato relevante, mantener registro completo de modificaciones sin posibilidad de alteración retrospectiva y ofrecer verificación automática al descargar y auditoría periódica programada.

9.1. Huella y registro aplicados de serie

En obeliOmed el sistema aplica huella criptográfica sobre los datos del expediente con algoritmo actualizado, mantiene registro completo de modificaciones legítimas con la trazabilidad correspondiente y verifica integridad automáticamente al descargar. La política de auditoría periódica se configura por el centro con la frecuencia adecuada al volumen y a la sensibilidad del contenido. Las discrepancias detectadas abren incidente específico que la investigación posterior cierra con las medidas correspondientes. La responsabilidad de la política sigue siendo del centro; lo que el sistema aporta es no dejar a la clínica sin la infraestructura técnica para acreditar integridad ante cualquier requerimiento posterior.

9.2. Con qué se combina

La integridad forma parte del despliegue de seguridad técnica del centro, sostenida por el pilar del cumplimiento del RGPD en RGPD en clínicas privadas.