Registrar un tratamiento clínico sin identificar al paciente

1. Cuándo tiene sentido

Este artículo trata el registro operativo de tratamiento sin identificar al paciente. El uso de datos anonimizados para estadística agregada vive aparte en datos clínicos para estadística sin identificar a nadie; la seudonimización antes de pasar texto a la IA en seudonimización antes de la IA. Aquí se cuenta el registro operativo del propio tratamiento cuando la clínica decide o necesita disociarlo de la identidad del paciente.

1.1. Formación y docencia

Sesión clínica interna, formación de residentes, presentación en congreso, análisis de caso complejo entre colegas. Ninguna de esas actividades exige la identidad del paciente; todas necesitan la clínica y el tratamiento. Registrar sin identificar permite aprovechar el material sin exponer al paciente concreto.

1.2. Estudio interno de calidad

Auditoría del propio funcionamiento del centro, análisis de adherencia a protocolo, revisión de resultados de un tipo concreto de intervención. El estudio necesita el dato del tratamiento; no necesita quién lo recibió. La disociación es lo que permite el análisis honesto sin comprometer la confidencialidad.

1.3. Lo que este artículo no cubre

Este artículo no ofrece asesoría jurídica de caso concreto ni sustituye la valoración del delegado de protección de datos. Cuenta cómo se registra técnicamente, qué se pierde y qué se conserva en el proceso, y qué queda de trazabilidad del propio acto de anonimizar. La decisión sobre si un tratamiento concreto puede o debe ser anonimizado en cada situación corresponde al centro con asesoramiento cualificado.

2. Qué es identificar y qué no

La distinción entre datos identificativos y datos no identificativos no siempre es evidente. Un dato aparentemente inocuo puede identificar cuando se combina con otro; un dato que parece identificativo puede no serlo cuando se elimina el contexto que lo une a la persona.

2.1. Identificadores directos

Nombre, documento de identidad, teléfono, dirección postal, correo electrónico, número de historia clínica interno, fotografía. Cualquiera de ellos identifica por sí solo a la persona cuando aparece en el registro. Anonimizar exige eliminar todos estos elementos del registro que se va a compartir o analizar sin identificar.

2.2. Cuasi-identificadores

Fecha de nacimiento completa, código postal, profesión concreta, diagnóstico raro, combinación de varios datos no directos. Cada uno por sí solo puede no identificar, pero la combinación de dos o tres los convierte en identificador funcional. Un varón de sesenta y ocho años con un diagnóstico específico en un código postal pequeño es identificable con relativa facilidad, aunque el registro no lleve su nombre.

2.3. Anonimización real y seudonimización

La anonimización elimina la posibilidad de identificar al paciente, incluida la agregación de cuasi-identificadores. La seudonimización sustituye los identificadores directos por códigos pero mantiene la posibilidad de reidentificar mediante una tabla de correspondencia que la clínica conserva aparte. Confundir las dos es la fuente principal del error operativo en este terreno.

3. Qué se anota bien anonimizado

Un registro anonimizado de tratamiento conserva los elementos clínicamente relevantes y suprime los elementos identificativos y los cuasi-identificadores agregables. El equilibrio entre utilidad y protección es la clave del ejercicio.

3.1. Los elementos clínicos que se preservan

Diagnóstico con codificación estandarizada, procedimiento realizado con codificación, medicación prescrita con clasificación farmacológica, evolución con descripción clínica, resultado alcanzado con métrica objetiva. Toda esta información es la que da valor al registro para docencia, calidad o investigación, y su preservación es lo que hace útil el ejercicio.

3.2. Los elementos identificativos que se eliminan

Todos los identificadores directos —nombre, documento, número de historia—, la fecha exacta del episodio —queda solo el año o el trimestre según el nivel de agregación—, el código postal completo —queda la provincia o la comunidad autónoma—, la fotografía si la hubiera, cualquier dato de contexto que sitúe al paciente concreto en el tejido social del centro.

3.3. Los cuasi-identificadores que se generalizan

Edad exacta se sustituye por franja etaria de cinco o diez años según convenga; profesión concreta se sustituye por sector económico general; diagnóstico raro se agrupa con la familia diagnóstica; comorbilidades individuales se agregan por perfil. La generalización preserva la utilidad clínica reduciendo la capacidad de identificar por combinación de datos.

4. Qué se pierde al anonimizar

La anonimización cuesta granularidad. Reconocer las pérdidas evita expectativas irreales.

La anonimización tiene coste analítico: se pierde granularidad y se pierde capacidad de seguimiento longitudinal del mismo paciente. Reconocer las pérdidas evita expectativas irreales sobre lo que el registro anonimizado puede aportar.

4.1. La granularidad temporal

Cuando la fecha exacta del episodio se generaliza a trimestre o a año, se pierde la capacidad de analizar patrones semanales o mensuales. Para muchos análisis de calidad y de docencia esa pérdida es asumible; para análisis específicos de estacionalidad o de picos de actividad puede no serlo, y ahí la decisión es qué se prioriza —utilidad analítica o nivel de protección—.

4.2. El seguimiento del mismo paciente

Un registro anonimizado no permite por definición seguir al mismo paciente a lo largo del tiempo, porque distintos episodios de la misma persona aparecen como personas distintas en el análisis. Si el análisis requiere seguimiento longitudinal se necesita seudonimización con código de correspondencia, no anonimización total.

4.3. La contextualización clínica

La generalización de cuasi-identificadores puede eliminar detalles clínicamente relevantes: una comorbilidad rara que forma parte del cuadro se generaliza al perfil y desaparece del análisis. La decisión sobre qué se generaliza y a qué nivel exige criterio clínico específico, no reglas aplicables por igual a todos los casos.

5. El código de reversibilidad

Cuando la clínica necesita mantener la capacidad de reidentificar al paciente en el futuro —para contactar en caso de hallazgo relevante durante el análisis, para completar el estudio con datos adicionales— la operación no es anonimización sino seudonimización con tabla de correspondencia.

5.1. Qué es la tabla de correspondencia

Un fichero cifrado separado del registro anonimizado que asocia cada código pseudónimo con el identificador real del paciente. La tabla vive en un sistema con acceso restringido a personas concretas —típicamente el responsable del estudio y el DPO—, con trazabilidad completa de cada consulta a la tabla.

5.2. Cuándo se accede a la tabla

El acceso a la tabla es excepcional y se motiva por escrito en cada ocasión. La regla operativa es que la tabla se abre solo cuando el motivo del acceso es tan concreto y tan justificado que no admite alternativa —contactar al paciente por un hallazgo urgente, cumplir requerimiento judicial dirigido específicamente a la clínica—. El acceso rutinario a la tabla desnaturaliza la seudonimización y la convierte en identificación con demora.

5.3. Cuándo se destruye la tabla

Al finalizar el estudio o la actividad para la que se creó la seudonimización, la tabla de correspondencia se destruye si ya no se justifica su conservación. La destrucción efectiva convierte la seudonimización en anonimización real hacia adelante, con las consecuencias correspondientes sobre la posibilidad de continuar el análisis longitudinal.

6. Cuándo no se anonimiza

La anonimización no es la respuesta correcta para toda situación en la que el uso de los datos no requiere el nombre del paciente. Hay actividades donde la trazabilidad del paciente concreto es exigencia clínica o legal, y ahí la operación correcta es otra.

6.1. La atención clínica al propio paciente

Todo lo que forma parte del acto asistencial del paciente concreto se registra identificado. La historia clínica del paciente vive en el expediente con su identidad completa, con la trazabilidad de todos los accesos. La anonimización no se aplica al registro clínico ordinario del propio paciente atendido.

6.2. La facturación y el circuito administrativo

Facturación a la aseguradora, recibo al paciente, gestión de citas, comunicaciones con el interesado. Cada uno de esos actos requiere la identificación completa del paciente y su anonimización no procede porque el propio acto exige la identidad.

6.3. Los requerimientos legales dirigidos al paciente concreto

Cuando la clínica recibe un requerimiento judicial sobre la historia de un paciente concreto, la respuesta se entrega con la identificación completa según lo solicitado, tema tratado en historia clínica y RGPD. La anonimización previa a la respuesta no es opción cuando el requerimiento identifica al paciente por nombre.

7. La conversación con el paciente

Cuando el uso previsto de los datos anonimizados o seudonimizados va más allá del propio acto asistencial —docencia externa, publicación en congreso, estudio con participación de otros centros— la conversación previa con el paciente forma parte del proceso, con independencia de que legalmente pueda proceder sin consentimiento adicional.

7.1. La información al paciente en el consentimiento general

La política de privacidad del centro y el documento de admisión informan al paciente de que sus datos pueden usarse anonimizados para docencia interna, calidad y análisis estadístico agregado. Esa información inicial cubre los usos ordinarios sin exigir consentimiento adicional específico para cada análisis interno.

7.2. El consentimiento específico para usos externos

Para publicación externa, presentación en congreso con imágenes reconocibles, participación en estudio multicéntrico con envío de datos a terceros, la clínica solicita consentimiento específico del paciente. Ese consentimiento se documenta con la fecha, el alcance concreto y la firma del paciente, y forma parte del expediente.

7.3. La revocación del consentimiento

El paciente puede revocar en cualquier momento el consentimiento específico prestado. La revocación obliga a suspender el uso futuro de los datos para ese fin; no obliga a retirar publicaciones ya realizadas cuando la publicación es anónima efectiva y no es posible reidentificar al paciente para retirar su información concreta.

8. Trazabilidad del proceso

Cuando la operación es seudonimización, la tabla vive aparte con acceso trazado.

El proceso de anonimización o seudonimización queda registrado como acto formal, con la información suficiente para reconstruir después qué se hizo, cuándo, por qué y con qué resultado. La trazabilidad protege al centro y al propio paciente ante disputas futuras sobre el uso de sus datos.

8.1. El registro del acto de anonimizar

Fecha del acto, responsable del proceso, alcance de los datos anonimizados —qué registros, de qué periodo, con qué criterio—, finalidad para la que se anonimizan, nivel de generalización aplicado a cuasi-identificadores. El registro es interno y forma parte del RAT del centro, tratado en RAT en la clínica sanitaria.

8.2. La custodia de la tabla en seudonimización

Cuando la operación es seudonimización, la ubicación de la tabla de correspondencia, las personas con acceso autorizado y el circuito de acceso quedan documentados. El acceso rutinario a la tabla se desvía de la seudonimización real y la trazabilidad completa lo hace visible en cualquier auditoría posterior.

8.3. La destrucción de la tabla al fin del estudio

Al finalizar el estudio, la destrucción de la tabla se documenta con la fecha, el responsable y la evidencia del acto. La destrucción efectiva convierte la seudonimización en anonimización real hacia adelante y es paso crítico para completar bien el proceso desde la protección del paciente.

9. Qué aporta obeliOmed

Para que el registro de tratamiento sin identificar al paciente se ejecute con distinción clara entre anonimización y seudonimización, el sistema tiene que ofrecer exportación con filtro de identificadores y trazabilidad del propio acto de anonimizar.

9.1. Exportación con filtro y registro del acto

En obeliOmed la clínica puede exportar información del expediente con filtro de identificadores directos y con generalización configurable de cuasi-identificadores según el uso previsto. El acto de exportación queda registrado con la fecha, el responsable, el alcance y la finalidad declarada, integrado con el RAT del centro. Cuando la operación es seudonimización, la tabla de correspondencia vive en repositorio separado con acceso trazado a cada consulta. La responsabilidad de decidir qué se hace y con qué protección sigue siendo del centro; lo que el sistema aporta es no dejar a la clínica sin la infraestructura técnica para diferenciar bien las dos figuras y para justificar cada operación ante la AEPD si se pide después.

9.2. Con qué se combina

El registro de tratamiento sin identificar forma parte del ejercicio de gobierno del dato de la clínica, sostenido por el pilar del cumplimiento del RGPD en RGPD en clínicas privadas.