Retención y conservación de datos clínicos: qué plazos exige la ley y cómo se articulan
Qué es la retención de datos clínicos, qué plazos exige la Ley 41/2002, cómo se articulan con la normativa autonómica, qué supuestos concretos amplían la conservación, qué debe cumplir el software y qué pasa al finalizar el plazo mínimo de conservación.
La retención de datos clínicos tiene plazos mínimos legales que el centro debe cumplir con rigor.
1. Qué es la retención de datos clínicos
La retención de datos clínicos es la obligación legal del centro sanitario de conservar la información de la historia clínica de sus pacientes durante los plazos mínimos establecidos por la normativa, con las garantías de integridad, accesibilidad y confidencialidad que corresponden a la información sanitaria, para que la información esté disponible durante todo el plazo legal para uso asistencial, para el ejercicio de los derechos del paciente y para requerimientos regulatorios o judiciales que puedan aparecer.
1.1. Obligación legal, no opción
La retención de datos clínicos no es opción del centro, es obligación legal con plazos mínimos exigibles. Deshacerse de la información antes del plazo legal es infracción con consecuencias regulatorias y de responsabilidad civil. La política de conservación del centro debe articular la retención por al menos el plazo mínimo, con la flexibilidad para retener más tiempo cuando el análisis de riesgos lo justifique en supuestos específicos correspondientes al ejercicio profesional realizado por el equipo asistencial del centro correspondiente.
1.2. Con garantías de integridad y acceso
La retención exige garantías técnicas y organizativas específicas: integridad de la información conservada, accesibilidad para uso asistencial y para respuesta a requerimientos, confidencialidad frente a accesos no autorizados y trazabilidad de accesos legítimos. La mera conservación física o digital sin estas garantías no cumple con la obligación legal de retención en su sentido completo, y expone al centro a incumplimiento aun conservando técnicamente la información correspondiente al tratamiento realizado.
2. Plazos generales de la Ley 41/2002
La Ley 41/2002 fija los plazos generales de conservación de la historia clínica.
2.1. Plazo mínimo de cinco años desde el alta
El plazo mínimo general que la Ley 41/2002 establece es de cinco años desde la fecha del alta de cada episodio asistencial. Este plazo mínimo aplica al conjunto de la historia clínica del episodio y debe cumplirse antes de cualquier eliminación o purga posterior de la información. Los cinco años se cuentan desde el alta del episodio concreto, no desde el alta general del paciente en el centro ni desde la última consulta habida con el paciente en cualquier momento posterior correspondiente al ejercicio profesional.
2.2. Documentación especialmente relevante
La Ley 41/2002 establece que los datos relevantes para el conocimiento veraz y actualizado del estado de salud del paciente deben conservarse el tiempo suficiente para atender los debidos y legítimos requerimientos con posterioridad. Esta previsión legal es la que fundamenta la conservación más allá del plazo mínimo de cinco años en muchos supuestos habituales, con la valoración del centro sobre qué información sigue siendo relevante para el conocimiento actualizado del estado de salud del paciente concreto.
2.3. Menores y otros supuestos
La Ley 41/2002 y la doctrina consolidada apuntan a plazos ampliados en supuestos específicos: en menores hasta la mayoría de edad más el plazo general —con los cinco años desde el alta se cuentan desde que el menor cumple mayoría de edad—, en supuestos de reclamación pendiente hasta la resolución firme del procedimiento, en registros específicos con plazo propio establecido por normativa complementaria. La política del centro debe atender a estos supuestos específicos con la coherencia técnica correspondiente al tratamiento.
3. Precisiones autonómicas
La normativa autonómica desarrolla y matiza los plazos generales de la Ley 41/2002.
3.1. Plazos ampliados en algunas comunidades
Varias comunidades autónomas han desarrollado normativa propia con plazos ampliados sobre los mínimos estatales de la Ley 41/2002. Cataluña, con la Ley 21/2000 de derechos de información concernientes a la salud y a la autonomía del paciente, fija plazos específicos ampliados para conservación de la historia clínica. Otras comunidades han desarrollado normativa complementaria con matizaciones propias. La política del centro debe atender a la normativa autonómica aplicable a su territorio operativo correspondiente.
3.2. Documentación específica
Algunas normativas autonómicas fijan plazos específicos para tipos concretos de documentación clínica: consentimientos informados, hojas de anestesia, partes quirúrgicos, informes de alta hospitalaria. Los plazos específicos pueden ser distintos del general y deben conocerse por el centro para articular la política de conservación con la coherencia normativa correspondiente. La consulta con asesoramiento profesional actualizado sobre la normativa autonómica aplicable es requisito de la buena gestión documental del centro correspondiente al ejercicio realizado.
3.3. Registro y acceso electrónico
La normativa autonómica también regula aspectos técnicos del registro y acceso electrónico a la historia clínica, con implicaciones sobre las garantías técnicas exigibles al centro durante la conservación. La coherencia entre la infraestructura técnica del sistema de gestión clínica y las exigencias normativas autonómicas es requisito de la conservación efectiva conforme a derecho, con las condiciones que la normativa aplicable establezca para cada supuesto correspondiente al centro sanitario correspondiente al ejercicio realizado.
Los supuestos específicos amplían el plazo general: menores, reclamaciones, registros específicos.
4. Supuestos que amplían la conservación
Determinados supuestos concretos amplían el plazo general de conservación.
4.1. Menores hasta mayoría de edad
En pacientes menores de edad, el plazo se cuenta desde que el menor cumple la mayoría de edad, con la ampliación del plazo total correspondiente. Un episodio asistencial en un menor de 5 años tiene plazo de conservación efectivo hasta al menos los 23 años del paciente —13 años hasta la mayoría más los cinco años del plazo general—. Esta ampliación es lógica: el menor no puede ejercer plenamente sus derechos sobre la información hasta la mayoría de edad, y la retención debe permitir el ejercicio pleno cuando alcance la edad correspondiente al ordenamiento aplicable.
4.2. Reclamaciones pendientes
En pacientes con reclamación patrimonial, disciplinaria o penal pendiente sobre el proceso asistencial concreto, el plazo se amplía hasta la resolución firme del procedimiento con los recursos posibles agotados. La información clínica es prueba imprescindible en cualquier procedimiento sobre asistencia sanitaria, y su conservación durante todo el procedimiento es requisito de la buena administración de justicia y de la defensa efectiva del centro correspondiente al ejercicio profesional realizado durante el proceso asistencial.
4.3. Registros específicos
Determinados registros específicos tienen plazos propios establecidos por normativa complementaria: registros de productos sanitarios implantables con obligación de trazabilidad durante toda la vida útil del producto y del paciente correspondiente, registros de biobancos con plazos específicos según normativa de investigación biomédica, registros de farmacovigilancia con plazos propios establecidos por el marco regulatorio de medicamentos. La política del centro debe conocer estos plazos específicos para articular la conservación con la coherencia correspondiente.
5. Retención frente a minimización RGPD
La retención tiene relación específica con el principio de minimización del RGPD.
5.1. Principio de limitación del plazo
El RGPD establece el principio de limitación del plazo de conservación: los datos personales deben conservarse solo el tiempo necesario para la finalidad del tratamiento. Este principio aplicado a datos clínicos se articula con las obligaciones legales de retención mínima: mientras dure la obligación legal, la retención está amparada; superada la obligación, la conservación debe justificarse por finalidad legítima concreta o los datos deben suprimirse o anonimizarse. El equilibrio entre ambas exigencias es criterio profesional del centro correspondiente.
5.2. Conservación más allá del mínimo
La conservación de datos clínicos más allá del plazo mínimo legal requiere justificación por finalidad legítima concreta: investigación biomédica con base jurídica adecuada, uso estadístico con anonimización, valor asistencial demostrado del histórico para pacientes concretos con seguimiento longitudinal. La conservación indefinida sin justificación específica no cumple con el principio de limitación del RGPD y expone al centro a reclamación por conservación desproporcionada del tratamiento correspondiente.
5.3. Documentación de la política
El centro debe documentar formalmente su política de conservación con los plazos aplicables a cada tipo de documentación clínica, con las bases jurídicas y las justificaciones correspondientes a cada plazo. La documentación forma parte del registro de actividades del tratamiento y debe estar disponible ante requerimiento de la AEPD. La coherencia entre la política declarada y la conservación efectivamente realizada es criterio de la responsabilidad proactiva del responsable del tratamiento correspondiente al centro.
Demo configurada para tu especialidad
30 minutos con datos reales de tu tipo de clínica. Sin ejemplos genéricos.
6. Qué pasa al finalizar el plazo
La finalización del plazo mínimo de conservación abre distintas opciones de tratamiento.
6.1. Supresión efectiva
La opción básica es la supresión efectiva de la información al finalizar el plazo, con los procedimientos técnicos que aseguren la destrucción irrecuperable —borrado seguro de soportes digitales, destrucción física de soportes físicos—. La supresión debe documentarse con certificado o acta que acredite el proceso, con la trazabilidad correspondiente. La supresión mal ejecutada —borrado que no impide recuperación técnica— es incumplimiento con las consecuencias correspondientes al tratamiento realizado por el centro sanitario correspondiente.
6.2. Anonimización
Una alternativa a la supresión es la anonimización efectiva de la información al finalizar el plazo, con lo que los datos anonimizados dejan de ser personales y salen del RGPD. Esta opción es adecuada cuando el centro quiere conservar información agregada para estadística o para investigación sin las restricciones del RGPD, con la irreversibilidad exigible a la anonimización efectiva. La documentación del proceso es requisito de la solvencia del régimen aplicable a los datos anonimizados posteriormente correspondiente al ejercicio.
6.3. Conservación adicional justificada
La tercera opción es la conservación adicional justificada por finalidad legítima concreta: investigación biomédica con base jurídica adecuada, valor asistencial del histórico para el seguimiento longitudinal del paciente concreto, cumplimiento de obligaciones específicas más allá del plazo general. Esta conservación debe documentarse con la justificación específica y no puede ser conservación indefinida sin motivo concreto que la sustente en el momento correspondiente al ejercicio realizado por el centro sanitario del paciente atendido.
7. Qué debe cumplir tu software con la retención
Cinco criterios comprobables antes de asumir que el sistema soporta bien la retención.
7.1. Los tres criterios estructurales
- Política de retención configurable con plazos por tipo de documentación clínica.
- Alertas automáticas ante finalización de plazos con propuesta de acción.
- Supresión o anonimización trazables con certificado o acta del proceso.
7.2. Los dos criterios operativos
- Documentación de la política aplicada disponible para auditoría de la AEPD.
- Excepciones justificadas gestionadas caso a caso con trazabilidad de la justificación.
7.3. La prueba con un histórico simulado
Coge un paciente imaginario con episodios antiguos y verifica la política de retención aplicada por el sistema. Comprueba que los plazos se calculan correctamente según las reglas configuradas, que las alertas se generan ante finalización de plazos, que las supresiones o anonimizaciones se documentan con trazabilidad y que las excepciones justificadas se gestionan con coherencia. Si el flujo cierra con evidencia técnica objetiva, el sistema soporta bien la política de retención con la solvencia que la AEPD puede requerir.
Al finalizar el plazo, la supresión efectiva o la anonimización son las opciones habituales del centro.
8. Errores frecuentes al hablar de retención
Tres confusiones habituales sobre la retención de datos clínicos.
8.1. «Conservo todo indefinidamente por seguridad»
La conservación indefinida sin justificación específica no cumple con el principio de limitación del plazo del RGPD y expone al centro a reclamación por conservación desproporcionada. La conservación más allá del plazo mínimo legal requiere justificación por finalidad legítima concreta —investigación con base jurídica, valor asistencial documentado— y no puede ampararse en el mero deseo de conservar por si acaso. La política del centro debe articular la retención con criterios objetivos, no con conservación indefinida por defecto sin base jurídica correspondiente al tratamiento realizado.
8.2. «Cinco años son cinco años desde la primera consulta»
Los cinco años se cuentan desde el alta de cada episodio asistencial concreto, no desde la primera consulta del paciente en el centro ni desde su última visita. Cada episodio tiene su propio plazo de conservación y la política del centro debe calcular los plazos por episodio, no por paciente. Un paciente con veinte años de relación asistencial con el centro tiene multiplicidad de episodios con distintos plazos de conservación, cada uno calculado desde su propio alta correspondiente al ejercicio profesional realizado durante el episodio concreto correspondiente.
8.3. «La supresión es solo borrar el registro»
La supresión efectiva exige garantías técnicas que impidan la recuperación posterior de la información suprimida. Un borrado lógico que deja la información recuperable no es supresión efectiva y no cumple con la obligación de eliminación al finalizar el plazo. La supresión debe hacerse con procedimientos técnicos de borrado seguro sobre soportes digitales y de destrucción física sobre soportes físicos, con la documentación del proceso mediante certificado o acta que acredite la ejecución efectiva de la supresión realizada por el centro correspondiente.
¿Tienes dudas antes de decidir? Hablamos.
Respuesta en menos de 2 horas en horario laboral. Te atiende el equipo que conoce el producto.
9. Qué aporta obeliOmed con esto
El sistema estructura la política de retención con la coherencia normativa que la operativa exige.
9.1. Política de retención por tipo de documento
El sistema permite configurar plazos de retención distintos por tipo de documento clínico según la normativa aplicable a la comunidad autónoma del centro. Los plazos se calculan automáticamente desde el evento relevante —alta del episodio, mayoría de edad del menor, resolución firme de reclamación— con la coherencia normativa correspondiente al régimen aplicable. La política queda documentada en el propio sistema y disponible para auditoría interna o externa del régimen.
9.2. Alertas y flujos de acción
Al aproximarse la finalización de un plazo, el sistema genera alertas al responsable con propuesta de acción —supresión, anonimización, conservación justificada—. La decisión se toma con criterio profesional y se documenta con la trazabilidad correspondiente. La ejecución efectiva de la acción elegida se hace desde el sistema con las garantías técnicas correspondientes al tratamiento realizado sobre la información conservada durante el plazo.
9.3. Trazabilidad de supresiones y anonimizaciones
Cada supresión o anonimización realizada al finalizar plazo queda documentada con fecha, responsable, información afectada y justificación de la decisión. La trazabilidad completa permite responder ante requerimiento sobre por qué se suprimió o anonimizó información concreta y con qué proceso técnico se ejecutó la decisión, con la solvencia que la AEPD puede requerir del responsable del tratamiento correspondiente al centro sanitario correspondiente al ejercicio profesional del equipo del centro correspondiente al ejercicio realizado.
10. Preguntas frecuentes sobre retención de datos clínicos
¿Cuánto tiempo debo conservar la historia clínica de un paciente fallecido?
Los plazos se calculan igual que para pacientes vivos: cinco años mínimo desde el alta de cada episodio conforme a la Ley 41/2002, con las particularidades autonómicas y los supuestos específicos que amplíen el plazo. El fallecimiento del paciente no suprime la obligación de conservación de la historia clínica durante el plazo legal, porque la información sigue siendo relevante para el ejercicio de derechos por parte de familiares y para requerimientos legales o judiciales que puedan aparecer después del fallecimiento. En procesos con reclamación patrimonial derivada de la asistencia al paciente fallecido, la conservación se amplía hasta la resolución firme del procedimiento con todos los recursos posibles agotados. La política del centro debe estar clara sobre el tratamiento de la información de pacientes fallecidos y su coherencia con el régimen general aplicable correspondiente al ejercicio profesional realizado.
¿Puedo conservar la historia clínica más allá del plazo mínimo?
Sí, si tienes justificación por finalidad legítima concreta. La Ley 41/2002 establece plazos mínimos, no máximos, y la conservación más allá del mínimo es posible cuando hay motivo específico que la justifique: valor asistencial demostrado del histórico para el seguimiento del paciente, investigación biomédica con base jurídica adecuada, cumplimiento de obligaciones sectoriales específicas que amplíen el plazo general. La conservación adicional debe documentarse con la justificación específica y no puede ser conservación indefinida sin base concreta. El principio de limitación del plazo del RGPD exige justificación real para cualquier conservación más allá del mínimo legal correspondiente al tratamiento realizado por el centro sanitario correspondiente al ejercicio profesional del equipo asistencial correspondiente.
¿La historia clínica en papel tiene los mismos plazos que la electrónica?
Sí, los plazos legales de conservación son los mismos con independencia del soporte. La Ley 41/2002 no distingue entre soporte físico y digital para efectos del plazo de retención. Los aspectos técnicos de la conservación sí difieren: la conservación física exige archivo físico con las garantías correspondientes de integridad, accesibilidad y confidencialidad; la conservación digital exige infraestructura técnica con las mismas garantías en formato digital. Muchos centros están digitalizando historias clínicas antiguas en papel para unificar la conservación en soporte digital, con las ventajas operativas correspondientes. La digitalización debe hacerse con las garantías de integridad que preserven la validez probatoria de la información original en soporte físico correspondiente al ejercicio realizado.
¿Debo notificar al paciente antes de suprimir su historia clínica?
No es requisito general notificar cada supresión individual al paciente. La política de conservación del centro se documenta con carácter general en la información al paciente sobre tratamiento de datos, con la referencia a los plazos aplicables. La supresión al finalizar el plazo forma parte de la operativa habitual del centro con la coherencia con la política declarada. En casos específicos donde el paciente ha ejercido derecho de acceso a la información y ha manifestado interés en conservarla, la política del centro puede prever comunicación individual antes de la supresión, con las condiciones que corresponda. La coherencia con las expectativas comunicadas al paciente es criterio de la buena gestión aplicable al tratamiento realizado correspondiente al centro sanitario correspondiente al paciente atendido durante el proceso.
¿Qué pasa con los datos de investigación biomédica?
Los datos de investigación biomédica tienen régimen específico regulado por normativa complementaria —Ley 14/2007 de investigación biomédica y normativa europea sobre ensayos clínicos—. Los plazos de conservación pueden ser distintos del régimen general y suelen ser ampliados por la naturaleza longitudinal de muchos estudios de investigación. La base jurídica del tratamiento en investigación biomédica también tiene régimen específico —consentimiento informado del participante, uso secundario con anonimización, uso con base normativa en algunos supuestos—. La política del centro sobre datos de investigación debe articularse con el régimen específico correspondiente y no puede ampararse solo en el régimen general de la Ley 41/2002 sobre historia clínica ordinaria del paciente correspondiente al ejercicio realizado.
¿Cómo debo suprimir un soporte físico con datos clínicos?
La supresión de soporte físico exige destrucción efectiva que impida recuperación posterior. Para papel, la destrucción habitual es trituración con máquinas de nivel de seguridad adecuado —P-5 o superior según DIN 66399 para datos personales sensibles—. Para soportes digitales físicos —discos, cintas, dispositivos de almacenamiento— la destrucción puede requerir procedimientos específicos: sobrescritura múltiple con software especializado, desmagnetización o destrucción física por incineración o triturado. El proceso debe documentarse con acta o certificado de destrucción emitido por la empresa especializada que lo ejecute, con la trazabilidad correspondiente. La destrucción improvisada sin procedimientos ni documentación es infracción con consecuencias sancionables por la AEPD correspondiente al tratamiento realizado.
¿Puedo migrar datos clínicos antiguos a otro sistema conservando el plazo?
Sí, la migración es operación técnica que no interrumpe el plazo de conservación. La información migrada mantiene su plazo original de conservación calculado desde el evento relevante —alta del episodio, mayoría de edad del menor, resolución firme de reclamación—. La migración debe hacerse con garantías de integridad que preserven la coherencia y la validez probatoria de la información original, con documentación del proceso técnico y con verificación posterior de que la migración se ejecutó sin pérdida ni corrupción de datos. Los aspectos técnicos de la migración son responsabilidad del centro y requieren planificación adecuada con el proveedor del sistema origen y del sistema destino, con el asesoramiento profesional que la complejidad técnica pueda requerir en cada caso correspondiente al ejercicio profesional realizado.
¿Cómo verifico si la política de retención de mi centro es adecuada?
Con revisión específica de la política aplicada. Verifica que existe política formal escrita con los plazos aplicables por tipo de documentación clínica, que los plazos declarados son coherentes con la Ley 41/2002 y con la normativa autonómica correspondiente, que los supuestos que amplían el plazo —menores, reclamaciones, registros específicos— están contemplados adecuadamente, que las alertas ante finalización de plazos funcionan efectivamente y que las supresiones o anonimizaciones se documentan con trazabilidad. Comprueba también que la política se cumple realmente en la operativa —no basta con documento escrito, hay que verificar la ejecución efectiva—. Si detectas lagunas o incoherencias, ajusta la política y los flujos operativos para las próximas ocasiones con la mejora que la revisión identifique como oportuna correspondiente al tratamiento realizado por el centro correspondiente al ejercicio profesional del equipo asistencial.
¿Comparando opciones?
Compara obeliomed con tu software actual en 30 minutos
Te mostramos en la demo exactamente en qué se diferencia: precio real, funcionalidades que importan y tiempo de implementación.
Más sobre seguridad, custodia y protección del dato
Brecha de seguridad: qué es, cuándo hay que notificarla y cómo se responde
Referencias RGPD, artículos 33 y 34: régimen de notificación de brechas de seguridad a la autoridad de control…
Leer artículo →
Trazabilidad clínica: qué es, qué información encadena y por qué importa
Referencias Ley 41/2002, básica reguladora de la autonomía del paciente: régimen de la historia clínica y de su…
Leer artículo →
Seudonimización: qué es, cómo se aplica en sanidad y en qué se diferencia del anonimato
Referencias RGPD, artículo 4 apartado 5 y artículo 32: definición de seudonimización y su papel como medida técnica.…
Leer artículo →Referencias
- Ley 41/2002, básica reguladora de la autonomía del paciente: plazos generales de conservación de la historia clínica.
- RGPD, artículo 5: principio de limitación del plazo de conservación de datos personales.
- AEPD — Informes y resoluciones: doctrina española sobre plazos de conservación en tratamientos concretos.
Última actualización: agosto de 2026.
