Trazabilidad de accesos internos a la historia clínica: quién ve qué

1. Qué queda registrado en cada consulta

Este artículo trata la trazabilidad de accesos —quién abre la historia clínica y cuándo—. Los eventos del sistema en sentido amplio —login, cambio de configuración, error técnico— viven aparte en registro de eventos del sistema clínico. Aquí se decide qué queda anotado cada vez que alguien del centro abre un expediente clínico.

1.1. La regla del artículo 8 de la Ley 41/2002

La Ley 41/2002 exige que el acceso a la historia clínica quede registrado con la identificación del profesional que accede, la fecha del acceso y el objeto de la consulta cuando corresponda. La regla se combina con la exigencia general del artículo 32 del RGPD sobre trazabilidad de operaciones sobre datos personales, y ambas normas fijan trazabilidad como característica exigible del propio sistema clínico.

1.2. La distinción del acceso interno

Este artículo trata específicamente el acceso interno del propio equipo del centro. El acceso del paciente a sus datos por derecho de acceso vive aparte en derecho de acceso; los accesos de proveedores externos con acceso al sistema en su propio artículo específico. Cada tipo de acceso tiene su propia trazabilidad con las particularidades correspondientes.

1.3. Lo que este artículo no cubre

Este artículo no ofrece asesoría técnica sobre configuración concreta ni sustituye la valoración del responsable técnico. Cuenta qué queda registrado en cada acceso, cómo se guarda y cómo se revisa. La decisión sobre la política concreta de trazabilidad y su intensidad corresponde al centro con asesoramiento cualificado.

2. Cada apertura como evento

Cada apertura de la historia clínica queda registrada como evento único con la información suficiente para reconstruir después qué ocurrió sin ambigüedad. La granularidad del registro es lo que permite responder con precisión cuando aparece la pregunta específica.

2.1. Identificación del profesional que accede

Nombre completo, identificador único en el sistema, rol o perfil que corresponde en el momento del acceso. La identificación individual es imprescindible; el registro con usuario genérico compartido entre varias personas del centro no cumple el requisito legal y expone al propio centro cuando aparece la revisión.

2.2. Momento exacto y contexto

Fecha y hora exactas del acceso con precisión mínima al segundo, dispositivo desde el que se accedió cuando el sistema puede identificarlo, y contexto operativo —consulta durante cita programada, apertura fuera de cita, acceso desde pantalla de agenda—. El contexto es lo que después permite distinguir accesos rutinarios de accesos anómalos en la revisión periódica.

2.3. El paciente sobre el que se accede

Identificación del paciente cuya historia se consultó, con el identificador único que el sistema clínico usa internamente. La combinación de profesional identificado, momento exacto y paciente concreto es la unidad de análisis del registro de accesos y la que permite responder cualquier pregunta posterior sobre quién vio qué expediente y cuándo.

3. El nivel de detalle

El nivel de detalle del registro varía según la política del centro y la sensibilidad del contenido consultado. Los tres niveles habituales sirven para casos distintos y no siempre se aplican con la misma intensidad al conjunto del expediente.

3.1. Registro básico de apertura

Cada apertura del expediente registra quién, cuándo y qué expediente. Este nivel cumple el mínimo legal exigido por la Ley 41/2002 y por el artículo 32 del RGPD, y suele aplicarse por defecto al conjunto del expediente ordinario del centro.

3.2. Registro por sección del expediente

Además del acceso al expediente entero, se registra qué sección concreta se consultó —anamnesis, evolución, pruebas complementarias, consentimientos—. Este nivel aporta granularidad adicional útil para auditoría interna y para responder al paciente con más detalle cuando ejerce derecho de acceso a la trazabilidad de sus datos.

3.3. Registro reforzado en secciones sensibles

Determinadas secciones del expediente —salud mental, datos genéticos, información especialmente sensible declarada como tal por la política del centro— aplican registro reforzado con detalle adicional sobre la operación: consulta puntual, edición del contenido, descarga del propio dato. El registro reforzado facilita la revisión específica sobre estas secciones y protege particularmente al paciente cuya información recibe esta protección.

4. Retención del registro de accesos

El registro se conserva durante el plazo aplicable a la propia historia clínica. Suele ser el mismo periodo.

El registro de accesos se conserva durante plazo específico que la política del centro define según los requisitos legales aplicables y las necesidades operativas de auditoría interna y de respuesta a requerimientos externos.

4.1. El plazo alineado con la historia clínica

La práctica habitual conserva el registro de accesos durante el mismo plazo aplicable a la propia historia clínica, con el mínimo estatal de cinco años desde la última asistencia y las ampliaciones autonómicas correspondientes. El registro es información complementaria del expediente y su conservación se alinea con la del propio expediente.

4.2. El acceso a registros históricos

La consulta a registros de accesos antiguos exige herramienta específica del sistema que recupere la información conservada sin degradación por el tiempo. La política del centro sobre migración periódica de registros a formatos actualizados es lo que garantiza que la información sigue siendo recuperable en el largo plazo, tratado en retención de la historia clínica por tipo de dato.

4.3. La destrucción al fin del plazo

Al agotar el plazo aplicable, el registro se destruye con las mismas garantías técnicas que el propio expediente, con constancia del acto de destrucción. La destrucción prematura del registro antes de agotar el plazo compromete la capacidad de respuesta del centro ante requerimientos posteriores y expone a las mismas consecuencias que la destrucción prematura del expediente clínico.

5. Apertura sin lectura efectiva

Un elemento operativo específico del registro de accesos es la distinción entre apertura del expediente y lectura efectiva del contenido. La confusión entre ambas produce registros que sobrestiman los accesos reales al contenido.

5.1. El caso frecuente en agenda

El profesional que consulta la agenda del día abre técnicamente la ficha resumen de cada paciente citado para verificar horarios y motivos de consulta sin acceder al contenido clínico del expediente. La distinción operativa entre apertura de ficha resumen —dato administrativo— y apertura del expediente clínico —contenido asistencial— es lo que permite registrar cada tipo con el peso correspondiente.

5.2. El registro segmentado por tipo de acceso

El sistema clínico bien construido registra separadamente los accesos administrativos —agenda, recepción, facturación— y los accesos al contenido clínico del expediente. La revisión posterior distingue ambos tipos y permite analizar patrones específicos de uso sin mezclar acceso administrativo rutinario con acceso al contenido asistencial.

5.3. La visualización parcial del expediente

Cuando el profesional accede a una sección concreta del expediente sin ver el resto, el registro anota específicamente qué sección se consultó. La visualización parcial del expediente por parte de un rol con permisos específicos —enfermería con acceso al plan de cuidados sin acceso al detalle clínico completo— queda reflejada con la precisión que corresponda.

6. Accesos de emergencia

La atención de urgencia exige a veces acceso al expediente por parte de profesional que no tiene autorización habitual sobre ese paciente concreto. La política del centro prevé la vía específica para estos casos con la trazabilidad reforzada correspondiente.

6.1. La vía autorizada de emergencia

El sistema clínico prevé mecanismo específico para acceso de emergencia —profesional de guardia que atiende a paciente cuyo expediente no consulta habitualmente, situación crítica que exige información inmediata sin tiempo para autorización formal—. El acceso se permite bajo la propia responsabilidad del profesional que lo activa, con registro específico del acto como acceso de emergencia declarado.

6.2. El registro reforzado del acceso

El acceso de emergencia registra información adicional respecto al acceso ordinario: motivo declarado por el profesional, contexto asistencial de la urgencia, contenido consultado con detalle. El registro reforzado es lo que permite la revisión específica posterior del acto y valorar si el acceso estaba justificado en su contexto concreto.

6.3. La revisión posterior sistemática

Todos los accesos de emergencia se revisan sistemáticamente por parte de la dirección clínica o del responsable designado, con una periodicidad definida por la política del centro. La revisión valora la justificación del acceso y detecta patrones anómalos —accesos de emergencia repetidos por el mismo profesional sobre pacientes fuera de su ámbito habitual— que exijan intervención específica.

7. Auditoría interna periódica

El registro de accesos aporta valor cuando se revisa periódicamente, no solo cuando aparece requerimiento externo. La auditoría interna programada detecta patrones anómalos antes de que se manifiesten como reclamación.

7.1. Los patrones que se buscan

Accesos fuera de horario habitual, accesos repetidos por el mismo profesional a un paciente sin cita asociada, accesos a pacientes con relación conocida con el profesional que accede —familiar, conocido, vecino—, accesos masivos en poco tiempo por el mismo usuario. Cada patrón por sí solo puede tener explicación legítima; la revisión los identifica para valorar caso por caso.

7.2. La periodicidad razonable

La política del centro programa revisión mensual o trimestral según el volumen de accesos y la sensibilidad del contenido del expediente. Los centros con volumen relevante suelen aplicar revisión automatizada con alertas específicas sobre patrones concretos, complementada con revisión humana periódica sobre las alertas generadas y sobre muestras aleatorias del conjunto.

7.3. El seguimiento de incidencias detectadas

Cada patrón anómalo detectado abre incidencia específica con investigación posterior sobre justificación real del acceso. La respuesta depende del resultado: acceso justificado con contexto identificado se cierra sin más actuación; acceso injustificado o abusivo activa procedimiento interno específico según la política del centro y, cuando corresponda, comunicación al paciente afectado y a la AEPD.

8. Qué se le muestra al paciente

El paciente puede pedir saber quién ha accedido a su expediente. El registro se le entrega con protección.

El paciente tiene derecho a saber quién ha accedido a su expediente y en qué condiciones. La respuesta a esta solicitud es parte del ejercicio del derecho de acceso ampliado y forma parte de la relación de transparencia entre centro y paciente.

8.1. La información que puede solicitar

El paciente puede pedir el registro de accesos a su historia clínica en el ejercicio de su derecho de acceso. La respuesta incluye la lista de accesos con identificación del profesional que accedió, la fecha del acceso y, cuando corresponda, la sección consultada. La información se entrega con el detalle suficiente para que el paciente pueda valorar la actividad sobre su propio expediente.

8.2. La protección de datos de terceros

La información sobre profesionales que accedieron al expediente se entrega con las medidas correspondientes a la protección de datos de los propios profesionales identificados. La identificación por rol y función profesional, con el nombre solo cuando corresponda a la finalidad de la solicitud, protege a los profesionales sin ocultar información relevante para el paciente.

8.3. El seguimiento de la respuesta

La entrega del registro al paciente queda registrada como acto específico del ejercicio del derecho de acceso, con la fecha y el alcance de la información entregada. Cuando el paciente detecta accesos que considera anómalos y solicita explicación específica, el centro investiga cada caso y responde con el resultado de la investigación en el plazo aplicable al ejercicio de derechos.

9. Qué aporta obeliOmed

Para que la trazabilidad de accesos internos funcione como infraestructura efectiva y no como funcionalidad decorativa, el sistema tiene que registrar cada apertura de la historia clínica con la información suficiente, distinguir apertura administrativa de acceso al contenido clínico y facilitar la revisión periódica por parte de la dirección del centro.

9.1. Registro segmentado y revisión periódica

En obeliOmed cada apertura de la historia clínica queda registrada con la identificación del profesional, la fecha y hora exactas, el paciente accedido y la sección consultada cuando aplica. La distinción entre acceso administrativo desde agenda y acceso al contenido clínico se registra separadamente. El sistema ofrece herramienta de revisión periódica con alertas configurables sobre patrones anómalos y muestreo aleatorio del conjunto. Cuando el paciente ejerce derecho de acceso a la trazabilidad, la información se prepara con el detalle exigido y con la protección correspondiente a los datos de los profesionales identificados. La responsabilidad de la política sigue siendo del centro; lo que el sistema aporta es no dejar a la clínica sin la infraestructura técnica para registrar, revisar y responder cuando corresponde.

9.2. Con qué se combina

La trazabilidad de accesos forma parte del despliegue de seguridad técnica del centro, sostenida por el pilar del cumplimiento del RGPD en RGPD en clínicas privadas.