històriaclínica

La Agencia Española de Protección de Datos (AEPD) ha publicado recientemente la Resolución 00068-2026, en la que procede a modificar el criterio actual respecto el ejercicio del derecho de acceso para conocer las personas físicas que han tenido acceso a datos de salud.

Valga empezar recordando que la jurisprudencia actual, como la STJUE de 22 de junio de 2023 (C-579/21), indica que no existe un derecho absoluto de conocer las personas físicas que hayan tenido acceso a la historia clínica, pudiendo satisfacer el ejercicio del derecho de acceso del art. 15 del Reglamento General de Protección de Datos (RGPD) indicando la categoría de destinatarios. Igualmente, la reciente sentencia del Tribunal Supremo de 24 de junio de 2026 (núm. 789/2026, Sala de lo Contencioso-Administrativo), aplica esta interpretación, confirmando que la identificación individual de quienes acceden a los datos debe valorarse en función de su necesidad y de la ponderación con otros derechos.

De hecho, la misma AEPD sostenía el criterio que “Salvo que una ley lo permita expresamente, el derecho de acceso no incluye la identificación de los profesionales sanitarios que acceden a la historia clínica”.

¿Y cuál ha sido el motivo del cambio de criterio? El nuevo Reglamento 2025/327 relativo al Espacio Europeo de Datos de Salud, que establece en su art. 9 el derecho a obtener información sobre el acceso a los datos por el prestador de asistencia sanitaria o cualquier otra persona que haya accedido a los datos de salud electrónicos personales; también prevé que los Estados miembros puedan  limitar este derecho cuando existan indicios concretos de que la divulgación pondría en peligro los derechos o intereses vitales del profesional sanitario o la asistencia prestada a la persona física.

Esto ha llevado a que, en una reciente reclamación de derecho de acceso en la que se planteaba la necesidad de conocer las personas que accedieron a la historia clínica del demandante, la autoridad de control procediera a adoptar un criterio interpretativo evolutivo en anticipación al nuevo Reglamento Europeo. Partiendo por reconocer que el Reglamento, aunque entró en vigor el 2025, se irá aplicando de manera escalonada a partir del 2027, introduce un criterio de que el derecho de acceso incluye la identificación de las personas que han accedido a los datos. Aunque reconoce que este derecho no es absoluto, conforme a la jurisprudencia y al principio de proporcionalidad, indica que será el responsable de tratamiento quien tenga que acreditar que la limitación al acceso esté debidamente fundada y documentada, rechazando una exclusión general y automática a proporcionar las identidades de las personas que acceden a los datos.

Este criterio supone una evolución de la jurisprudencia e interpretaciones tradicionales para reforzar la transparencia del tratamiento y el control efectivo de la licitud.

La Agencia Española de Protección de Datos (AEPD) ha resuelto recientemente un procedimiento sancionador (ref. EXP202402851) contra IDCQ Hospitales y Sanidad, S.L.U. (Hospital Universitario Quirónsalud Madrid) a raíz de la destrucción de un CD que contenía imágenes de resonancias magnéticas aportadas por un paciente para ser comparadas con una prueba diagnóstica realizada en el centro.

El caso ha generado especial interés porque pone el foco en cuestiones clave para el sector sanitario: el tratamiento de datos de salud, la gestión de soportes físicos entregados por los pacientes y el alcance de las obligaciones de conservación vinculadas a la historia clínica.

Los hechos se remontan a noviembre de 2021, cuando un paciente acudió al Hospital Quirónsalud Madrid para realizarse una resonancia magnética y aportó un CD con imágenes de pruebas previas realizadas entre 2018 y 2020. Ese mismo día firmó un documento en el que se indicaba que los resultados e informes estarían disponibles durante un mes para su retirada. Cuando el paciente intentó recuperar el CD cuatro meses después, el centro le comunicó que ya había sido eliminado por limitaciones de espacio en el archivo. Ante esta situación, presentó una reclamación primero ante el propio hospital y, posteriormente, ante la AEPD.

En su defensa, IDCQ Quirónsalud sostuvo que las imágenes contenidas en el CD no habían sido generadas por su centro, sino por otro hospital, y que habían sido aportadas directamente por el paciente. Según su criterio, las obligaciones legales de conservación de documentación clínica se aplican principalmente a la información creada por el propio centro sanitario y no necesariamente a los materiales externos entregados por el paciente. Partiendo de esta premisa, el centro argumentó que, en ausencia de una obligación específica de conservación, mantener el CD habría sido contrario a los principios de minimización de datos y limitación de la finalidad del RGPD y que, por tanto, no disponían de una base de legitimación suficiente, en los términos del artículo 6, para conservarlo más allá del plazo previsto.

El hospital también remarcó que la información que el médico consideró relevante sí se incorporó a la historia clínica del paciente, en forma de informe médico. El resto de las imágenes no se integraron porque, según el criterio clínico del facultativo, no eran necesarias para garantizar la continuidad asistencial.

Además, IDCQ defendió que disponía de un procedimiento interno que regulaba la recogida, custodia y eventual destrucción de pruebas médicas aportadas por los pacientes. Este procedimiento establecía un plazo de un mes para que los soportes físicos fueran retirados y, pasado este periodo, preveía la destrucción del material no recogido. Según el centro, el paciente había sido informado de este plazo y, una vez transcurrido, la destrucción del CD se justificó como una medida técnica y organizativa necesaria y proporcionada en el marco del principio de privacidad desde el diseño y por defecto.

La resolución de la AEPD, sin embargo, rechazó estos argumentos. La Agencia consideró que el tratamiento de datos controvertido (la supresión de los datos contenidos en el CD) no tenía una base legitimadora suficiente que lo amparara, ya que no existe ninguna obligación legal que permita esta destrucción antes del plazo mínimo de cinco años previsto por la normativa sanitaria.

En este sentido, la AEPD recordó que el artículo 17.1 de la LBAP establece que los centros sanitarios deben conservar la documentación clínica en condiciones que garanticen su correcto mantenimiento y seguridad, aunque no necesariamente en el soporte original, durante el tiempo adecuado a cada caso y, como mínimo, cinco años desde el alta de cada proceso asistencial, sin especificar que esta obligación se refiera únicamente a la documentación elaborada por el centro. De este modo, incluiría también aquella documentación clínica aportada directamente por el paciente. La normativa catalana refuerza esta idea y añade que las medidas de seguridad previstas al respecto deben recogerse en protocolos internos aprobados por la dirección del centro.

En cuanto a los protocolos internos alegados por el hospital, la resolución pone de manifiesto que estos no estaban debidamente implantados ni elaborados en el momento de los hechos, sino que se aprobaron con posterioridad al procedimiento sancionador, motivo por el cual no se tuvieron en cuenta como circunstancia atenuante. La Agencia destacó, además, la gravedad de que un grupo hospitalario de la dimensión de Quirónsalud no dispusiera, en aquel momento, de protocolos claros sobre la custodia y destrucción tanto de la documentación clínica generada por el propio centro como de los soportes aportados proactivamente por los pacientes, llegando a calificar la práctica de “negligencia grave”.

La resolución impuso sanciones por infracciones de los artículos 6, 9 y 25 del RGPD, calificadas como muy graves, con un importe total de 1.200.000 euros.

Más allá de la controversia jurídica, el caso ofrece lecciones relevantes para los centros sanitarios. Es esencial disponer de protocolos claros sobre la gestión de los soportes físicos que aportan los pacientes, establecer criterios sólidos sobre los plazos de conservación y devolución, y comunicarlos de manera transparente.

Finalmente, esta resolución pone de manifiesto que la gestión de datos de salud, incluso cuando se trata de soportes físicos aparentemente “externos”, exige un enfoque especialmente cuidadoso desde la perspectiva del RGPD y obliga a los centros sanitarios a revisar y reforzar sus prácticas internas.

El pasado 14 de noviembre, la Autoridad Española de Protección de Datos publicó la Guía para pacientes y usuarios de la sanidad con el objetivo de resolver las dudas frecuentes, que surgen a los pacientes relativos al tratamiento de datos que se realiza con motivo de la prestación de asistencia sanitaria.

En primer lugar, la guía desarrolla conceptos básicos del Reglamento General de Protección de Datos en el contexto sanitario. En este sentido, define cuáles son las posibles bases jurídicas que pueden legitimar a los profesionales sanitarios a tratar los datos identificativos y de salud de sus pacientes indicando claramente, que no es necesario que el médico o centro sanitario recoja el consentimiento del paciente para tratar sus datos con fines asistenciales. Se precisa que, únicamente, podrán tratar estos datos aquellos profesionales sujetos a la obligación de secreto profesional. (más…)