Saber que alguien ha consultado un historial clínico ya no será suficiente. El paciente podrá conocer también quién lo hizo. La Agencia Española de Protección de Datos (AEPD) ha cambiado el criterio que venía aplicando y considera que, como regla general, el derecho de acceso debe permitir conocer la identidad de las personas que hayan consultado datos sanitarios electrónicos.
La decisión afecta a una de las informaciones más sensibles que manejan administraciones y centros sanitarios. El acceso a una historia clínica está limitado a quienes necesitan consultar esos datos para el desempeño de sus funciones, y los sistemas deben conservar registros que permitan controlar y auditar esas entradas.
Hasta ahora, el derecho de acceso previsto en el Reglamento General de Protección de Datos no se interpretaba de manera general como un derecho a obtener el nombre de cada trabajador que hubiese consultado la información. La AEPD modifica esa posición para los datos de salud tomando como referencia el nuevo marco europeo, que refuerza considerablemente la capacidad del paciente para controlar el acceso a su información sanitaria.
Quién, cuándo y qué datos consultó
La nueva interpretación parte del Reglamento europeo sobre el Espacio Europeo de Datos de Salud, aprobado en 2025. La norma introduce un derecho específico a obtener información sobre los accesos realizados a los datos sanitarios electrónicos y será aplicable, con carácter general, a partir del 26 de marzo de 2027.
La información disponible para el paciente irá más allá de saber que se produjo una consulta. El nuevo marco contempla conocer quién accedió, en qué fecha y a qué hora y qué datos fueron consultados.
Aunque esa regulación todavía no resulta plenamente aplicable, Protección de Datos considera que debe orientar ya la interpretación del derecho de acceso cuando están en juego datos de salud. La Agencia entiende que la identificación de las personas que consultaron esa información no puede excluirse automáticamente y que cualquier limitación tendrá que responder a circunstancias concretas y estar justificada.
El cambio coloca también el foco sobre los sistemas informáticos de los centros sanitarios. Responder a una solicitud de estas características requiere disponer de registros fiables de los accesos realizados a cada historia clínica. La propia AEPD viene recordando que los responsables deben contar con mecanismos de control, trazabilidad y auditoría capaces de prevenir y detectar consultas indebidas.
El Supremo había mantenido un criterio más restrictivo
La nueva posición de la AEPD llega después de una sentencia del Tribunal Supremo del pasado 24 de junio que analiza el derecho de acceso desde el marco general del RGPD y confirma una interpretación más limitada.
El Alto Tribunal considera que el artículo 15 del RGPD no obliga, con carácter general, a proporcionar la identidad de cada empleado que haya accedido a los datos personales. Es la interpretación que tradicionalmente había mantenido también la propia Agencia.
La AEPD incorpora ahora a ese análisis el Reglamento europeo sobre el Espacio Europeo de Datos de Salud. Aunque su aplicación general comenzará en 2027, la Agencia entiende que la nueva norma permite realizar una interpretación evolutiva del derecho de acceso cuando se trata de información sanitaria y que la identidad de quien consulta esos datos debe facilitarse como regla general.
La jurisprudencia europea ya había abierto, además, una vía para conocer esa información en determinadas circunstancias. El Tribunal de Justicia de la Unión Europea estableció que la identificación de los empleados puede resultar necesaria cuando sea indispensable para que una persona pueda ejercer efectivamente sus derechos, especialmente si existen dudas sobre si quienes accedieron a los datos actuaron siguiendo las instrucciones del responsable del tratamiento.
La cuestión está lejos de ser meramente teórica en el ámbito sanitario. Los tribunales españoles han tenido que pronunciarse sobre accesos realizados por razones completamente ajenas a la asistencia, incluidos casos en los que profesionales consultaron historias clínicas por motivos personales o sin mantener ninguna relación asistencial con el paciente.
Precisamente ahí adquiere especial importancia la trazabilidad. Ser médico, enfermero o trabajador de un centro sanitario no concede acceso indiscriminado a las historias clínicas, la consulta debe estar vinculada a las funciones que justifican entrar en esa información.
La historia clínica seguirá estando disponible para los profesionales que necesiten consultarla para prestar asistencia. Lo que cambia es la posición del paciente frente al registro de esos accesos. La AEPD considera ahora que conocer que alguien entró en su historial no basta. Como regla general, podrá saber también quién fue.
Añadir DiarioSabemos como fuente preferida de Google de forma gratuita
Mantente informado con las últimas noticias de actualidad.