Historia clínica electrónica: requisitos legales

Marco legal aplicable · Ley 41/2002 base

La Ley 41/2002 básica reguladora de la autonomía del paciente y de derechos y obligaciones en materia de información y documentación clínica es la norma de referencia. Define la historia clínica como el conjunto de documentos relativos a los procesos asistenciales de cada paciente · con identificación de los profesionales que han intervenido · destinada a obtener la máxima integración asistencial.

• Ley 41/2002 · norma básica estatal · regula contenido · acceso · custodia.
• Ley 16/2003 cohesión y calidad del Sistema Nacional de Salud · interoperabilidad pública.
• RGPD UE 2016/679 · datos salud son categoría especial Art. 9 · protección reforzada.
• LOPDGDD Ley Orgánica 3/2018 · refuerzo derechos protección datos personales en España.
• Reglamento UE 2025/327 Espacio Europeo Datos Sanitarios EHDS · transposición progresiva hasta 2029-2031 según uso.
• Normativa autonómica complementaria · cada CCAA puede añadir requisitos específicos historia clínica.

Contenido mínimo obligatorio

El Art. 15 Ley 41/2002 detalla el contenido mínimo que debe incorporar toda historia clínica. Esto aplica directamente a la HCE · sin excepciones por formato digital. Una HCE que no cumpla este mínimo no se considera válida ante inspección o conflicto.

• Documentación relativa a hoja clínico-estadística.
• Autorización de ingreso si procede.
• Informe urgencia si aplica.
• Anamnesis y exploración física completa.
• Evolución del paciente durante asistencia.
• Órdenes médicas y hoja terapéutica.
• Hoja de interconsulta entre profesionales.
• Informes exploración complementaria · pruebas diagnósticas · imagen.
• Consentimientos informados firmados.
• Informe anestesia si aplica.
• Informe quirófano y registros intraoperatorios.
• Informe de alta · obligatorio en hospitalización.
• Documentación enfermería y cuidados.
• Aplicación terapéutica de enfermería.
• Gráfico constantes vitales.
• Identificación profesionales intervinientes en cada acto.

Plazo retención · 5 años post-última atención

El Art. 17 Ley 41/2002 establece que los centros sanitarios tienen obligación de conservar la documentación clínica en condiciones que garanticen su correcto mantenimiento y seguridad durante el tiempo adecuado a cada caso · y como mínimo 5 años desde la fecha de alta de cada proceso asistencial. Algunas CCAA y tipos de documentación amplían este plazo significativamente.

• Mínimo estatal · 5 años desde fecha alta proceso asistencial concreto.
• Documentación especial protección (radiografías · pruebas alta sensibilidad) · puede tener plazos específicos superiores.
• Cataluña · plazo 15 años desde alta de cada proceso asistencial · alguno indefinido.
• País Vasco · plazo mínimo 5 años pero recomendación 15.
• Otras CCAA · revisar normativa autonómica específica · plazos heterogéneos.
• Para responsabilidad médica · prescripción general 5 años Art. 1964 Código Civil · conservar al menos hasta cubrir prescripción.
• Menores · conservación hasta cumplir mayoría edad + plazo prescripción adicional.

Derecho de acceso paciente · Art. 18

El Art. 18 Ley 41/2002 reconoce el derecho del paciente al acceso a su historia clínica · y obligación del centro sanitario de facilitarlo. El paciente puede ejercerlo directamente o por representante debidamente acreditado. La HCE debe estar preparada para ejecutar este derecho con rapidez y sin obstáculos burocráticos innecesarios.

• Derecho del paciente acceso a documentación íntegra · salvo anotaciones subjetivas profesional.
• Plazo respuesta razonable · interpretación AEPD típicamente 1 mes desde solicitud · igual RGPD.
• Formato accesible · el paciente debe poder leer y entender lo entregado.
• Identificación inequívoca solicitante · evitar entrega indebida a terceros.
• Representación familiar · necesita acreditación formal · poder notarial o documentación legal.
• Paciente fallecido · acceso restringido a personas vinculadas familiarmente y por motivos justificados.
• Coste no puede ser barrera disuasoria · primera copia gratuita.

Pseudonimización vs cifrado · qué exige RGPD

El RGPD Art. 32 exige medidas técnicas y organizativas apropiadas · incluyendo pseudonimización y cifrado cuando proceda. Para HCE en clínica privada el cifrado en reposo y en tránsito es el mínimo razonable · la pseudonimización aplica más a usos secundarios (investigación · estadística) donde se separa identificador directo del paciente.

• Cifrado en reposo (at-rest) · base datos cifrada · clave gestionada por sistema.
• Cifrado en tránsito (in-transit) · TLS 1.2 mínimo · TLS 1.3 recomendado.
• Pseudonimización · útil para datos secundarios y exportes investigación.
• Anonimización · cuando se rompe vínculo identificación · sale de ámbito RGPD.
• Gestión claves cifrado · separar custodia clave de custodia dato.
• Rotación claves periódica · documentar procedimiento.

Auditoría accesos · trazabilidad obligatoria

Toda HCE debe permitir auditar quién accede a cada historia · cuándo · desde dónde · qué hizo con la información. Esto es exigible bajo RGPD Art. 32 (accountability) · bajo Ley 41/2002 · bajo Esquema Nacional Seguridad si aplica · y bajo normativa autonómica específica. Sin log accesos auditable · la clínica no puede demostrar cumplimiento ante inspección.

• Log accesos con identificación usuario · timestamp · IP · acción.
• Conservación logs mínimo 2 años recomendado.
• Acceso a logs restringido · solo responsables seguridad / DPO.
• Revisión periódica detección accesos sospechosos.
• Alertas automáticas accesos masivos o fuera horario.
• Política consecuencias acceso indebido documentada.

Checklist requisitos HCE clínica privada

Interoperabilidad · HL7 FHIR como estándar

Para HCE en clínica privada que aspire a integrar con red sanitaria pública · receta electrónica interoperable o futura participación en EHDS · el estándar de facto es HL7 FHIR (Fast Healthcare Interoperability Resources). Aunque no es obligatorio para toda HCE privada · es la referencia técnica recomendada en proyectos nuevos.

• HL7 FHIR R4 · versión estable recomendada para implementaciones nuevas.
• Recursos clave · Patient · Encounter · Observation · Condition · MedicationRequest · Procedure.
• Perfil España · adaptación FHIR a contexto Sistema Nacional Salud · gestionado por Ministerio Sanidad.
• Estándares anteriores HL7 v2 o CDA aún presentes · interoperabilidad parcial.
• EHDS hará interoperabilidad obligatoria por fases · merece anticiparse arquitectónicamente.

Backup · obligación implícita Art. 32 RGPD

• Backup diario completo · retención mínima 30 días.
• Backup separado geográficamente · evitar pérdida total por incidente local.
• Cifrado backup mismo nivel que datos productivos.
• Prueba restauración periódica · backup que no se restaura no es backup.
• Documentar política RPO (Recovery Point Objective) y RTO (Recovery Time Objective).
• Si proveedor cloud · revisar DPA y garantías contractuales sobre backup.

Custodia tras cese actividad clínica

Cuando una clínica cesa actividad · cierra o cambia titularidad · la obligación de custodia de la historia clínica no desaparece. El Art. 17 Ley 41/2002 sigue aplicando · y la responsabilidad recae sobre el titular original o la entidad designada. Esto debe planificarse antes del cese · no improvisarse después.

• Plan custodia post-cese documentado antes de iniciar cierre.
• Designación entidad custodia (notario · empresa archivo certificada · profesional sanitario sucesor).
• Comunicación a pacientes sobre dónde dirigir solicitudes acceso post-cese.
• Comunicación AEPD cambio responsable tratamiento si procede.
• Continuidad garantías técnicas · cifrado · log acceso · backup también post-cese.
• Plazo custodia · respetar máximo aplicable según CCAA y caso.

Sanciones AEPD por incumplimiento

El RGPD prevé sanciones de hasta 20 millones de euros o el 4% del volumen anual de negocio · y la LOPDGDD añade categorías propias. La AEPD ha sancionado a clínicas privadas españolas por cifras significativas en los últimos años por fallos en gestión historia clínica · accesos indebidos · faltas seguridad y entregas indebidas a terceros.

• Infracción muy grave · hasta 20M euros o 4% facturación anual.
• Infracción grave · hasta 10M euros o 2% facturación anual.
• Acceso indebido HC por personal no autorizado · típicamente sanción grave.
• Entrega HC a tercero sin acreditación · responsabilidad clínica.
• Ausencia DPO cuando obligatorio · sanción específica.
• Brecha seguridad no notificada en 72h · sanción específica RGPD Art. 33.
• Reincidencia · agravante automático · sanciones escaladas.

Errores comunes en HCE clínica privada

• HCE sin log accesos · imposible demostrar quién entró.
• Backup sin restauración probada · falsa seguridad.
• Plazo retención mínimo ignorado · destrucción prematura.
• Derecho acceso paciente respondido fuera plazo o con obstáculos.
• HCE accesible a todo el personal sin segmentación rol.
• Documentos clínicos almacenados en email o WhatsApp en lugar de sistema HCE.
• Sin política custodia post-cese · gestión improvisada en momento delicado.

Próximo paso

Si tu clínica todavía gestiona historia clínica en papel o en sistema sin log accesos · este artículo da el marco mínimo a cubrir antes de exponerte a inspección AEPD. Si ya tienes HCE pero nunca has probado restauración backup ni revisado política custodia post-cese · son las dos brechas más comunes con mejor relación coste/protección.