Imagen generada con IA.
Durante años, la AEPD sostuvo que bastaba con que un centro sanitario acreditara «quién puede acceder» a una historia clínica —es decir, qué perfiles o roles tienen permiso técnico para consultarla— para dar por cumplido el derecho de acceso de un paciente. Una resolución de la Agencia de julio de 2026 (PD-00068-2026) da un giro a ese criterio: cuando el paciente pide expresamente saber quién ha consultado realmente su historial, entregar el expediente o describir el sistema de permisos ya no es suficiente. Hay que poder decir quién entró, cuándo y por qué.
La diferencia entre «quién puede acceder» y «quién accedió realmente»
La mayoría de sistemas de historia clínica electrónica funcionan con control de accesos basado en roles: un médico de planta, un especialista, una enfermera o un administrativo tienen permisos distintos, definidos de antemano. Ese sistema responde a la pregunta «¿quién puede entrar?». Pero es una pregunta distinta de «¿quién ha entrado realmente, cuándo y con qué motivo?», que solo puede responderse con un registro de auditoría (log de accesos) que quede grabado en cada consulta.
La AEPD ha confirmado que ambas cuestiones son independientes: acreditar el sistema de permisos, o incluso entregar una copia de la historia clínica, no satisface una solicitud de acceso en la que el paciente pide conocer la identidad de las personas que han consultado sus datos. Según recoge la propia resolución, «la identidad de quienes acceden a los datos no debe denegarse de forma automática, y cualquier restricción debe plantearse como una excepción concreta, motivada y documentada» —no como una política general de reserva de identidades.
Qué exige el artículo 32 RGPD sobre registro y trazabilidad en datos de salud
El artículo 32 del RGPD obliga a aplicar medidas técnicas y organizativas apropiadas para garantizar la confidencialidad, integridad y capacidad de restauración de los datos, así como un proceso de verificación y evaluación regular de la eficacia de esas medidas. En el caso de datos de salud —categoría especial conforme al artículo 9 RGPD—, la práctica habitual para cumplir esa exigencia es precisamente el registro de auditoría: dejar constancia técnica de qué usuario ha accedido a qué historia clínica, en qué momento y, idealmente, con qué finalidad.
A este marco se suma el Reglamento (UE) 2025/327, del Espacio Europeo de Datos de Salud, cuyo artículo 9 refuerza el estándar de transparencia sobre el acceso a los datos sanitarios electrónicos: exige poder informar sobre quién ha accedido, en qué fechas y a qué datos concretos, con un periodo mínimo de conservación de esos registros de tres años. Aunque sus plazos de aplicación plena se escalonan hasta 2029-2031, la AEPD ya invoca este estándar como referencia de buenas prácticas exigible desde ahora.
Cómo auditar los logs de acceso a historiales clínicos
Antes de recibir una solicitud de un paciente —o una inspección de la AEPD— conviene comprobar si el sistema de historia clínica electrónica realmente cumple con lo anterior:
- Verifica que cada acceso queda registrado de forma individualizada: identidad del profesional, fecha, hora y, si es posible, motivo de la consulta, y no solo el hecho de que «alguien con rol médico» entró.
- Comprueba el periodo de conservación de los logs: al menos tres años, en línea con el estándar del Reglamento (UE) 2025/327.
- Asegúrate de que los registros son exportables y consultables dentro del plazo de un mes que exige el RGPD para responder a una solicitud de acceso.
- Revisa que no existan cuentas de usuario genéricas o compartidas en el sistema: si varias personas usan el mismo usuario, es imposible identificar quién accedió realmente.
- Confirma que cualquier restricción a revelar una identidad está documentada caso por caso —por ejemplo, por riesgo para la seguridad del profesional— y no aplicada como política general.
Recomendaciones para clínicas, centros médicos y aseguradoras de salud
Adaptarse a este criterio no requiere, en la mayoría de los casos, cambiar de sistema de historia clínica, sino revisar cómo se configura y se explota el que ya existe:
- Activa o verifica el registro de auditoría (audit trail) del sistema de historia clínica electrónica si no está habilitado por defecto.
- Elimina las cuentas y accesos compartidos, sustituyéndolos por usuarios individuales e intransferibles.
- Prepara un procedimiento interno para responder a solicitudes de acceso que incluya, cuando se pida expresamente, la información de trazabilidad y no solo la copia del historial.
- Forma al personal sanitario y administrativo sobre por qué cada acceso queda registrado y puede ser objeto de una solicitud del paciente.
- Aplica el principio de protección de datos desde el diseño (artículo 25 RGPD) al contratar o actualizar software de historia clínica: exige a tus proveedores que el registro de accesos sea una funcionalidad nativa, no un añadido posterior.
Este criterio afecta por igual a clínicas privadas, centros médicos, hospitales y aseguradoras de salud que gestionan historiales electrónicos de sus asegurados. En Dataibérica ayudamos a organizaciones sanitarias a auditar sus sistemas de historia clínica electrónica y a adecuar sus procedimientos de acceso y trazabilidad al RGPD.
Fuente principal: resolución de la Agencia Española de Protección de Datos (PD-00068-2026, julio de 2026) sobre trazabilidad de accesos a datos de salud, con análisis de Cuatrecasas y ProtecciónData.
