Expediente Médico Electrónico: Normas de Seguridad 2026

La historia clínica electrónica acumula dos regímenes que no se superponen: el de la protección de datos personales, que trata la información de salud como una categoría especial sujeta a una prohibición de principio, y el del Código de Salud Pública francés, que impone sus propios plazos de conservación y sus propios derechos de acceso. Cumplir con el primero no equivale a cumplir con el segundo, y la mayoría de los incumplimientos detectados provienen de esta confusión.

El alojamiento de datos: una certificación obligatoria

Toda persona que aloje datos de salud de carácter personal por cuenta de terceros, en el marco de actividades de prevención, diagnóstico o atención médica, debe estar certificada para ello.

Esta obligación es estructural y suele descubrirse tarde. No depende del volumen de datos ni del tamaño de la organización: un consultorio que delega su software de gestión en un proveedor en línea debe asegurarse de que el alojamiento de los datos esté a cargo de un actor certificado. La responsabilidad de esta verificación recae en el responsable del tratamiento, es decir, en el profesional o el establecimiento, y no en el proveedor.

De esto se derivan dos cuestiones prácticas: el contrato de tercerización debe mencionar explícitamente esta certificación y su alcance, y un cambio de proveedor o de infraestructura implica volver a verificar esta cobertura.

El régimen de los datos de salud

Los datos relativos a la salud pertenecen a una categoría especial cuyo tratamiento está, en principio, prohibido. El tratamiento solo es lícito si encuadra en alguna de las excepciones taxativamente previstas —en particular la atención sanitaria, la medicina preventiva o el consentimiento explícito de la persona.

Esta lógica invertida tiene una consecuencia directa: para cada tratamiento, hay que poder identificar la excepción que lo fundamenta. Un uso secundario de los datos —estadísticas internas, mejora de una herramienta, investigación— no se deduce de la licitud del tratamiento asistencial; requiere su propio fundamento.

A esto se suman las obligaciones generales: registro de actividades de tratamiento, información a las personas, plazos de conservación definidos, evaluación de impacto cuando el tratamiento presenta un riesgo elevado —lo cual es frecuente en el caso de una historia clínica informatizada.

Los plazos de conservación

Estos dependen del Código de Salud Pública francés y no solo del principio de limitación de la conservación.

La historia clínica generada en un establecimiento de salud se conserva durante veinte años a partir de la última internación o de la última consulta externa. A esto se suman dos reglas particulares:

• Para un paciente menor de edad al momento de la atención, la conservación se extiende hasta que cumpla veintiocho años, si ese plazo resulta más extenso.
• En caso de fallecimiento del paciente antes de que transcurran diez años desde la última consulta, la historia clínica se conserva al menos diez años a partir de la fecha del fallecimiento.

Estos plazos se suspenden ante cualquier reclamo administrativo o judicial que cuestione la responsabilidad del establecimiento o de los profesionales.

La relación con los plazos de prescripción de la responsabilidad es directa: la acción prescribe a los diez años desde la consolidación del daño, y una historia clínica destruida antes de tiempo priva al profesional de su principal medio de defensa —tema que desarrollamos en nuestro artículo sobre la responsabilidad civil profesional.

La trazabilidad de los accesos

Es el requisito más operativo, y aquel cuya ausencia resulta más difícil de subsanar.

Cada acceso a la historia clínica debe quedar registrado: quién consultó, qué elemento, en qué fecha. Este registro cumple dos funciones distintas y complementarias.

Permite prevenir y detectar los accesos indebidos, que constituyen una de las infracciones más frecuentes en los establecimientos —consultar la historia de un colega, de un allegado, de una persona conocida.

Y protege al profesional, al permitir demostrar que un acceso cuestionado no tuvo lugar, o que un acceso impugnado correspondía efectivamente a la atención del paciente. Sin registro, una sospecha no puede ni confirmarse ni descartarse.

Además, los permisos de acceso deben diferenciarse según las funciones: pertenecer al equipo de salud no habilita el acceso a toda la historia clínica, sino solo a la información necesaria, como se explica en nuestro artículo sobre el secreto médico.

El derecho de acceso del paciente

El paciente accede directamente a toda la información relativa a su salud, sin necesidad de justificar su solicitud.

La entrega de la información se produce, como mínimo, tras un período de reflexión, y como máximo dentro de un plazo que se extiende cuando la información tiene más de cinco años de antigüedad. Los gastos eventuales se limitan al costo de reproducción y de envío.

Dos límites acotan este derecho: quedan excluidas la información recabada de terceros que no participaron en la atención, así como la referida a dichos terceros. Tras el fallecimiento, el acceso de los causahabientes se rige por un régimen distinto, limitado a la información necesaria en función del motivo invocado.

Escenarios de uso

Cambio de software de gestión. Verificar la certificación de alojamiento del nuevo proveedor, la reversibilidad de los datos y el formato de exportación. Una migración sin plan de recuperación expone a la pérdida de historias clínicas cuyos plazos de conservación siguen vigentes.

Consultorio grupal. Diferenciar los permisos de acceso por profesional y por paciente en lugar de habilitar toda la historia clínica a todos. Es el punto de control más frecuente, y depende tanto de la organización como de la tecnología —tema abordado en nuestro artículo sobre el cumplimiento normativo administrativo de un consultorio médico.

Solicitud de acceso de un paciente. Verificar la identidad, aislar la información excluida, respetar el plazo aplicable según la antigüedad. Registrar la solicitud y la respuesta: el cumplimiento del plazo debe poder probarse.

Preguntas frecuentes

¿Se necesita un proveedor de alojamiento certificado? Sí, en cuanto se alojen datos de salud por cuenta de un tercero en un contexto de prevención, diagnóstico o atención médica. La verificación corresponde al responsable del tratamiento, no al proveedor.

¿Cuánto tiempo hay que conservar una historia clínica? Veinte años a partir de la última atención en el establecimiento, con prórroga hasta los veintiocho años del paciente si era menor de edad, y un mínimo de diez años a partir del fallecimiento ocurrido dentro de los diez años.

¿Puede el paciente consultar su historia clínica? Sí, directamente y sin necesidad de justificar el motivo, dentro de los plazos previstos, que se extienden para la información de más de cinco años. Solo pueden cobrarse los gastos de reproducción y envío.

¿Es obligatorio registrar los accesos? Sí, y esto protege tanto al profesional como al paciente: sin registro, un acceso cuestionado no puede ni confirmarse ni descartarse.

¿Puede un profesional consultar cualquier historia clínica de la institución? No. El acceso se limita a la información necesaria para su función en la atención del paciente en cuestión. Los permisos deben diferenciarse en consecuencia.

¿Se pueden usar los datos con fines estadísticos? No en virtud del tratamiento asistencial. Todo uso secundario requiere su propio fundamento de licitud y, en su caso, una información específica a las personas.

Para recordar

Dos regímenes se superponen y deben tratarse por separado. La protección de datos exige identificar, para cada tratamiento, la excepción que lo hace lícito —la finalidad asistencial no cubre los usos secundarios. El Código de Salud Pública francés impone sus propios plazos de conservación, que se cuentan en décadas y se suspenden en caso de reclamo.

Entre ambos regímenes, hay un mecanismo que sirve a los dos a la vez: el registro de accesos, junto con permisos diferenciados. Esto es lo que permite demostrar que se respetó el límite de lo «necesario para la función», y también lo que protege al profesional cuando se le cuestiona un acceso. El razonamiento es el mismo que se aplica al consentimiento informado: lo que no queda registrado no puede probarse ni refutarse.