Expediente Médico Electrónico: Normas de Seguridad 2026

El expediente médico electrónico acumula dos regímenes que no se superponen: el de la protección de datos personales, que trata la información de salud como una categoría particular sujeta a una prohibición de principio, y el del Código de Salud Pública francés, que impone sus propios plazos de conservación y sus propios derechos de acceso. Cumplir con el primero no equivale a cumplir con el segundo, y la mayoría de los incumplimientos detectados provienen de esta confusión.

El alojamiento de datos: una certificación obligatoria

Toda persona que aloje datos de salud de carácter personal por cuenta de terceros, con motivo de actividades de prevención, diagnóstico o atención médica, debe estar certificada para ello.

Esta obligación es estructural y a menudo se descubre tarde. No depende del volumen de datos ni del tamaño de la estructura: un consultorio que confía su software de gestión a un proveedor en línea debe asegurarse de que el alojamiento de los datos esté a cargo de un actor certificado. La responsabilidad de esta verificación recae en el responsable del tratamiento, es decir, en el profesional o el establecimiento, y no en el proveedor.

De ahí se derivan dos puntos prácticos: el contrato de subcontratación debe mencionar explícitamente esta certificación y su alcance, y un cambio de proveedor o de infraestructura implica volver a verificar esta cobertura.

El régimen de los datos de salud

Los datos relativos a la salud pertenecen a una categoría particular cuyo tratamiento está en principio prohibido. El tratamiento solo es lícito si se encuadra en alguna de las excepciones previstas de manera limitativa — en particular la atención sanitaria, la medicina preventiva o el consentimiento explícito de la persona.

Esta arquitectura invertida tiene una consecuencia directa: para cada tratamiento, es necesario poder señalar la excepción que lo fundamenta. Un uso secundario de los datos — estadísticas internas, mejora de una herramienta, investigación — no se deduce de la licitud del tratamiento asistencial; requiere su propio fundamento.

A esto se suman las obligaciones generales: registro de actividades de tratamiento, información a las personas, plazos de conservación definidos, y evaluación de impacto cuando el tratamiento presenta un riesgo elevado — lo cual es frecuente en el caso de un expediente de paciente informatizado.

Los plazos de conservación

Estos dependen del Código de Salud Pública francés y no únicamente del principio de limitación.

El expediente médico constituido en un establecimiento de salud se conserva veinte años a partir de la última estancia o de la última consulta externa. A esto se superponen dos reglas particulares:

• Para un paciente menor de edad en el momento de la atención, la conservación se prolonga hasta su vigesimoctavo cumpleaños cuando ese plazo sea más largo.
• En caso de fallecimiento del paciente ocurrido antes de que transcurran diez años desde la última visita, el expediente se conserva al menos diez años a partir de la fecha del fallecimiento.

Estos plazos se suspenden por cualquier recurso administrativo o judicial que pretenda cuestionar la responsabilidad del establecimiento o de los profesionales.

La relación con los plazos de prescripción de la responsabilidad es directa: la acción prescribe a los diez años a partir de la consolidación del daño, y un expediente destruido prematuramente priva al profesional de su principal medio de defensa — tema detallado en nuestro artículo sobre la responsabilidad civil profesional.

La trazabilidad de los accesos

Es la exigencia más operativa, y aquella cuya ausencia es más difícil de subsanar.

Cada acceso al expediente debe quedar registrado: quién consultó, qué elemento, en qué fecha. Este registro cumple dos funciones distintas y complementarias.

Permite prevenir y detectar los accesos indebidos, que constituyen una de las infracciones más frecuentes en los establecimientos — consulta del expediente de un colega, de un familiar, de una persona conocida.

Y protege al profesional, al permitir demostrar que un acceso que se le reprocha no tuvo lugar, o que un acceso cuestionado sí correspondía a la atención brindada. Sin un registro, una sospecha no puede probarse ni descartarse.

Además, los permisos de acceso deben diferenciarse según las funciones: pertenecer al equipo de atención no otorga acceso a la totalidad del expediente, sino únicamente a la información necesaria, como se explica en nuestro artículo sobre el secreto médico.

El derecho de acceso del paciente

El paciente accede directamente a toda la información relativa a su salud, sin necesidad de justificar su solicitud.

La entrega de la información se realiza como mínimo tras un plazo de reflexión y como máximo dentro de un plazo que se extiende cuando la información tiene más de cinco años de antigüedad. Los costos eventuales se limitan al costo de reproducción y envío.

Dos límites enmarcan este derecho: quedan excluidas las informaciones recabadas de terceros que no participan en la atención, así como aquellas relativas a dichos terceros. Tras el fallecimiento, el acceso de los causahabientes se rige por un régimen distinto, limitado a la información necesaria para el motivo invocado.

Escenarios de uso

Cambio de software de gestión. Verificar la certificación de alojamiento del nuevo proveedor, la reversibilidad de los datos y el formato de exportación. Una migración sin plan de recuperación expone a la pérdida de expedientes cuyos plazos de conservación siguen corriendo.

Consultorio grupal. Diferenciar los permisos de acceso por profesional y por paciente, en lugar de abrir todo el expediente a todos. Es el punto de control más frecuente, y depende tanto de la organización como de la tecnología — tema abordado en nuestro artículo sobre el cumplimiento administrativo de un consultorio médico.

Solicitud de acceso de un paciente. Verificar la identidad, aislar la información excluida, respetar el plazo aplicable según la antigüedad. Registrar la solicitud y la respuesta: el cumplimiento del plazo se prueba.

Preguntas frecuentes

¿Se necesita un proveedor de alojamiento certificado? Sí, en cuanto se alojen datos de salud por cuenta de un tercero en un contexto de prevención, diagnóstico o atención médica. La verificación corresponde al responsable del tratamiento, no al proveedor.

¿Cuánto tiempo hay que conservar un expediente médico? Veinte años a partir de la última visita al establecimiento, con prórroga hasta los veintiocho años del paciente si era menor de edad, y un mínimo de diez años a partir del fallecimiento ocurrido dentro de los diez años posteriores.

¿Puede el paciente consultar su expediente? Sí, directamente y sin necesidad de justificación, dentro de los plazos previstos, que se extienden para la información de más de cinco años de antigüedad. Solo pueden cobrarse los gastos de reproducción y envío.

¿Es obligatorio el registro de los accesos? Sí, y protege tanto al profesional como al paciente: sin un registro, un acceso cuestionado no puede probarse ni descartarse.

¿Puede un profesional consultar cualquier expediente de la estructura? No. El acceso se limita a la información necesaria para su función en la atención del paciente en cuestión. Los permisos deben diferenciarse en consecuencia.

¿Se pueden usar los datos con fines estadísticos? No en virtud del tratamiento asistencial. Todo uso secundario requiere su propio fundamento de licitud y, en su caso, información específica a las personas.

Para recordar

Dos regímenes se superponen y deben tratarse por separado. La protección de datos exige señalar, para cada tratamiento, la excepción que lo hace lícito — la finalidad asistencial no cubre los usos secundarios. El Código de Salud Pública francés impone sus propios plazos de conservación, que se cuentan en décadas y se suspenden en caso de recurso.

Entre ambos, hay un mecanismo que sirve a los dos regímenes a la vez: el registro de los accesos, asociado a permisos diferenciados. Esto es lo que permite demostrar que se respetó el límite de lo «necesario para la función», y también lo que protege al profesional cuando se le reprocha un acceso. El razonamiento coincide con el aplicable a la obtención del consentimiento: lo que no queda registrado no puede probarse ni refutarse.