Expediente Médico Electrónico: Estándares de Seguridad 2026

El historial médico electrónico acumula dos regímenes que no se solapan: el de la protección de datos personales, que trata la información de salud como una categoría particular sujeta a una prohibición de principio, y el del Código de Salud Pública francés, que impone sus propios plazos de conservación y sus propios derechos de acceso. Cumplir con el primero no equivale a cumplir con el segundo, y la mayoría de los incumplimientos detectados provienen de esta confusión.

El alojamiento: una certificación obligatoria

Toda persona que aloje datos de salud de carácter personal por cuenta de terceros, en el marco de actividades de prevención, diagnóstico o atención sanitaria, debe estar certificada a tal efecto.

Esta obligación es estructural y a menudo se descubre tarde. No depende del volumen de datos ni del tamaño de la estructura: una consulta que confía su software de gestión a un proveedor en línea debe asegurarse de que el alojamiento de los datos lo garantiza un actor certificado. La responsabilidad de esta verificación recae en el responsable del tratamiento, es decir, en el profesional o el centro sanitario, y no en el proveedor.

De ello se derivan dos aspectos prácticos: el contrato de subcontratación debe mencionar explícitamente esta certificación y su alcance, y un cambio de proveedor o de infraestructura obliga a revisar de nuevo esta cobertura.

El régimen de los datos de salud

Los datos relativos a la salud pertenecen a una categoría particular cuyo tratamiento está en principio prohibido. El tratamiento solo es lícito si se ampara en una de las excepciones previstas taxativamente, en particular la atención sanitaria, la medicina preventiva o el consentimiento explícito de la persona.

Esta arquitectura invertida tiene una consecuencia directa: para cada tratamiento, hay que ser capaz de identificar la excepción que lo justifica. Un uso secundario de los datos —estadísticas internas, mejora de una herramienta, investigación— no se deduce de la licitud del tratamiento asistencial; requiere su propio fundamento.

A esto se suman las obligaciones generales: registro de actividades de tratamiento, información a los interesados, plazos de conservación definidos, evaluación de impacto cuando el tratamiento presente un riesgo elevado, lo cual es frecuente en el caso de un historial de paciente informatizado.

Los plazos de conservación

Estos dependen del Código de Salud Pública francés y no solo del principio de limitación.

El historial médico creado en un centro sanitario se conserva durante veinte años a contar desde la última estancia o la última consulta externa. A esto se superponen dos reglas particulares:

• Para un paciente menor de edad en el momento de la atención, la conservación se prolonga hasta que cumple veintiocho años, cuando este plazo resulte más lejano.
• En caso de fallecimiento del paciente dentro de los diez años posteriores a la última visita, el historial se conserva al menos diez años a contar desde la fecha del fallecimiento.

Estos plazos se suspenden por cualquier recurso administrativo o judicial que tienda a poner en cuestión la responsabilidad del centro o de los profesionales.

La relación con los plazos de acción por responsabilidad es directa: la acción prescribe a los diez años desde la consolidación del daño, y un historial destruido prematuramente priva al profesional de su principal medio de defensa —un aspecto detallado en nuestro artículo sobre la responsabilidad civil profesional.

La trazabilidad de los accesos

Es la exigencia más operativa, y aquella cuya ausencia es más difícil de subsanar.

Cada acceso al historial debe quedar registrado: quién consultó, qué elemento, en qué fecha. Este registro cumple dos funciones distintas y complementarias.

previene y detecta los accesos indebidos, que constituyen una de las infracciones más frecuentes en los centros sanitarios: consulta del historial de un compañero, de un familiar, de una persona conocida.

protege al profesional, al permitir demostrar que un acceso que se le imputa no tuvo lugar, o que un acceso cuestionado correspondía efectivamente a la atención del paciente. Sin un registro, una sospecha no puede establecerse ni descartarse.

Además, las autorizaciones deben diferenciarse según las funciones: pertenecer al equipo asistencial no da acceso a todo el historial, sino únicamente a la información necesaria, como se explica en nuestro artículo sobre el secreto médico.

El derecho de acceso del paciente

El paciente accede directamente a toda la información relativa a su salud, sin necesidad de justificar su solicitud.

La comunicación se produce, como muy pronto, tras un plazo de reflexión y, como muy tarde, dentro de un plazo que se amplía cuando la información tiene más de cinco años de antigüedad. Los eventuales gastos se limitan al coste de reproducción y envío.

Dos límites enmarcan este derecho: quedan excluidas las informaciones recabadas de terceros que no intervienen en la atención, así como las relativas a dichos terceros. Tras el fallecimiento, el acceso de los derechohabientes se rige por un régimen distinto, limitado a la información necesaria para el motivo invocado.

Escenarios de uso

Cambio de software de gestión. Verificar la certificación de alojamiento del nuevo proveedor, la reversibilidad de los datos y el formato de exportación. Una migración sin plan de recuperación expone a la pérdida de historiales cuyos plazos de conservación siguen corriendo.

Consulta de grupo. Diferenciar las autorizaciones por profesional y por paciente en lugar de abrir todo el historial a todos. Es el punto de control más frecuente, y depende tanto de la organización como de la técnica —tema abordado en nuestro artículo sobre el cumplimiento administrativo de una consulta médica.

Solicitud de acceso de un paciente. Verificar la identidad, aislar la información excluida, respetar el plazo aplicable según la antigüedad. Dejar constancia de la solicitud y de la respuesta: el cumplimiento del plazo debe poder probarse.

Preguntas frecuentes

¿Es necesario un proveedor de alojamiento certificado? Sí, en cuanto se alojan datos de salud por cuenta de un tercero en un contexto de prevención, diagnóstico o atención sanitaria. La verificación corresponde al responsable del tratamiento, no al proveedor.

¿Cuánto tiempo debe conservarse un historial médico? Veinte años a contar desde la última visita al centro, con prórroga hasta que el paciente cumpla veintiocho años si era menor de edad, y un mínimo de diez años a contar desde el fallecimiento si este se produjo dentro de los diez años posteriores.

¿Puede el paciente consultar su historial? Sí, directamente y sin necesidad de motivo, dentro de los plazos previstos, que se amplían para la información de más de cinco años de antigüedad. Solo pueden solicitarse los gastos de reproducción y envío.

¿Es obligatorio el registro de los accesos? Sí, y protege tanto al profesional como al paciente: sin un registro, un acceso cuestionado no puede establecerse ni descartarse.

¿Puede un profesional consultar cualquier historial de la estructura? No. El acceso se limita a la información necesaria para su función en la atención del paciente concernido. Las autorizaciones deben diferenciarse en consecuencia.

¿Pueden usarse los datos con fines estadísticos? No en virtud del tratamiento asistencial. Todo uso secundario requiere su propio fundamento de licitud y, en su caso, una información específica a los interesados.

Lo esencial

Dos regímenes se superponen y deben tratarse por separado. La protección de datos exige identificar, para cada tratamiento, la excepción que lo hace lícito: la finalidad asistencial no cubre los usos secundarios. El Código de Salud Pública francés impone sus propios plazos de conservación, que se cuentan en décadas y se suspenden en caso de recurso.

Entre ambos, un dispositivo sirve a los dos regímenes a la vez: el registro de los accesos, asociado a autorizaciones diferenciadas. Esto es lo que permite demostrar que se ha respetado el límite de lo «necesario para la función», y también lo que protege al profesional cuando se le imputa un acceso. El razonamiento coincide con el aplicable a la recogida del consentimiento: lo que no queda registrado no puede probarse ni refutarse.