Respuesta directa: los expedientes sanitarios de la AEPD deben leerse por sus hechos, infracción, responsable y resultado. No existe una tarifa general por acceso indebido. Una tutela de derechos, un archivo y una resolución sancionadora son resultados diferentes.
Qué comprobar antes de citar un caso
Localice la resolución, su identificador y fecha, la conducta acreditada y el fallo. Distinga la propuesta inicial del resultado y cualquier recurso conocido. La naturaleza sensible de los datos es relevante, pero no duplica automáticamente una multa. Para entender el procedimiento general, consulte la guía de sanciones AEPD.
1. Datos de salud: categoría especial
Los datos de salud pertenecen a las categorías especiales del artículo 9 RGPD. Identifique una base del artículo 6 y una excepción del artículo 9.2, además de las condiciones nacionales aplicables. La asistencia sanitaria puede apoyarse en el artículo 9.2.h con las garantías de secreto del apartado 3. El consentimiento para una intervención médica no debe confundirse con la base de cualquier tratamiento de datos.
2. Acceso indebido a historiales clínicos
Situaciones que requieren investigar la autorización y la finalidad del acceso:
- Sanitario que consulta historial de pareja, familiar o vecino.
- Administrativo que revisa historial de famoso o personal del centro.
- Médico que accede sin relación asistencial.
La atribución de responsabilidad depende de quién decide fines y medios y de las medidas e instrucciones existentes. En el sector público debe comprobarse si el responsable pertenece a las entidades del artículo 77 LOPDGDD; véase el régimen de las administraciones públicas.
3. Expedientes identificables y lecciones distintas
La AEPD reúne reclamaciones sanitarias que permiten comprobar el resultado, sin inventar importes:
| Expediente | Cuestión y resultado descrito por la AEPD | Control a revisar |
|---|---|---|
| TD-00033-2021 | Tutela estimada por falta de respuesta acreditada a la solicitud de una hija sobre datos de su madre fallecida | Responsable y seguimiento de solicitudes |
| PS-00250-2021 | Acceso de una enfermera sin legitimación; la AEPD describe una sanción al servicio de salud por seguridad insuficiente | Autorizaciones y trazabilidad |
| PS-00391-2020 | Archivo tras examinar si un profesional decidía fines y medios sobre historias clínicas del centro | Roles reales, más allá del contrato |
Estos ejemplos no son una estadística de 2026 ni una tabla de multas. Antes de utilizarlos en un informe, abra la resolución completa y compruebe sus límites. La lección operativa se aplica después a los hechos propios, sin trasladar automáticamente el resultado de otro centro.
4. Comunicaciones a terceros sin base
Compartir información clínica con familiares, abogados, compañías de seguros o empleadores sin base jurídica adecuada genera sanción. Excepciones:
- Consentimiento explícito del paciente.
- Obligación legal (juzgados, salud pública).
- Interés vital cuando el paciente no puede consentir.
- Familiares próximos en situación de emergencia (interpretación restrictiva AEPD).
5. Brechas en sistemas de información sanitaria
Una brecha exige contención, evaluación y documentación. El artículo 33 requiere notificar a la AEPD sin dilación indebida y, de ser posible, dentro de 72 horas desde que se tiene constancia, salvo que sea improbable que exista riesgo para derechos y libertades. Si hay alto riesgo, analice la comunicación a las personas según el artículo 34 y sus excepciones.
El ENS requiere analizar su ámbito y la categoría del sistema; no todos los sistemas sanitarios son automáticamente de categoría alta. Coordine las comunicaciones adicionales que correspondan al responsable y al incidente. Conserve una cronología de conocimiento, evaluación, medidas y decisiones, también cuando la notificación RGPD no resulte necesaria.
6. Imágenes y redes sociales
La publicación promocional de imágenes identificables de pacientes necesita su propia evaluación jurídica e información específica. Si revela salud, considere además el artículo 9 RGPD y las normas sobre imagen. Una autorización clínica no cubre automáticamente una publicación en redes. Evite condicionar la asistencia a aceptar publicidad y documente cómo se atiende una retirada del consentimiento cuando esta sea la base.
7. Investigación clínica y RGPD
Para investigación, identifique la base del artículo 6, la excepción del artículo 9 y las garantías aplicables, incluida la disposición adicional decimoséptima LOPDGDD. No limite todas las investigaciones a una única combinación de bases. La EIPD procede cuando el tratamiento probablemente entrañe alto riesgo; compruebe también la lista de la AEPD y la normativa sanitaria específica sobre comités y autorizaciones.
8. Hospitales públicos: régimen de apercibimiento
Para las entidades enumeradas en el artículo 77 de la LOPDGDD, la autoridad declara la infracción e impone apercibimiento y medidas que procedan. No extrapole este régimen a toda entidad que presta servicios sanitarios. Identifique la personalidad jurídica del responsable y documente el cumplimiento de las medidas ordenadas.
9. Consentimiento informado y RGPD
El consentimiento informado de la Ley 41/2002 es distinto del consentimiento RGPD pero coincidente en muchos casos. Buenas prácticas:
- Formulario separado para asistencia (art. 9.2.h RGPD) y otros tratamientos (investigación, marketing, fidelización).
- Información clara sobre conservación de la historia clínica (mínimo 5 años, máximo según finalidad).
- Posibilidad de revocar consentimiento para tratamientos no asistenciales.
10. DPO obligatorio en sanidad
El artículo 34 LOPDGDD incluye los centros sanitarios legalmente obligados a mantener historias clínicas, exceptuando a los profesionales sanitarios que ejercen individualmente. También deben comprobarse los supuestos del artículo 37 RGPD, como actividades principales con tratamiento a gran escala de datos especiales. No deduzca una obligación universal para toda farmacia o todo profesional únicamente por su actividad.
Ver cuándo es obligatorio el DPO en España.
11. Telemedicina y RGPD
La telemedicina requiere base jurídica específica y medidas técnicas reforzadas:
- Protección del canal y controles de acceso adecuados al riesgo; documentar la arquitectura y las medidas elegidas.
- Plataforma con contrato de encargado y, si hay transferencias a terceros países, el mecanismo aplicable del capítulo V RGPD.
- Información al paciente sobre canales y conservación de grabaciones.
- Política específica de retención de vídeo (si se graba).
12. Base normativa y doctrina europea
El tratamiento de datos de salud se rige por el art. 9 del Reglamento (UE) 2016/679, que prohíbe con carácter general tratar categorías especiales salvo excepción tasada. La más usada en sanidad es el art. 9.2.h (fines de medicina preventiva, diagnóstico y asistencia sanitaria), que además exige el deber de secreto profesional del art. 9.3. En el plano nacional, la LOPDGDD (Ley Orgánica 3/2018) fija en su Disposición adicional decimoséptima las condiciones para reutilizar datos de salud en investigación.
El artículo 16 de la Ley 41/2002 distingue usos asistenciales y otros usos autorizados, como los judiciales, epidemiológicos, de salud pública o investigación, bajo sus condiciones. El personal administrativo accede únicamente a los datos relacionados con sus funciones. Una relación asistencial no es la única habilitación imaginable; curiosidad personal y funciones profesionales deben separarse.
13. Control de accesos: la medida técnica decisiva
Un control de accesos útil permite comprobar quién accedió, cuándo y con qué habilitación. Seleccione las alertas según los riesgos reales y evite convertir una coincidencia de apellidos en prueba automática de infracción. Las siguientes medidas pueden integrarse en el plan:
- Registro de cada acceso: usuario, paciente, fecha, hora y motivo asistencial.
- Alertas automáticas ante consulta de historiales de personal del centro, familiares o personas con el mismo apellido.
- Bloqueo de acceso a historiales fuera del servicio asignado.
- Revisión periódica por muestreo con acta documentada.
La valoración de las medidas depende de su adecuación y funcionamiento en el caso concreto. Conserve las revisiones, investigaciones y correcciones. Tener una política sin comprobar su aplicación no acredita por sí solo la seguridad efectiva.
14. Cómo cumplir RGPD en sector sanitario
Este tracker recoge el patrón sancionador; para el desarrollo completo de las obligaciones del sector consulte la guía de RGPD en sanidad y salud en España:
- Sistema de control de accesos con logs y alertas.
- Formación obligatoria en RGPD al personal sanitario y administrativo.
- DPO con dependencia funcional de la dirección.
- Registro de actividades específico por servicio.
- Protocolo de brechas con plantilla de notificación preformateada.
- Auditoría anual interna con muestreo de accesos.
¿Puede un médico acceder a mi historial sin tratarme?
Un acceso exige una finalidad y habilitación válidas. La Ley 41/2002 contempla usos distintos de la asistencia directa, bajo condiciones y límites. Si sospecha un acceso por curiosidad, solicite al centro o a su DPO que investigue y conserve la trazabilidad.
¿Mi familia puede ver mi historial?
El acceso de familiares depende de la información solicitada, la voluntad y situación del paciente, la representación y las reglas sanitarias aplicables. Para una persona fallecida, examine también el artículo 18.4 de la Ley 41/2002; no aplique sin más la misma respuesta que para un paciente vivo.
¿Cuánto tiempo se conserva la historia clínica?
La Ley 41/2002 establece como mínimo cinco años desde la fecha del alta de cada proceso asistencial, y contempla conservación para otros fines bajo sus condiciones. Compruebe además la normativa autonómica y la documentación concreta. No equivale a conservación indefinida de todo ni a contar siempre desde la última visita.
¿Pueden publicar fotos de mi tratamiento en redes?
Solo con consentimiento explícito específico para esa finalidad. La autorización del consentimiento informado sanitario no cubre publicación promocional.