AEPD: acceso al historial y derechos en clínicas privadas

La Agencia Española de Protección de Datos (AEPD) ha adoptado un criterio interpretativo que reconoce el derecho de los ciudadanos a conocer la identidad exacta de las personas físicas que acceden a sus datos de salud electrónicos, según la información publicada por elEconomista. En paralelo, la propia AEPD mantiene activos sus canales y formularios para el ejercicio de derechos en materia de protección de datos, en el marco del Reglamento General de Protección de Datos (RGPD) y la Ley Orgánica 3/2018 (LOPDGDD), según su web oficial. Para las clínicas y consultas privadas, el efecto inmediato es operativo: revisar cómo se registran los accesos a la historia clínica, cómo se responde a solicitudes de acceso y qué información se entrega cuando el paciente pide trazabilidad.

Qué ha cambiado: identidad del personal en los accesos a datos de salud

El nuevo enfoque divulgado por elEconomista se centra en el acceso electrónico a datos de salud: el ciudadano tendría derecho a conocer la identidad exacta de las personas físicas que han accedido a su información clínica, según el citado medio al referirse al criterio interpretativo adoptado por la AEPD. Para una clínica privada, esto afecta a cualquier sistema que gestione historia clínica electrónica, visores de pruebas, agendas con anotaciones clínicas o repositorios donde haya datos de salud.

En la práctica, la medida obliga a replantear el alcance de la “información de accesos” que se facilita cuando el paciente ejerce su derecho de acceso. Hasta ahora, muchas organizaciones respondían con listados genéricos (perfil, servicio, rol o departamento). Si se consolida el criterio tal y como lo recoge elEconomista, habrá que poder identificar a la persona concreta que accedió (no solo su función), además de mantener la trazabilidad de qué se consultó y cuándo, de acuerdo con el enfoque de responsabilidad proactiva que exige el RGPD publicado en el BOE.

La AEPD no presenta este criterio como una recomendación técnica, sino como interpretación del derecho de los ciudadanos sobre datos de salud, según la cobertura de elEconomista. Por tanto, la clínica debe tratarlo como un punto de cumplimiento a revisar, no como una mejora opcional.

Impacto directo en la clínica: auditoría de accesos y respuesta a solicitudes

La consecuencia para gerencia y dirección médica es doble: (1) asegurar que el sistema guarda registros de acceso suficientes y (2) definir un procedimiento interno para responder a solicitudes de derechos con la información correcta.

La AEPD ofrece información sobre el ejercicio de derechos —acceso, rectificación, supresión, etc.— y habilita modelos y formularios para tramitarlos, según sus páginas de “Ejerce tus derechos” y “Modelos y formularios”. Eso implica que una clínica puede recibir solicitudes estandarizadas y debe tener un circuito para registrarlas, verificarlas y responderlas.

Además, el RGPD (publicado en el BOE) configura el marco general: el responsable del tratamiento debe garantizar que el interesado puede ejercer sus derechos y recibir una respuesta conforme a la norma. La gestión de accesos a datos de salud, por su naturaleza especialmente sensible, exige controles y evidencias reforzadas en caso de reclamación ante la AEPD, según el esquema general del RGPD.

Para aterrizarlo en tareas concretas de gestión, en clínicas privadas se traduce en:

• Revisar si el registro de accesos identifica usuario nominal (nombre y apellidos o identificador inequívoco asignado a una persona física) y no solo un perfil genérico, de acuerdo con el criterio difundido por elEconomista.
• Verificar que no existan cuentas compartidas, ya que dificultan acreditar quién accedió a qué datos y cuándo, en línea con la necesidad de trazabilidad que subyace al criterio de la AEPD citado por el medio.
• Alinear el procedimiento de atención de derechos con los formularios de la AEPD, para evitar respuestas incompletas o fuera del estándar documental esperado por la Agencia.

Derechos del paciente: lo que más se pide y cómo se canaliza

La AEPD recuerda en su apartado “Ejerce tus derechos” que la normativa permite al ciudadano dirigirse al responsable del tratamiento para ejercer sus derechos. También publica “Modelos y formularios” para el derecho de acceso y otros, según su web oficial.

Para una clínica, esto significa que las solicitudes pueden llegar por múltiples vías (presencial, correo, canales digitales), pero el contenido suele converger: acceso a datos, copia de información, aclaraciones sobre tratamientos o identificación de accesos. Dado el criterio difundido por elEconomista sobre la identidad exacta de quien accede, es previsible que aumenten las peticiones de “quién ha visto mi historial”, por lo que conviene preparar respuestas que incluyan lo que el criterio exige y separar claramente qué parte es dato del paciente y cuál es información asociada a la trazabilidad de accesos.

La AEPD ofrece modelos para ordenar estas solicitudes, según su propia sección de formularios, lo que facilita al responsable del tratamiento encauzar la petición sin improvisar plantillas internas que omitan información relevante.

Personal, control interno y grabaciones: lecciones de resoluciones recientes

Aunque no sean del ámbito sanitario, algunas actuaciones y resoluciones de la AEPD sirven como aviso práctico sobre prácticas intrusivas en el entorno laboral.

Por un lado, Confilegal informa de una sanción de la AEPD a una empresa por grabar conversaciones de trabajadores para justificar un despido, y menciona que la AEPD cita la sentencia SAN 4102/2025, de 29 de septiembre, sobre el carácter intrusivo de la grabación de voz y la necesidad de una justificación reforzada de idoneidad, necesidad y proporcionalidad. En clínica privada, esto afecta a cualquier idea de registrar audio en mostrador, call center interno o zonas de trabajo: antes de implantarlo, dirección debe exigir base y justificación documentada, además de informar adecuadamente, según el enfoque recogido por Confilegal.

Por otro, Confilegal también publicó un caso en el que la AEPD reprocha no atender una petición de borrado de datos, recordando que la ausencia temporal (vacaciones) no exime de gestionar solicitudes, según el citado medio. Para una clínica con estructura pequeña, esto es especialmente relevante: hay que prever sustituciones y un buzón operativo para derechos, porque la obligación de respuesta recae en el responsable del tratamiento, no en una persona concreta.

En materia de videovigilancia, elEconomista recoge una sanción de la AEPD por cámaras en el interior de una vivienda alquilada, un contexto distinto al sanitario, pero útil para recordar que el despliegue de cámaras en espacios privados o no justificados puede ser ilícito. En clínicas, esto se traduce en revisar ubicaciones (nunca en zonas donde se comprometa la intimidad) y finalidades, y en documentar el análisis de proporcionalidad cuando la instalación pueda afectar a trabajadores o pacientes, en coherencia con los criterios habituales de la AEPD.

Marco normativo aplicable y qué revisar ahora

El marco general sigue siendo el RGPD, publicado en el BOE, y la LOPDGDD, según la AEPD en su sección de preguntas frecuentes, donde se remite al artículo 7 en materia de menores (aunque centrado en educación, es una referencia directa a la LOPDGDD y a su estructura). En clínica privada, el tratamiento de datos de salud requiere una atención especial por categoría de datos y por la obligación de limitar accesos al personal autorizado.

Con la información disponible en fuentes públicas, la revisión prioritaria para dirección y gerencia pasa por:

• Trazabilidad nominal de accesos a historia clínica: qué se registra y qué se puede reportar al paciente, según el criterio interpretativo difundido por elEconomista.
• Procedimiento de derechos: canal, registro interno, responsables de contestación y uso de formularios de la AEPD, según sus páginas de derechos y modelos.
• Controles internos laborales: evitar medidas especialmente intrusivas (como grabación de voz) sin justificación reforzada, a la luz de lo publicado por Confilegal.
• Cobertura operativa durante ausencias: asegurar continuidad en la atención de derechos, según el caso reportado por Confilegal.

Referencias y enlaces

• Criterio de la AEPD sobre identidad en accesos al historial clínico (publicado por elEconomista).
• Marco del RGPD en el BOE.
• Página de la AEPD para ejercer derechos.
• Modelos y formularios de la AEPD para solicitudes.
• Caso sobre petición de borrado y obligación de contestar (Confilegal).
• Sanción por grabación de conversaciones en el trabajo (Confilegal).
• Referencia de elEconomista a sanción por videovigilancia en interior de vivienda.

Este artículo resume información pública del sector. No es asesoramiento legal ni fiscal.