Los centros sanitarios deben contar con políticas y medidas de seguridad efectivas, no en vano tratan con datos sensibles. Además, están obligados a designar un delegado de protección de datos al amparo del artículo 34.1.l) de la LOPDGDD, salvo profesionales sanitarios que ejerzan su actividad a título individual.
La exigencia en materia de protección de datos para el sector es muy alta, pero en la práctica el cumplimiento es irregular y, en muchos centros, insuficiente.
Conservación y custodia de historias clínicas
El caso que les relato es real: un paciente acudió al Hospital Universitario Quirónsalud Madrid para someterse a una resonancia magnética. Como es habitual en estos casos, aportó un CD con imágenes de estudios previos con el fin de que el radiólogo pudiera comparar la evolución de su patología.
Al entregar el soporte, el paciente firmó una hoja de recogida de pruebas en la que se le indicaba expresamente que el plazo para recoger los resultados/informes era de un mes. Transcurrido ese plazo, si el paciente no las reclamaba, el hospital procedería a su eliminación como parte de su política de “limpieza de archivo”, motivada por limitaciones de espacio.
El paciente acudió cuatro meses después al servicio de diagnóstico por imagen para recoger el CD que contenía las imágenes originales de las resonancias magnéticas realizadas en años anteriores, pero le informan que había sido destruido.
Resolución de la AEPD
El paciente presentó una reclamación ante la AEPD, que se pronunció con la imposición de una multa de 1.200.000 euros por diferentes infracciones.
La Resolución PS-00288-2024 constituye uno de los pronunciamientos más relevantes de los últimos años en materia de protección de datos en el sector sanitario.
Publicada en un contexto de creciente digitalización de las historias clínicas, la resolución pone de manifiesto que los soportes físicos aportados por los pacientes, como los CDs con imágenes médicas, no pueden tratarse como meros objetos prescindibles una vez cumplida la finalidad inmediata del tratamiento, con independencia de la operativa diaria de los centros hospitalarios y de sus limitaciones de espacio físico.
La AEPD consideró acreditada la vulneración de tres preceptos fundamentales del RGPD:
1. Infracción del artículo 9 del RGPD. Multa: 100.000 €.
Los datos contenidos en el CD eran datos relativos a la salud, una categoría especialmente protegida por el artículo 9 del RGPD. Su tratamiento solo está permitido cuando concurre alguna de las excepciones del apartado 2, como el consentimiento explícito o razones de interés público en el ámbito de la sanidad.
La AEPD rechazó el argumento del hospital según el cual, una vez incorporada la información relevante al informe radiológico, las imágenes originales dejaban de formar parte de la historia clínica. Para la Agencia, el soporte físico aportado por el paciente adquiere relevancia asistencial y debe ser custodiado mientras mantenga una finalidad legítima o mientras la normativa sectorial exija su conservación.
2. Infracción del artículo 6 del RGPD. Multa: 100.000 €
No existía una base jurídica que legitimara la supresión de los datos. El hospital no puede invocar el principio de minimización de datos para justificar la destrucción unilateral de un soporte que el propio paciente había entregado para su uso asistencial.
Por el contrario, la normativa sanitaria –en particular, la Ley 41/2002, de autonomía del paciente– impone a los centros la obligación de custodia y conservación de la documentación clínica durante los plazos legalmente establecidos, que con carácter general es de cinco años.
3. Infracción del artículo 25 del RGPD. Multa: 1.000.000 €
La AEPD sancionó al centro con 1.000.000 € al considerar que el procedimiento interno era manifiestamente insuficiente.
El sistema de “un mes de plazo y destrucción automática” no incorporaba las medidas técnicas y organizativas necesarias para garantizar el cumplimiento del RGPD de forma proactiva. Se trataba de una política rígida y poco diligente, que no contemplaba alternativas como la digitalización del contenido del CD, su incorporación segura a la historia clínica electrónica o la ampliación del plazo de custodia cuando se tratara de datos especialmente sensibles.
La Agencia subraya que, para cumplir con el principio de responsabilidad proactiva (accountability), no basta con disponer de procedimientos escritos; estos deben ser eficaces, proporcionales al riesgo y ajustados a la realidad del tratamiento de datos de salud. No puedo estar más de acuerdo: el papel lo soporta todo, pero las medidas de contención previstas en los manuales deben trasladarse a la práctica, y eso exige inversión, algo a lo que muchos responsables del tratamiento no están dispuestos.
Defensa del hospital y desestimación
El centro argumentó, entre otras cuestiones, que:
- Las imágenes no se incorporaron formalmente a la historia clínica porque el facultativo consideró que la información relevante ya se había reflejado en el informe.
- Se informó correctamente al paciente del plazo de recogida.
- Mantener indefinidamente soportes físicos generaba costes y riesgos de almacenamiento indebido por falta de finalidad.
La AEPD desestimó estas alegaciones de forma contundente. Destacó que la valoración clínica no exime del cumplimiento de las obligaciones de custodia y que la mera información al paciente no traslada la responsabilidad principal al interesado. Además, rechazó que la limitación de espacio físico pueda justificar la supresión de datos sensibles sin adoptar otras medidas menos intrusivas.
Conclusión
Esta resolución marca un antes y un después en la gestión de soportes externos en los centros y establecimientos sanitarios.
Entre las principales consecuencias y recomendaciones que se desprenden, cabe destacar:
- La custodia diligente de los datos de salud es una exigencia legal, cuyo incumplimiento puede tener consecuencias económicas y reputacionales muy relevantes.
- La opción preferente debe ser la digitalización segura e incorporación a la historia clínica electrónica, siempre que sea técnicamente viable.
- Los plazos de custodia vienen establecidos por la normativa sectorial, y deben respetarse.
- La mera existencia de un procedimiento escrito no es suficiente; debe demostrarse su aplicación y eficacia real.
Los grandes grupos hospitalarios, con mayor capacidad técnica y económica, están llamados a liderar un cumplimiento ejemplar del RGPD. La AEPD ha dejado claro que no tolerará políticas que, bajo la apariencia de eficiencia operativa, generen riesgos innecesarios para los derechos de los pacientes. Bienvenido sea.
