TL;DR — Lo esencial en 60 segundos
La digitalización de la historia clínica ofrece ventajas claras frente al papel: acceso rápido, búsqueda, portabilidad. Pero introduce obligaciones específicas que muchos profesionales pasan por alto:
- Los datos clínicos digitales siguen siendo datos de salud con la misma protección legal.
- La herramienta que uses necesita ser segura por diseño: cifrado, control de acceso, registro de auditoría.
- Tienes que poder exportar y entregar el historial del paciente cuando lo pida.
- Los plazos de conservación son iguales que con el papel: mínimo 5 años.
1. Qué es la historia clínica y qué debe contener
La Ley 41/2002 de autonomía del paciente define la historia clínica como el conjunto de documentos que contienen los datos, valoraciones e informaciones de cualquier índole sobre la situación y la evolución clínica de un paciente a lo largo del proceso asistencial.
En consulta privada, la historia clínica mínima suele incluir:
| Elemento | Descripción |
|---|---|
| Datos de identificación | Nombre, fecha de nacimiento, datos de contacto |
| Motivo de consulta | Razón por la que el paciente acude |
| Antecedentes relevantes | Personales, familiares, medicación |
| Notas de sesión | Registro de cada visita (SOAP, DAP o libre) |
| Plan terapéutico | Objetivos e intervenciones previstas |
| Consentimientos firmados | Tratamiento de datos, grabación, etc. |
| Documentos adjuntos | Informes de derivación, pruebas, etc. |
2. Por qué las herramientas genéricas no sirven
Google Docs, Notion, Obsidian, Apple Notes, Excel: son herramientas válidas para muchos propósitos. No lo son para historia clínica de categoría especial.
El problema no es la herramienta en sí, sino lo que no ofrecen:
- Sin DPA: no puedes firmar un DPA con una cuenta gratuita de Google Docs o Notion. Eso te convierte en incumplidor RGPD.
- Sin cifrado garantizado: aunque el dato esté en la nube, no tienes garantía de que esté cifrado at-rest específicamente.
- Sin control de acceso por registro: si alguien accede a tu cuenta, no hay log de quién accedió y cuándo.
- Sin cumplimiento de conservación: no hay mecanismos para asegurar que los datos se conservan el tiempo legal y se borran después.
- Sin facilitar derechos RGPD: exportar todos los datos de un paciente específico desde un Google Drive es un proceso manual y propenso a errores.
3. Cómo elegir una herramienta de historia clínica digital
Al evaluar una herramienta para digitalizar la historia clínica, verifica:
3.1 Seguridad técnica
- Cifrado at-rest: los datos almacenados están cifrados (mínimo AES-256).
- Cifrado in-transit: la comunicación usa TLS 1.2 o superior.
- Control de acceso: cada profesional accede solo a sus propios pacientes.
- 2FA disponible: autenticación de dos factores para proteger el acceso.
- Log de auditoría: registro de accesos y modificaciones.
3.2 Cumplimiento legal
- DPA disponible: el proveedor ofrece un Data Processing Agreement que puedes firmar.
- Datos en la UE: los servidores están ubicados en el Espacio Económico Europeo (preferiblemente la UE).
- Sub-procesadores declarados: el proveedor declara qué terceros usan para procesar datos.
- Política de retención: el proveedor especifica cuánto tiempo conserva los datos y cómo los borra.
3.3 Funcionalidad clínica
- Exportación individual: puedes exportar todos los datos de un paciente específico.
- Borrado bajo demanda: puedes eliminar completamente a un paciente si ejerce el derecho de supresión.
- Conservación configurable: el sistema te ayuda a gestionar los plazos de conservación.
- Formatos de nota estándar: SOAP, DAP o libre, según tu práctica.
4. Plazos de conservación por comunidad autónoma
La Ley 41/2002 establece el mínimo estatal de 5 años. Pero varias comunidades tienen regulaciones propias más estrictas:
| Comunidad | Plazo general | Observaciones |
|---|---|---|
| General (Ley 41/2002) | 5 años | Desde la última asistencia |
| Cataluña | 10 años | Ley 21/2000 |
| País Vasco | 10 años | Decreto 272/1986 |
| Galicia | 15 años | Decreto 29/2009 |
| Comunidad Valenciana | 10 años | Ley 1/2003 |
| Madrid | 5 años | Aplica ley estatal |
| Andalucía | 5 años | Aplica ley estatal |
Para menores, el plazo se cuenta desde que alcanzan la mayoría de edad (18 años). Un paciente tratado a los 10 años en Cataluña tiene derecho a que su historia se conserve hasta los 28.
5. El derecho de acceso del paciente a la historia clínica
El paciente tiene derecho a acceder a su historia clínica en cualquier momento (art. 15 RGPD y art. 18 Ley 41/2002). En la práctica, esto significa que debes poder:
- Localizar todos los datos del paciente en el sistema.
- Exportarlos en un formato legible por el paciente (PDF, CSV, etc.).
- Entregárselos en un plazo máximo de 1 mes (ampliable a 3 en casos complejos).
La ley también permite al paciente designar a una persona de su confianza para que acceda a su historia en su nombre.
Lo que el paciente no puede pedir:
- Acceso a la información relativa a terceros que figure en la historia clínica.
- Acceso a las notas subjetivas del profesional (las "anotaciones subjetivas" son la excepción específica de la Ley 41/2002, art. 18.3).
6. Derecho de supresión y conservación obligatoria
El derecho de supresión (art. 17 RGPD, "derecho al olvido") permite al paciente pedir que se borren sus datos. Pero tiene un límite importante: si existe una obligación legal de conservarlos, prevalece la ley sobre el derecho de supresión.
La historia clínica está sujeta a un plazo de conservación legal (Ley 41/2002). Durante ese plazo, no puedes borrar la historia clínica aunque el paciente lo pida. Lo que sí puedes hacer es:
- Documentar la solicitud.
- Explicar por escrito al paciente por qué no puedes borrar los datos en ese momento.
- Comprometerte a borrarlos una vez vencido el plazo legal.
7. Migración de papel a digital
Si llevas tiempo con registros en papel y quieres digitalizar, el proceso básico es:
- Decide qué digitalizar: todos los expedientes activos, solo los de los últimos X años, o solo los nuevos desde hoy.
- Escanea y nombra los archivos de forma sistemática (nunca pongas el nombre del paciente en el nombre del archivo).
- Importa al sistema digital con el campo correspondiente al paciente.
- Verifica la integridad de la importación antes de destruir el papel.
- Destruye el papel de forma segura (trituradora de nivel P-4 o superior para datos sensibles).
- Documenta el proceso en tu RAT.
8. Clinessa y la historia clínica digital
Clinessa está diseñado para cumplir con los requisitos de la historia clínica digital en consulta privada:
- Datos en la Unión Europea y transferencias documentadas.
- Cifrado al guardar la información y al enviarla.
- Cada consulta, separada: un profesional no puede abrir los pacientes de otro.
- DPA disponible para clientes en la página legal.
- Exportación de datos individual por paciente.
- Borrado bajo demanda con registro del evento.
- 2FA disponible para proteger el acceso a la cuenta.
Para el detalle completo de las medidas de seguridad, sub-procesadores y periodos de retención, consulta la página de seguridad de Clinessa.