¿A quién corresponde la custodia de la historia clínica y durante cuánto tiempo?

Para dar respuesta a esta cuestión debemos analizar la Ley 41/2002, de 14 de noviembre, básica reguladora de la autonomía del paciente y de derechos y obligaciones en materia de información y documentación clínica, así como a la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD).

El artículo 14.2. de la Ley 41/2002, establece que “cada centro archivará las historias clínicas de sus pacientes. En este sentido, con carácter general, el deber de custodia de las historias clínicas es del centro sanitario.

En este sentido, es claro que los facultativos que prestan sus servicios en un centro o institución como trabajadores por cuenta ajena, el deber de custodia de la historia clínica compete al centro. La elaboración de la historia clínica forma parte de la relación laboral que vincula al médico con el centro. Lo mismo ocurre cuando se trata de la relación –estatutaria- del médico con la Seguridad Social.

El debate surge cuando en el centro médico ejercen profesionales sanitarios que tienen arrendada la consulta y en la que atienden a sus propios pacientes al margen de la actividad de ese centro. En este caso, la Ley deriva esta responsabilidad al facultativo, ya que desempeña su actividad como trabajador por cuenta propia y con plena autonomía, convirtiéndose en el responsable de garantizar a sus pacientes un tratamiento adecuado de sus datos personales.

En todos los casos el tratamiento de esta documentación clínica deberá hacerse evitando que sean identificadas las personas afectadas, salvo que el anonimato sea incompatible con la finalidad clínica o que los pacientes hayan dado su consentimiento previo.

El deber de conservación de las historias clínicas, según el caso, corresponderá al centro o al facultativo, según veremos.

En cuanto a los plazos de conservación, el art. 17.1 de la Ley 41/2002 indica que, por lo general, los centros sanitarios tienen la obligación de conservar la documentación clínica en condiciones que garanticen su correcto mantenimiento y seguridad, aunque no necesariamente en el soporte original, para la debida asistencia al paciente durante el tiempo adecuado a cada caso y, como mínimo, cinco años contados desde la fecha de alta de cada proceso asistencial. En el apartado 2º de este artículo se establece que la documentación clínica también se conservará a efectos judiciales y, cuando existan razones epidemiológicas, de investigación o de organización y funcionamiento del Sistema Nacional de Salud.

Los documentos que deberán guardarse durante este tiempo son:

  • Las hojas de consentimiento informado.
  • Informes de alta.
  • Informes quirúrgicos y registros de parto.
  • Datos relativos a la anestesia.
  • Informes de exploraciones complementarias.
  • Informes de necropsia.
  • Informes de anatomía patológica.

La documentación que integra la historia clínica puede destruirse una vez hayan transcurrido cinco años desde la fecha de alta de cada proceso asistencial. En cualquier caso, no es lo aconsejable, puesto que no significa que una vez finalizado este plazo ya no exista motivo para la conservación de las historias clínicas de los pacientes, ya que es aquí donde entra en juego el plazo previsto para ejercitar la denominada acción de responsabilidad civil por posible mala praxis.

No obstante, cada comunidad autónoma ostenta la competencia para regular sobre este aspecto, ampliando, si así lo cree oportuno, estos plazos. Es el caso de Cataluña, donde la Ley 21/2000 establece que la historia clínica deberá conservarse, junto con los datos de identificación de cada paciente, como mínimo durante quince años desde la fecha de alta de cada proceso asistencial.

Además de lo anterior, es importante tener muy presente quién es el responsable de la documentación clínica y quién ostenta el deber de conservación de la misma a la hora de determinar la responsabilidad del incumplimiento de las obligaciones derivadas del tratamiento de datos personales. La nueva LOPDGDD contempla un régimen sancionador más duro que el anterior y obliga a los responsables y encargados del tratamiento a tomar mayor conciencia a la hora de tratar los datos de carácter personal, aumentando considerablemente la cuantía de las sanciones.

En materia sancionadora merece especial atención la primera condena post-RGPD, impuesta al Centro Hospitalario portugués Barreiró-Montijo por permitir el acceso a la información de sus pacientes de personal no autorizado, por un importe de 400.000 euros. Ha sido la primera entidad en probar la dureza de las nuevas sanciones recogidas en el Reglamento General de Protección de Datos, de obligado cumplimiento en todos los países miembros desde el 25 de mayo de 2018.

Esto solo es un ejemplo de cómo una sanción puede ser más costosa que cumplir con los requisitos legales, de ahí la necesidad de contar con un buen asesoramiento en materia de protección de datos.