Destrucción de historias clínicas: guía de borrado seguro

La destrucción de historias clínicas no tiene un único plazo legal aplicable a todas las consultas ni a todos los documentos. El mínimo estatal de cinco años previsto por la Ley 41/2002 convive con normas autonómicas, obligaciones profesionales, posibles responsabilidades y reglas específicas para determinados documentos.

Por eso, una consulta no debería programar el borrado automático de un expediente únicamente porque haya pasado un número de años desde la última sesión. Tampoco debería conservarlo indefinidamente por prudencia. La decisión exige identificar qué documentación se conserva, desde cuándo se cuenta el plazo, si existe una obligación autonómica más exigente y si el expediente está afectado por una reclamación, un procedimiento judicial o una solicitud de derechos.

El borrado seguro de datos médicos y psicológicos tampoco equivale a pulsar «eliminar». Hay que distinguir entre supresión, destrucción física, anonimización irreversible y bloqueo de datos. Cada operación produce efectos distintos y debe dejar una evidencia suficiente para demostrar qué se hizo, cuándo, sobre qué información y con qué fundamento.

El marco legal de conservación: de la Ley 41/2002 a las normativas autonómicas

La Ley 41/2002, de 14 de noviembre, básica reguladora de la autonomía del paciente y de derechos y obligaciones en materia de información y documentación clínica, establece en su artículo 17.1 que los centros sanitarios deben conservar la documentación clínica, como mínimo, durante cinco años desde la fecha del alta de cada proceso asistencial.

Ese periodo funciona como suelo estatal, no como regla universal de borrado. La propia Ley 41/2002 deja margen a la legislación autonómica y, además, permite que existan obligaciones de conservación vinculadas a la responsabilidad profesional, a la asistencia prestada o a la naturaleza concreta del documento. En una consulta de psicología, por tanto, el plazo de conservación de las historias clínicas depende de una combinación de normas, no de una cifra aislada.

Conviene separar tres preguntas que a menudo se mezclan:

1. Qué documento se está conservando. No es lo mismo la historia clínica completa que un informe de alta, un consentimiento informado, una factura o una comunicación administrativa.

2. Desde cuándo empieza a contar el plazo. La referencia puede ser el alta del proceso asistencial, el último contacto clínico o el momento que determine la norma aplicable.

3. Qué territorio y qué actividad están implicados. La comunidad autónoma donde se presta la asistencia puede tener reglas propias, y una consulta que trabaja con pacientes de varias zonas debe revisar cómo se aplican esas reglas a su organización.

El caso de los plazos autonómicos

Las normas autonómicas no siempre establecen un plazo general único para toda la historia clínica. En algunos casos fijan periodos superiores para documentos determinados, para procesos concretos o para situaciones en las que puede existir una responsabilidad exigible. Presentar esos periodos como si fueran un mínimo general aplicable a cualquier expediente conduce a decisiones de conservación incorrectas.

Cataluña es un ejemplo especialmente claro. La referencia de veinte años no debe interpretarse como una obligación de conservar durante dos décadas cualquier documento de cualquier historia clínica. La normativa catalana contempla plazos superiores para determinados documentos y supuestos. Una consulta ubicada en Barcelona no incumple automáticamente por no aplicar veinte años a la totalidad de sus expedientes, pero sí puede incumplir si elimina antes de tiempo la documentación a la que ese periodo resulta aplicable.

La misma cautela debe aplicarse a Navarra y al resto de comunidades autónomas. Cuando una norma autonómica habla de quince, veinte o más años, hay que comprobar el alcance exacto: si se refiere a toda la historia, a categorías concretas de documentos, a determinados centros, a procesos específicos o a situaciones relacionadas con posibles responsabilidades. La cifra, aislada de su supuesto, no sirve como política de borrado.

Una matriz interna puede ayudar a evitar errores:

El principio de limitación del plazo de conservación del artículo 5.1.e del RGPD obliga a no mantener los datos identificables durante más tiempo del necesario para los fines que justificaron su tratamiento. En una consulta de psicología, esto significa que la política documental debe explicar por qué se conserva cada categoría de información y qué hecho activa su revisión.

La regla práctica no es «aplicar siempre el plazo más largo» de forma automática. Es aplicar el plazo más exigente cuando resulte realmente aplicable al documento y al supuesto, y dejar constancia del razonamiento. Conservar todo el expediente durante el periodo máximo previsto para una categoría concreta puede contradecir precisamente el principio de minimización.

El conflicto entre el derecho de supresión y la obligación de custodia

El paciente puede solicitar la supresión de sus datos conforme al artículo 17 del RGPD. Sin embargo, ese derecho no es absoluto. Puede quedar limitado cuando la conservación sea necesaria para cumplir una obligación legal, para ejercer o defender reclamaciones o por otras circunstancias previstas en el propio Reglamento.

En el ámbito sanitario, la historia clínica no se elimina automáticamente porque el paciente lo pida. Si todavía existe una obligación legal de conservación, el responsable debe explicar la causa por la que no puede atender la supresión en ese momento. Eso no autoriza a seguir utilizando los datos con normalidad para cualquier finalidad: la información debe quedar restringida a la finalidad que justifica su mantenimiento.

Aquí aparece el bloqueo previsto en el artículo 32 de la LOPDGDD. El bloqueo no es una papelera alternativa ni una forma de conservar el expediente para seguir consultándolo en la práctica ordinaria. Consiste en identificar y reservar los datos, impedir su tratamiento ordinario y mantenerlos disponibles únicamente para que puedan ponerse a disposición de las Administraciones Públicas, jueces y tribunales cuando se exijan posibles responsabilidades derivadas del tratamiento, durante los plazos de prescripción de esas responsabilidades.

La consecuencia es importante: el propio interesado no figura como una excepción general de acceso al bloqueo en los términos del artículo 32. Si el paciente pide acceso, rectificación u otro derecho, la consulta debe analizar esa petición conforme al régimen correspondiente, pero no puede presentar el bloqueo como un expediente de acceso normal para el paciente. Tampoco debe utilizarse la información bloqueada para seguimiento clínico, campañas comerciales, estadísticas internas o cualquier otra actividad ajena a la finalidad legal que permite conservarla.

Bloquear no es seguir guardando el expediente para usarlo: es impedir el tratamiento ordinario y conservarlo bajo acceso restringido mientras exista una obligación legal o una posible responsabilidad que lo justifique.

El bloqueo debe poder demostrarse. En la práctica, la consulta debería registrar al menos:

• La fecha en que se recibió la solicitud o se identificó la causa de bloqueo.
• La identidad del expediente o conjunto de datos afectado.
• El motivo jurídico de la conservación.
• Las personas o perfiles que pueden acceder excepcionalmente.
• Las medidas técnicas que impiden el acceso clínico o administrativo ordinario.
• La fecha prevista de revisión y, cuando proceda, la fecha de destrucción.

El bloqueo puede aplicarse a toda la historia o solo a una parte. Si una reclamación afecta a un informe concreto y a las anotaciones que lo sustentan, no siempre es necesario inmovilizar cualquier dato administrativo de la consulta. La decisión debe ser proporcional y suficientemente explicada.

Procedimientos técnicos para el borrado seguro y la anonimización irreversible

Cuando ha terminado el plazo aplicable y no existe una causa que obligue a conservar la documentación, la consulta debe elegir el método adecuado al soporte. La destrucción documental en clínicas de psicología no termina con la desaparición visible del archivo: debe impedir la recuperación razonable de la información.

Archivos digitales y aplicaciones de gestión

Borrar un archivo, vaciar la papelera o desinstalar un programa no garantiza que los datos hayan desaparecido. Pueden quedar copias en bases de datos, servidores, réplicas, sistemas de copias de seguridad, dispositivos sincronizados o espacios de recuperación del proveedor.

Antes de ejecutar el borrado conviene localizar todas las versiones del expediente:

• Historia clínica principal y documentos adjuntos.
• Exportaciones en PDF, hojas de cálculo o archivos descargados.
• Copias de seguridad y réplicas.
• Correos electrónicos con información clínica.
• Discos locales, ordenadores portátiles y dispositivos móviles.
• Plataformas de videoconferencia o almacenamiento utilizadas durante la atención.
• Registros de actividad que puedan contener más información de la necesaria.

La supresión debe coordinarse con la arquitectura del sistema. En algunas plataformas, el proveedor puede eliminar el registro activo y mantener las copias de seguridad hasta su ciclo ordinario de sobrescritura. Esa situación debe estar prevista en el contrato y en el registro de actividades. No es lo mismo que conservar el expediente disponible para el personal de la consulta: si las copias están aisladas, protegidas y no se restauran salvo por una incidencia, el riesgo y el tratamiento son distintos, aunque la política debe explicar cuándo se eliminan definitivamente.

En ordenadores y discos propios, el método depende del tipo de soporte. En un disco duro magnético puede ser razonable utilizar herramientas de sanitización adecuadas antes de reutilizarlo, mientras que en unidades SSD la sobrescritura tradicional no ofrece la misma garantía por la forma en que el dispositivo gestiona sus celdas. Para equipos que van a salir del control de la consulta, la destrucción física mediante un proveedor especializado puede ser la opción más segura.

La consulta no necesita convertir el proceso en una demostración informática. Sí necesita poder acreditar que el método era adecuado, que se aplicó a los soportes correctos y que no quedaron copias accesibles. Una certificación del proveedor, un acta interna de borrado y el registro de los activos afectados son más útiles que una afirmación genérica de que el archivo fue eliminado.

Papel, impresiones y soportes extraíbles

Los historiales impresos, formularios, consentimientos y anotaciones no deben depositarse en el contenedor convencional. La destrucción tiene que impedir la reconstrucción del documento y debe realizarse mediante una destructora adecuada o a través de un gestor especializado.

La UNE-EN 15713 puede utilizarse como referencia para la destrucción segura de información confidencial. Si interviene un proveedor externo, la consulta debería conservar la documentación que permita identificar el servicio, el material destruido, la fecha y el método utilizado. El certificado de destrucción no sustituye a la política interna, pero aporta una evidencia relevante.

También deben incluirse los soportes que suelen quedar fuera de la revisión: pendrives, discos externos, grabadoras, teléfonos antiguos, tarjetas de memoria y archivadores desplazados a otra sala. Un expediente puede haber desaparecido del software y seguir íntegro en una memoria USB olvidada.

Anonimización: conservar información sin conservar personas identificables

La anonimización puede ser útil para mantener datos agregados con fines de investigación, auditoría o análisis de actividad, pero solo si es irreversible de manera razonable. Sustituir el nombre por un código no basta: eso es seudonimización si la consulta conserva, o puede recuperar, la clave que vincula el código con la persona.

Para valorar una anonimización hay que revisar:

• Si se mantienen fechas exactas, localidades pequeñas o acontecimientos singulares.
• Si los contenidos de las sesiones permiten reconocer indirectamente al paciente.
• Si existe otra base de datos con la que pueda cruzarse la información.
• Si la clave de reidentificación se ha destruido realmente.
• Si el volumen reducido de pacientes hace reconocible un caso concreto.
• Si el resultado sigue siendo necesario para la finalidad declarada.

En psicología, los textos narrativos presentan un riesgo especial. Una descripción detallada de una crisis familiar, un conflicto laboral o un proceso judicial puede identificar a una persona aunque se hayan eliminado el nombre y el número de historia. Cuando no sea posible eliminar ese riesgo de forma razonable, la opción correcta no es etiquetar el documento como anónimo: es destruirlo o conservarlo bajo la base jurídica que corresponda.

Documentación clínica con conservación indefinida: excepciones críticas

La conservación indefinida no es la regla general de la historia clínica. Es una excepción que debe apoyarse en una norma, en una obligación concreta o en una necesidad documentada que no quede cubierta por el plazo ordinario. Por eso, una consulta no debería marcar de forma automática todos los consentimientos, informes o documentos periciales como «conservación indefinida».

La categoría del documento no basta por sí sola. Un consentimiento informado puede tener que conservarse durante un periodo determinado por la normativa aplicable o mientras resulte necesario para acreditar una actuación profesional. Un informe puede estar sujeto a una obligación específica por el proceso en el que se emitió. Un documento relacionado con un procedimiento judicial puede quedar retenido mientras exista una reclamación o mientras puedan exigirse responsabilidades. Pero ninguna de esas circunstancias convierte automáticamente a toda la documentación de esa clase en perpetua.

La reforma operada por la Ley 42/2015 exige, además, no invertir el sentido de la prescripción. La modificación redujo de quince a cinco años el plazo general de las acciones personales, salvo que exista un plazo especial aplicable. Por tanto, no puede presentarse como una ampliación general del horizonte de reclamación sanitaria. La necesidad de conservar determinados documentos no nace de afirmar que la reforma alargó ese plazo, sino de revisar si existe una regla especial, un procedimiento abierto, una obligación sectorial o una situación que impida destruir la documentación.

En una consulta de psicología pueden requerir una revisión diferenciada, entre otros, los siguientes materiales:

• Documentos vinculados a un proceso judicial, una reclamación formal o una actuación de una autoridad.
• Informes emitidos para terceros cuando exista una obligación específica de conservarlos o una responsabilidad todavía abierta.
• Consentimientos y autorizaciones cuya conservación resulte necesaria para acreditar una intervención concreta.
• Documentación de coordinación con otros profesionales o servicios cuando forme parte de una obligación legal o de un expediente no cerrado.
• Registros que deban mantenerse por razones fiscales, laborales, contractuales o de facturación, aunque no sean historia clínica en sentido estricto.

La clave está en no mezclar categorías. Un informe clínico que debe conservarse por una circunstancia concreta puede segregarse del resto del expediente y quedar sometido a un plazo propio. Los documentos administrativos pueden tener otro calendario. Las notas de trabajo que no formen parte de la documentación clínica pueden requerir un análisis diferente, especialmente si incluyen datos personales y se han utilizado para tomar decisiones asistenciales.

La conservación indefinida no debe ser una etiqueta de comodidad: cada documento que escapa al expurgo necesita una razón concreta, revisable y registrada.

La segregación puede ser física o lógica. En un sistema digital, no basta con crear una carpeta llamada «permanente» y permitir el acceso a todo el personal. Deben definirse permisos, responsables, finalidad y revisiones. Si desaparece la causa que justificaba la conservación, el documento vuelve al circuito ordinario de supresión.

Gestión de solicitudes de supresión: plazos de respuesta y bloqueo de datos

Una solicitud de supresión no se resuelve con un sí o un no automático. El responsable debe identificar al solicitante, localizar la información, analizar las excepciones y responder de forma comprensible. El plazo ordinario de respuesta es de un mes desde la recepción de la solicitud. Puede ampliarse por otros dos meses cuando la complejidad o el número de solicitudes lo justifique, pero la consulta debe informar al interesado de la ampliación y de sus motivos dentro del primer mes.

Recepción y verificación

La identidad debe comprobarse de forma proporcional al riesgo. No es necesario pedir más información de la que permita evitar una entrega o una eliminación indebida, pero tampoco conviene tramitar por correo una supresión solicitada desde una dirección que no pueda vincularse razonablemente con el paciente.

Si actúa un representante, hay que verificar la representación. En el caso de menores o personas con medidas de apoyo, la consulta debe aplicar las reglas que correspondan a la situación concreta. La copia de un documento identificativo puede solicitarse cuando sea necesaria, aplicando medidas para no conservarla más tiempo del preciso.

Localización y clasificación

Después de verificar la identidad, hay que buscar la información en todos los sistemas relevantes, no solo en la aplicación principal. La consulta debe comprobar si existen copias, documentos enviados a terceros, archivos en papel o soportes externos. También debe distinguir entre:

• Datos cuya supresión procede porque ya no existe una finalidad que justifique su conservación.
• Datos que deben conservarse por obligación legal.
• Datos que están relacionados con una reclamación o un procedimiento.
• Datos que pueden eliminarse de unos sistemas, pero deben mantenerse durante un tiempo en copias de seguridad aisladas.
• Datos que han sido anonimizados de forma irreversible y ya no son datos personales.

La respuesta puede ser total, parcial o denegatoria. Si se deniega la supresión, la consulta debe explicar la causa concreta, la norma o finalidad que justifica la conservación y, cuando proceda, la aplicación del bloqueo. Una frase genérica sobre «obligaciones legales» no permite al paciente entender qué ocurre con su información.

Ejecución y respuesta

Si la supresión procede, hay que ejecutarla en los sistemas bajo control de la consulta y comunicar la decisión a los encargados del tratamiento que deban actuar sobre esos datos. Esto incluye, según el caso, el proveedor de la historia clínica, el servicio de almacenamiento o el gestor documental. Si la información se hubiera comunicado a otros responsables, debe analizarse también la obligación de informarles de la supresión, salvo que resulte imposible o exija un esfuerzo desproporcionado.

Si la documentación debe conservarse, el acceso ordinario debe quedar limitado. El personal que continúa atendiendo al paciente no debería encontrar un expediente bloqueado como si estuviera disponible para una nueva sesión. La medida técnica puede consistir en un estado específico del expediente, permisos restringidos, cifrado, separación de la base activa o una combinación de controles.

La respuesta debe informar, cuando corresponda, de la posibilidad de reclamar ante la Agencia Española de Protección de Datos. La consulta debe conservar evidencia de la solicitud, del análisis realizado, de la respuesta y de las acciones ejecutadas, aplicando a ese registro su propio plazo de conservación. Documentar la decisión no significa guardar indefinidamente toda la solicitud ni una copia innecesaria del expediente: también ese material necesita un calendario.

Una política de borrado que se pueda ejecutar

La mayoría de los errores no se producen porque el profesional desconozca que existe el derecho de supresión, sino porque la consulta no tiene un procedimiento que pueda seguir cuando llega una petición o cuando vence un plazo. Una política operativa debería asignar responsabilidades y describir el recorrido de cada expediente.

Un procedimiento razonable puede incluir estas fases:

1. Inventario. Identificar dónde se guardan las historias, los consentimientos, los informes, las copias de seguridad y los archivos exportados.

2. Clasificación. Separar documentación clínica, administrativa, fiscal, contractual y material de trabajo, sin aplicarles un único plazo por comodidad.

3. Calendario. Asociar a cada categoría el hecho que inicia el cómputo, el plazo aplicable y la fecha de revisión.

4. Bloqueo preventivo. Suspender la destrucción cuando exista una reclamación, un procedimiento, una inspección o una petición que requiera conservar la información.

5. Validación. Revisar que no concurra una norma autonómica específica ni una obligación especial antes de autorizar el expurgo.

6. Destrucción o anonimización. Aplicar el método adecuado al soporte y evitar copias residuales accesibles.

7. Evidencia. Registrar la decisión, la fecha, el alcance, el método, el responsable y, si interviene un proveedor, su certificado o informe de servicio.

El calendario no debería basarse únicamente en la fecha de creación del documento. En una historia clínica puede haber anotaciones de distintos procesos asistenciales y documentos incorporados años después. La consulta debe saber si el plazo se calcula por episodio, por alta, por última intervención o por otra referencia prevista en la norma aplicable.

También conviene establecer revisiones periódicas de los permisos. Un expediente bloqueado pierde buena parte de su sentido si sigue visible para todo el equipo, si se descarga con un clic o si aparece en los resultados de búsqueda de la plataforma clínica. El borrado seguro de datos médicos empieza antes de la destrucción: incluye limitar el acceso mientras la información todavía debe conservarse.

Borrar con criterio, no por inercia

La destrucción de historias clínicas exige equilibrar dos riesgos. Conservar «por si acaso» amplía la exposición ante accesos indebidos y brechas de seguridad, y puede vulnerar el principio de limitación del plazo de conservación. Borrar al primer requerimiento, en cambio, puede incumplir una obligación de custodia y privar a la consulta de documentación necesaria para responder ante una responsabilidad.

El plazo legal de destrucción de historias clínicas no es una cifra que pueda copiarse sin más en un calendario. El mínimo estatal de cinco años debe leerse junto con la normativa autonómica y con el tipo de documento. En Cataluña, los periodos superiores, incluido el de veinte años, se aplican a los documentos y supuestos que determine su normativa, no necesariamente a toda la historia clínica. La conservación indefinida debe reservarse para excepciones justificadas, no para listas completas de documentos marcadas por defecto.

Ante una solicitud de supresión, la consulta debe responder dentro del plazo previsto, analizar las excepciones y explicar si procede la eliminación, la conservación limitada o el bloqueo. Este último restringe el tratamiento ordinario y mantiene los datos únicamente para las finalidades legalmente previstas, como su puesta a disposición de las Administraciones Públicas, jueces y tribunales durante los periodos de responsabilidad. No es un archivo de uso clínico habitual ni una vía general de acceso para el paciente.

Cuando llegue el momento de destruir, hay que hacerlo en todos los soportes relevantes: aplicación clínica, copias, dispositivos, papel y archivos exportados. La operación debe dejar una trazabilidad proporcionada, sin convertir el propio registro de destrucción en un nuevo repositorio de información clínica. Una política clara, revisada cuando cambia la normativa y aplicada con criterios documentados protege tanto la privacidad del paciente como la capacidad del profesional para demostrar que actuó correctamente.