Las historias clínicas se encuentran en la intersección de dos obligaciones legales que pueden tirar en direcciones opuestas. El Reglamento General de Protección de Datos (RGPD) otorga a los pacientes derechos significativos sobre sus datos personales, incluido el derecho a que se corrija la información inexacta y, en algunas circunstancias, a que se elimine. Al mismo tiempo, los marcos profesionales y regulatorios exigen a los profesionales sanitarios mantener una documentación clínica completa, precisa y sin alteraciones de la atención prestada. Para los administradores clínicos responsables de gestionar estas solicitudes en el día a día, comprender exactamente dónde comienzan, terminan y se superponen estas obligaciones no es opcional: es un requisito fundamental del cumplimiento del RGPD en el ámbito sanitario.

Los dos derechos del RGPD que importan aquí: rectificación y supresión

Dos artículos del RGPD son directamente relevantes cuando un paciente cuestiona el contenido de su historia clínica.

El artículo 16, el derecho de rectificación, otorga a las personas el derecho a que se corrijan sin dilación indebida los datos personales inexactos, y a que se completen los datos personales incompletos. Como confirma la Comisión de Protección de Datos de Irlanda, este derecho se aplica de manera relativamente directa a datos personales fácticos, como una fecha de nacimiento incorrecta, una dirección errónea o un nombre mal escrito. Se vuelve considerablemente más complejo cuando los datos en cuestión son una opinión clínica, un diagnóstico o una nota de tratamiento.

El artículo 17, el derecho de supresión (también llamado derecho al olvido), otorga a las personas el derecho a solicitar la eliminación de sus datos personales en circunstancias específicas: cuando los datos ya no son necesarios para el propósito para el que fueron recopilados, cuando se ha retirado el consentimiento o cuando los datos fueron procesados ilegalmente. Como deja claro la guía de la Oficina del Comisionado de Información (ICO) sobre el derecho de supresión, este derecho no es absoluto. El derecho se aplica únicamente a los datos personales que el responsable del tratamiento posee en el momento en que se recibe la solicitud.

Ambos derechos pueden ser invocados por cualquier interesado identificado, en este contexto el paciente cuya historia clínica se conserva. Ambos conllevan un plazo de respuesta de un mes natural. Ninguno opera sin importantes limitaciones en un entorno sanitario.

Cuando un paciente solicita una corrección: qué te obliga realmente el RGPD a hacer

Cuando un paciente presenta una solicitud de rectificación, el artículo 16 exige al responsable del tratamiento, normalmente la organización sanitaria, evaluar si los datos en cuestión son realmente inexactos o incompletos, y actuar en consecuencia en el plazo de un mes.

Para errores fácticos sencillos como un número de NHS incorrecto o una fecha de nacimiento errónea, esto es relativamente sencillo. Se corrige la entrada, se registra el cambio y se notifica al paciente.

La complejidad surge con las entradas clínicas, incluidos diagnósticos, observaciones, evaluaciones de riesgo y decisiones sobre medicación, donde el concepto de inexactitud no es evidente por sí mismo.

La ICO aborda esto directamente. Su guía sobre rectificación establece que si un paciente recibe un diagnóstico que posteriormente se demuestra incorrecto, sus historias clínicas deben registrar tanto el diagnóstico inicial como los hallazgos finales. La entrada original no se borra. Se contextualiza.

Esto refleja un principio fundamental de la documentación clínica: la historia clínica existe para mostrar qué se sabía y qué se decidió en un momento dado, no solo lo que actualmente se entiende como verdadero.

La corrección en el contexto de una historia clínica casi siempre significa un apéndice o anotación, no sobrescribir. El comentario de GDPR-Hub sobre el artículo 16 confirma que la rectificación puede lograrse cambiando datos, mediante supresión parcial o completa, o mediante completado. En la práctica, para las historias clínicas, el completado mediante una declaración complementaria es el enfoque más común y legalmente defendible.

Cuando un paciente solicita la eliminación: los límites del artículo 17 en el ámbito sanitario

El derecho de supresión es la solicitud que los administradores clínicos tienen más probabilidades de gestionar incorrectamente, ya sea tratándola como automáticamente válida o rechazándola sin una evaluación adecuada. Ninguno de los dos enfoques es conforme.

El texto completo del artículo 17(3) establece varias excepciones que son directamente relevantes para las historias clínicas. La supresión no se aplica cuando la conservación es necesaria:

• Para el cumplimiento de una obligación legal en virtud del Derecho de la Unión o de los Estados miembros

• Por razones de interés público en el ámbito de la salud pública según el artículo 9(2)(h) e (i)

• Con fines de archivo en interés público, o con fines de investigación científica o histórica

• Para la formulación, el ejercicio o la defensa de reclamaciones

En la práctica, la mayoría de las historias clínicas se encuentran bajo al menos una de estas excepciones. La legislación nacional en los Estados miembros de la Unión Europea y el Reino Unido impone períodos mínimos de conservación obligatorios para las historias clínicas, normalmente entre ocho y treinta años dependiendo del tipo de historia clínica y la jurisdicción, lo que constituye una obligación legal según el artículo 17(3)(a).

La guía del Delegado de Protección de Datos de Secure Privacy para el sector sanitario confirma que cuando se aplica una obligación legal de conservación, las solicitudes de supresión pueden rechazarse legalmente.

Sin embargo, la acción coordinada de aplicación de 2025 del Comité Europeo de Protección de Datos (EDPB) analizó las respuestas de 764 responsables del tratamiento en toda Europa y encontró que los responsables aplicaban incorrectamente las excepciones del artículo 17(3) tratándolas como automáticamente aplicables sin realizar evaluaciones caso por caso. Nueve Autoridades de Protección de Datos iniciaron investigaciones formales de aplicación como resultado.

La lección para los administradores clínicos es clara: rechazar una solicitud de supresión requiere un razonamiento documentado, no una política general.

Incluso cuando una solicitud de eliminación se rechaza legalmente, la organización debe responder al paciente en el plazo de un mes, explicar los motivos del rechazo e informarle de su derecho a presentar una reclamación ante la autoridad de control pertinente.

El requisito de pista de auditoría: qué debe registrarse cuando se modifica una historia clínica

Siempre que se corrija, anote o marque como disputada una entrada de historia clínica, la organización debe mantener una pista de auditoría completa. Esto es tanto un requisito de responsabilidad del RGPD como una necesidad médico-legal.

Una pista de auditoría conforme para una modificación de historia clínica debe capturar:

• La identidad de la persona que realizó el cambio

• La fecha y hora del cambio

• El motivo del cambio

• El contenido de la entrada original, conservado en su totalidad

• La naturaleza de la modificación (apéndice, corrección o marca de disputa)

La política de acceso a historias clínicas de consultas de medicina de familia alineada con la guía del NHS establece explícitamente: "La información puede eliminarse de la visualización, pero la pista de auditoría siempre mantendrá la historia clínica completa. Se pueden realizar modificaciones a las historias clínicas siempre que las modificaciones se realicen de manera que indique por qué se realizó la alteración, de modo que quede claro que las historias clínicas no han sido manipuladas".

Sobrescribir o eliminar entradas originales sin dejar rastro es uno de los fallos de cumplimiento más graves que puede cometer un administrador clínico. Crea simultáneamente un riesgo de RGPD (fallo de responsabilidad según el artículo 5(2)) y un riesgo médico-legal (evidencia potencial de manipulación de historias clínicas en una investigación de negligencia clínica o regulatoria).

Las pistas de auditoría deben ser a prueba de manipulaciones y deben capturar detalles granulares de cada interacción, incluida la identidad del usuario, marca de tiempo, dirección IP, identificador del dispositivo, clasificación de datos y acción realizada, según lo requerido por los principios de responsabilidad del RGPD y la guía del NHS sobre gestión de historias clínicas.

Cómo interactúan los estándares profesionales y los organismos reguladores con las obligaciones del RGPD

El RGPD establece un mínimo, no un máximo. Los consejos médicos nacionales, los reguladores profesionales y los organismos del sistema de salud añaden obligaciones adicionales, y en la mayoría de los casos estas refuerzan en lugar de contradecir el enfoque del RGPD sobre la integridad de las historias clínicas.

En el Reino Unido, tanto el Consejo Médico General (GMC) como el Consejo de Enfermería y Partería (NMC) exigen a los profesionales sanitarios mantener historias clínicas claras, precisas y contemporáneas. La guía del NHS sobre gestión de historias clínicas especifica calendarios de conservación que determinan el período mínimo durante el cual deben conservarse diferentes tipos de historias clínicas. Estas obligaciones interactúan directamente con el artículo 17(3)(a): cuando existe un requisito legal o regulatorio de conservación, proporciona la base legal para rechazar una solicitud de supresión.

En los Estados miembros de la UE, el panorama es similar pero variable. Los marcos legislativos nacionales en Suecia, el Reino Unido y Alemania reflejan en gran medida el RGPD al tiempo que ofrecen diferentes mecanismos adicionales para gestionar errores en los sistemas de historias clínicas.

Se espera que el próximo Espacio Europeo de Datos de Salud (EHDS) posicione el proceso de rectificación dentro de los servicios de salud digital, potencialmente permitiendo la participación del paciente dentro del sistema, aunque esto sigue siendo prospectivo en el momento de redactar este documento.

Los administradores clínicos que operan a través de fronteras, o en organizaciones sujetas tanto al RGPD del Reino Unido como al RGPD de la UE, deben ser conscientes de que las normas de los Estados miembros pueden ser más estrictas que la línea base del RGPD y deben buscar asesoramiento legal específico de la jurisdicción cuando el marco aplicable no esté claro.

El proceso correcto para gestionar una solicitud de rectificación paso a paso

El siguiente flujo de trabajo refleja los requisitos de los artículos 16 y 19 del RGPD, el plazo de respuesta de un mes y las mejores prácticas para la gestión de historias clínicas.

Paso 1: Recibir y registrar la solicitud. Registra la fecha de recepción. El reloj de un mes comienza inmediatamente, independientemente de cómo se haya presentado la solicitud (carta, correo electrónico, formulario en línea o solicitud verbal seguida de confirmación por escrito).

Paso 2: Verificar la identidad del paciente. No proceses la solicitud hasta que se confirme la identidad. Esto protege contra modificaciones no autorizadas de historias clínicas de terceros.

Paso 3: Identificar los datos específicos en cuestión. Pide al paciente que especifique con precisión qué entrada o entradas considera inexactas o incompletas, y qué corrección está solicitando.

Paso 4: Consultar al profesional sanitario responsable. La política de historias clínicas alineada con el NHS es clara: "Cuando la disputa se refiera a una entrada médica, se debe consultar al profesional sanitario que realizó la entrada y considerar si es apropiado cambiarla". Este paso no es opcional.

Paso 5: Determinar la acción apropiada. Basándote en la evaluación del profesional sanitario y la naturaleza de los datos:

• Si la entrada contiene un error fáctico claro (fecha incorrecta, nombre incorrecto): corrígela y conserva el original en la pista de auditoría

• Si la entrada es una opinión clínica que el profesional sanitario mantiene: añade una nota complementaria registrando la disputa del paciente sin alterar el original

• Si la entrada está genuinamente incompleta: añade una declaración de completado

Paso 6: Actualizar la historia clínica de manera conforme. Conserva la entrada original, fecha y atribuye la modificación claramente, y documenta el motivo del cambio.

Paso 7: Notificar al paciente el resultado. Responde dentro de un mes natural desde la solicitud original. Si la solicitud se rechaza total o parcialmente, explica los motivos e informa al paciente de su derecho a presentar una reclamación ante la autoridad de control.

Paso 8: Documentar el proceso de toma de decisiones. Registra qué se consideró, a quién se consultó, qué decisión se tomó y por qué. Esta documentación es la evidencia de cumplimiento de la organización si la decisión es posteriormente cuestionada.

Qué hacer cuando no estás de acuerdo con la versión de los hechos del paciente

Un paciente puede afirmar que una entrada clínica es inexacta cuando el profesional sanitario que realizó la entrada mantiene su exactitud. Este es uno de los escenarios más comunes y más malinterpretados en la gestión de historias clínicas.

El RGPD no exige a los proveedores de atención sanitaria aceptar la versión preferida de los hechos del paciente como un hecho. La guía de la Comisión de Protección de Datos de Irlanda es explícita en que ni el derecho de rectificación ni el derecho de supresión se aplican fácilmente a opiniones médicas, diagnósticos y notas de tratamiento clínico, precisamente porque estos representan juicios profesionales en lugar de hechos objetivos.

La respuesta conforme al RGPD en un escenario de entrada clínica disputada es añadir una nota a la historia clínica indicando que el paciente disputa la entrada, mientras se deja intacta la documentación original del profesional sanitario. Este enfoque:

• Preserva la integridad de la historia clínica original

• Reconoce el derecho del paciente a que se registre su punto de vista

• Crea una pista de auditoría transparente que muestra que se gestionó la disputa

• No requiere que la organización arbitre entre versiones contrapuestas

El plazo de respuesta de un mes sigue aplicándose. Se debe informar al paciente del resultado, incluido el hecho de que se ha conservado la entrada original, y de su derecho a escalar a la autoridad de control si sigue insatisfecho.

Notificaciones a terceros: ¿tienes que informar a alguien más sobre el cambio?

El artículo 19 del RGPD exige a los responsables del tratamiento notificar a cualquier tercero al que se hayan comunicado los datos de una rectificación o supresión, a menos que hacerlo sea imposible o implique un esfuerzo desproporcionado. Cuando se haya realizado la notificación a terceros, el responsable también debe informar al interesado de esos destinatarios si se le solicita.

En un contexto clínico, esta obligación tiene implicaciones operativas directas. Si la historia clínica de un paciente ha sido modificada y esa historia clínica se compartió previamente con un proveedor de atención especializada tras una derivación, un especialista que recibió una carta de derivación, una aseguradora o empleador (cuando el paciente consintió la divulgación), o un equipo de atención social, entonces en principio se debe notificar a cada uno de esos destinatarios de la modificación.

En la práctica, esto requiere que los administradores clínicos mantengan registros claros de quién recibió qué información y cuándo.

La excepción de esfuerzo desproporcionado proporciona cierto alivio cuando la notificación es genuinamente impracticable, por ejemplo, cuando los datos se compartieron hace muchos años con múltiples partes y los datos de contacto ya no están disponibles. Sin embargo, esta excepción requiere justificación documentada. No puede invocarse por defecto.

Errores comunes que cometen los administradores clínicos al gestionar estas solicitudes

Los hallazgos de aplicación del EDPB de 2025 identificaron fallos sistemáticos en todos los responsables del tratamiento en cómo se gestionan los derechos de supresión. En un contexto de historias clínicas, los fallos de cumplimiento más frecuentes incluyen:

• No cumplir el plazo de un mes. El reloj comienza en la fecha de recepción, no en la fecha en que la solicitud se registra formalmente o se asigna. Los retrasos en el enrutamiento interno no son una razón válida para una respuesta tardía.

• Sobrescribir entradas originales. Reemplazar una entrada original sin conservarla en una pista de auditoría es tanto un fallo de responsabilidad del RGPD como una posible responsabilidad médico-legal.

• No documentar el proceso de toma de decisiones. Decidir no modificar una historia clínica, o decidir añadir un apéndice en lugar de una corrección, requiere un razonamiento documentado. Una decisión no documentada es una decisión indefendible.

• Tratar todas las solicitudes de eliminación como automáticamente válidas. Aceptar solicitudes de supresión sin evaluar si se aplica una excepción, particularmente la excepción de conservación legal, expone a la organización al riesgo de destruir historias clínicas que está legalmente obligada a conservar.

• Tratar todas las solicitudes de eliminación como automáticamente inválidas. El EDPB identificó el rechazo reflexivo de todas las solicitudes de supresión sin evaluación caso por caso como un fallo común y sancionable.

• No escalar al Delegado de Protección de Datos (DPO). Las solicitudes complejas, las disputas que involucran datos sensibles o los casos en los que la base legal para la conservación es genuinamente poco clara deben ir al DPO en lugar de resolverse a nivel administrativo.

Cuándo escalar: tu DPO, tu equipo legal y tu regulador

No todas las solicitudes de rectificación o supresión pueden o deben resolverse a nivel de administración clínica. Los siguientes escenarios justifican la escalada al DPO, al equipo legal o, en algunos casos, a la autoridad de control:

• Solicitudes que involucran a menores. La interacción entre los derechos parentales, la competencia de Gillick (en jurisdicciones del Reino Unido) y los propios derechos de datos del niño requiere aportación legal.

• Historias clínicas compartidas a través de fronteras nacionales. Cuando los datos se han transferido a encargados del tratamiento o destinatarios en otras jurisdicciones, las normas de conservación y eliminación aplicables pueden diferir.

• Incertidumbre genuina sobre la base legal para la conservación. Si no está claro si se aplica una obligación legal de conservación, o si se involucra una excepción de interés público, esta es una cuestión legal, no administrativa.

• Solicitudes que parecen relacionarse con una posible reclamación legal. Cuando hay alguna indicación de que el paciente está considerando o ha iniciado procedimientos legales, la historia clínica tiene un valor probatorio potencial y cualquier modificación requiere asesoramiento legal.

• Disputas repetidas o crecientes. Si un paciente ya se ha quejado a la autoridad de control, o ha indicado que tiene la intención de hacerlo, el DPO debe estar involucrado.

Según el artículo 37 del RGPD, la mayoría de las organizaciones sanitarias de la UE que procesan datos de salud a gran escala están obligadas a designar un Delegado de Protección de Datos. La guía sanitaria de Secure Privacy confirma que deben existir procesos para que los pacientes ejerzan todos los derechos de los interesados, y que el papel del DPO incluye asesorar sobre solicitudes que entran en conflicto con obligaciones legales.

Los administradores clínicos deben saber quién es su DPO, cómo contactarlo y qué umbral desencadena una derivación, antes de que llegue una solicitud compleja, no después.

Preguntas frecuentes

▶ ¿Tienen los pacientes derecho a corregir sus historias clínicas según el RGPD?

Sí, pero con límites importantes. El artículo 16 del Reglamento General de Protección de Datos otorga a los pacientes el derecho a que se corrijan los datos personales inexactos. Para errores fácticos sencillos, como una fecha de nacimiento incorrecta o un nombre mal escrito, la corrección es relativamente sencilla. Para entradas clínicas como diagnósticos, evaluaciones de riesgo o notas de tratamiento, el concepto de inexactitud es más complejo. El juicio profesional de un profesional sanitario no es lo mismo que un hecho objetivo, y la Comisión de Protección de Datos de Irlanda confirma que el derecho de rectificación no se aplica fácilmente a opiniones médicas y notas de tratamiento clínico.

▶ ¿Puede un paciente solicitar la eliminación de sus historias clínicas según el RGPD?

Los pacientes pueden presentar una solicitud de eliminación según el artículo 17 del RGPD, pero este derecho no es absoluto en un entorno sanitario. La mayoría de las historias clínicas se encuentran bajo al menos una de las excepciones del artículo 17(3), incluido el cumplimiento de una obligación legal, el interés público en la salud pública o la formulación o defensa de reclamaciones legales. La legislación nacional en los Estados miembros de la UE y el Reino Unido establece períodos mínimos de conservación obligatorios para las historias clínicas, normalmente entre ocho y treinta años, lo que constituye una obligación legal que permite a las organizaciones rechazar legalmente las solicitudes de supresión. Sin embargo, el rechazo requiere un razonamiento documentado caso por caso, no una política general.

▶ ¿Cuál es la forma correcta de modificar una historia clínica cuando un paciente disputa una entrada?

El enfoque correcto es añadir un apéndice o anotación a la historia clínica, no sobrescribir o eliminar la entrada original. Si un paciente disputa una opinión clínica que el profesional sanitario responsable mantiene, se debe añadir una nota complementaria registrando la disputa del paciente, mientras se deja intacta la documentación original. Si la entrada contiene un error fáctico genuino, debe corregirse con el original conservado en la pista de auditoría. La Oficina del Comisionado de Información confirma que cuando se descubre que un diagnóstico es incorrecto posteriormente, la historia clínica debe mostrar tanto el diagnóstico inicial como los hallazgos finales.

▶ ¿Qué debe incluir una pista de auditoría cuando se modifica una historia clínica?

Una pista de auditoría conforme debe capturar la identidad de la persona que realizó el cambio, la fecha y hora del cambio, el motivo del cambio, el contenido completo de la entrada original y la naturaleza de la modificación. La guía del NHS es explícita en que la información puede eliminarse de la visualización, pero la pista de auditoría siempre debe mantener la historia clínica completa. Sobrescribir entradas originales sin dejar rastro crea tanto un fallo de responsabilidad del RGPD según el artículo 5(2) como un riesgo médico-legal, incluida la evidencia potencial de manipulación de historias clínicas en una investigación de negligencia clínica.

▶ ¿Cuánto tiempo tiene una organización sanitaria para responder a una solicitud de rectificación o supresión?

Tanto el derecho de rectificación según el artículo 16 como el derecho de supresión según el artículo 17 conllevan un plazo de respuesta de un mes natural. El reloj comienza en la fecha en que se recibe la solicitud, no en la fecha en que se registra formalmente o se asigna internamente. Si la solicitud se rechaza total o parcialmente, la organización debe responder igualmente dentro de ese mes, explicar los motivos del rechazo e informar al paciente de su derecho a presentar una reclamación ante la autoridad de control pertinente.

▶ ¿Exige el RGPD a los proveedores de atención sanitaria aceptar la versión de los hechos del paciente como un hecho?

No. El RGPD no exige a los proveedores de atención sanitaria aceptar la versión preferida de los hechos del paciente como un hecho. La Comisión de Protección de Datos de Irlanda es explícita en que el derecho de rectificación no se aplica fácilmente a opiniones médicas, diagnósticos y notas de tratamiento clínico, porque estos representan juicios profesionales en lugar de hechos objetivos. Cuando un profesional sanitario mantiene su entrada original, la respuesta conforme al RGPD es añadir una nota registrando que el paciente disputa la entrada, mientras se deja intacta la documentación original. Entonces se debe informar al paciente del resultado y de su derecho a escalar a la autoridad de control.

▶ ¿Modificar una historia clínica desencadena el deber de notificar a terceros?

Sí. El artículo 19 del RGPD exige a los responsables del tratamiento notificar a cualquier tercero al que se hayan comunicado los datos de una rectificación o supresión, a menos que hacerlo sea imposible o implique un esfuerzo desproporcionado. En un contexto clínico, esto puede incluir proveedores de atención especializada que recibieron una derivación, especialistas que recibieron una carta de derivación o equipos de atención social. Los administradores clínicos necesitan mantener registros claros de quién recibió qué información y cuándo. La excepción de esfuerzo desproporcionado puede aplicarse cuando la notificación es genuinamente impracticable, pero requiere justificación documentada y no puede usarse por defecto.

▶ ¿Cuáles son los errores más comunes al gestionar solicitudes de rectificación y supresión de pacientes?

Los hallazgos de la acción coordinada de aplicación del Comité Europeo de Protección de Datos de 2025 identificaron varios fallos recurrentes. Estos incluyen no cumplir el plazo de respuesta de un mes, sobrescribir entradas originales sin conservarlas en una pista de auditoría, no documentar el razonamiento detrás de las decisiones, tratar todas las solicitudes de eliminación como automáticamente válidas y tratar todas las solicitudes de eliminación como automáticamente inválidas sin evaluación caso por caso. El EDPB encontró que nueve Autoridades de Protección de Datos iniciaron investigaciones formales de aplicación como resultado de que los responsables del tratamiento aplicaran incorrectamente las excepciones del artículo 17(3) sin una evaluación individual adecuada.

▶ ¿Cuándo debe un administrador clínico escalar una solicitud de rectificación o supresión al Delegado de Protección de Datos?

Varios escenarios justifican la escalada en lugar de la resolución a nivel administrativo. Estos incluyen solicitudes que involucran a menores, donde se cruzan los derechos parentales y los propios derechos de datos del niño. Historias clínicas compartidas a través de fronteras nacionales, donde pueden aplicarse diferentes normas de conservación. Casos en los que existe una incertidumbre genuina sobre la base legal para la conservación. Solicitudes que pueden relacionarse con una posible reclamación legal, donde la historia clínica tiene valor probatorio. Y situaciones en las que el paciente ya se ha quejado a la autoridad de control o ha indicado que tiene la intención de hacerlo. Según el artículo 37 del RGPD, la mayoría de las organizaciones sanitarias de la UE que procesan datos de salud a gran escala están obligadas a designar un Delegado de Protección de Datos, y los administradores clínicos deben saber quién es el suyo antes de que llegue una solicitud compleja.