Irregularidades sin trascendencia sanitaria

Conducta

Infracciones leves. La ley no crea tipos propios: remite en bloque al capítulo VI del título I de la Ley 14/1986, donde la calificación se hace por los criterios generales del artículo 34 (riesgo para la salud, beneficio obtenido, intencionalidad, gravedad de la alteración, generalización y reincidencia) y por la lista abierta del artículo 35. En el escalón leve caen las simples irregularidades en la observación de la normativa sanitaria sin trascendencia directa para la salud pública.

Importe

Multa de hasta 3.005,06 euros (art. 36.1.a) de la Ley 14/1986).

Disp. adicional sexta · arts. 34, 35.A) y 36.1.a) de la Ley 14/1986

Falta de los controles exigibles

Conducta

Infracciones graves. Entre los supuestos del artículo 35.B) están las que se producen por falta de los controles y precauciones exigibles en la actividad, servicio o instalación, que es donde encaja un fallo de custodia o de control de acceso al archivo de historias clínicas, y el incumplimiento por primera vez de un requerimiento específico de la autoridad sanitaria.

Importe

Multa desde 3.005,07 hasta 15.025,30 euros, cuantía que puede rebasarse hasta alcanzar el quíntuplo del valor de los productos o servicios objeto de la infracción (art. 36.1.b) de la Ley 14/1986).

Disp. adicional sexta · arts. 35.B) y 36.1.b) de la Ley 14/1986

Conducta deliberada con daño grave

Conducta

Infracciones muy graves. El artículo 35.C) reserva este escalón a las conductas conscientes y deliberadas que producen un daño grave, al incumplimiento reiterado de los requerimientos de la autoridad sanitaria, a la negativa absoluta a colaborar con la inspección y a la reincidencia en faltas graves en los últimos cinco años.

Importe

Multa desde 15.025,31 hasta 601.012,10 euros, con la misma cláusula del quíntuplo del valor de los productos o servicios. Además puede acordarse el cierre temporal del establecimiento, instalación o servicio por un plazo máximo de cinco años (arts. 36.1.c) y 36.2 de la Ley 14/1986).

Disp. adicional sexta · arts. 35.C), 36.1.c) y 36.2 de la Ley 14/1986

La ley no establece ningún régimen de notificación de incidentes. No hay plazo, ni destinatario, ni umbral, ni siquiera para el supuesto que ella misma nombra, que es la destrucción o la pérdida accidental de las historias clínicas. Es una ausencia con consecuencia práctica, porque el activo del que habla son datos de salud de toda la población de pacientes de un centro. El deber de avisar no nace aquí: nace de la normativa de protección de datos, que obliga a notificar la violación de seguridad a la Agencia Española de Protección de Datos y, cuando el riesgo para el paciente es alto, al propio paciente. Los centros que además sean entidad esencial o importante por su tamaño soportan en paralelo el régimen de notificación de ciberincidentes de la normativa de seguridad de las redes, que corre por su cauce y con sus propios plazos.

Centros y servicios sanitarios

Cualquier organización que presta asistencia sanitaria, pública o privada. Archiva las historias clínicas garantizando su seguridad, su correcta conservación y la recuperación de la información, y las conserva un mínimo de cinco años (art. 1, art. 14.2 y art. 17.1)

Dirección del centro sanitario

En los centros con pacientes hospitalizados o con volumen asistencial suficiente, la custodia de las historias clínicas está bajo su responsabilidad (art. 17.4)

Unidad de admisión y documentación

Gestiona la historia clínica en esos mismos centros y tiene el encargo expreso de integrar las historias en un solo archivo (art. 17.4)

Profesional sanitario por cuenta propia

Responde de la gestión y la custodia de toda la documentación asistencial que genere, sin rebaja alguna por ejercer solo (art. 17.5)

Profesionales asistenciales

Acceden a la historia del paciente al que diagnostican o tratan, y el centro tiene que establecer los métodos que lo posibiliten en todo momento (art. 16.1 y art. 16.2)

Personal de administración y gestión

Solo puede acceder a los datos de la historia clínica relacionados con sus propias funciones (art. 16.4)

Personal sanitario de inspección

Accede a las historias clínicas en funciones de inspección, evaluación, acreditación y planificación, para comprobar la calidad de la asistencia y el cumplimiento del centro (art. 16.5)

Administraciones sanitarias

Establecen los mecanismos que garantizan la autenticidad del contenido de la historia clínica, la de sus cambios y su reproducción futura (art. 14.3)

Comunidades autónomas

Aprueban las disposiciones de archivo y protección de las historias clínicas y regulan el procedimiento de constancia del acceso y de su uso (art. 14.4 y art. 16.7)

Paciente

Accede a la documentación de su historia clínica y obtiene copia de los datos que figuran en ella, por sí o por representación acreditada, y el centro regula el procedimiento que lo garantice (art. 18.1 y art. 18.2)

Exclusiones

Ley 41/2002, de 14 de noviembre, básica reguladora de la autonomía del paciente y de derechos y obligaciones en materia de información y documentación clínica

Identificador

BOE-A-2002-22188

Fuente

BOE · Texto consolidado · Agencia Estatal Boletín Oficial del Estado

Ciberseguridad

No es una norma de ciberseguridad por objeto: regula la autonomía del paciente y sus derechos sobre la información clínica. Pero el capítulo V no se limita a crear un activo y dejarlo ahí, que es lo que hacen otras normas españolas del observatorio. Nombra resultados de seguridad exigibles sobre él: archivar garantizando seguridad, correcta conservación y recuperación de la información, conservar un mínimo de cinco años, limitar el acceso del personal no asistencial a sus propias funciones, someter al deber de secreto a todo el que accede, y sostener una custodia activa y diligente. Lo que no hay es catálogo de controles, auditoría, notificación de incidentes, cifrado ni plazo de respuesta. Dos matices bajan el nivel. El primero es que los tres mandatos más técnicos (los mecanismos de autenticidad del contenido y de los cambios, las disposiciones para archivar y proteger, y el procedimiento de constancia del acceso) no obligan al centro sino a las administraciones sanitarias y a las comunidades autónomas, y le llegan al centro por vía autonómica. El segundo es que el único artículo que dice «medidas técnicas de seguridad» las toma prestadas de la legislación de protección de datos, y la nombra por su ley de 1999.

Valoración del curador · nivel 3 de 5

Archivar la historia clínica con seguridad y recuperación Ciber

Cada centro archiva las historias clínicas de sus pacientes de manera que queden garantizadas tres cosas a la vez: su seguridad, su correcta conservación y la recuperación de la información. La obligación es indiferente al soporte y el texto lo dice expresamente, así que alcanza igual al papel, al audiovisual y al informático. La ley nombra los tres resultados y no describe ni un solo control para conseguirlos.

Literal de la norma Cada centro archivará las historias clínicas de sus pacientes, cualquiera que sea el soporte papel, audiovisual, informático o de otro tipo en el que consten, de manera que queden garantizadas su seguridad, su correcta conservación y la recuperación de la información.

Art. 14.2

Integrar la documentación en una sola historia por paciente

La historia clínica reúne los documentos de todos los procesos asistenciales del paciente, con identificación de los profesionales que han intervenido, buscando la máxima integración posible al menos en el ámbito de cada centro. Se lleva con criterios de unidad y de integración por institución asistencial, para que cualquier facultativo tenga delante el historial completo.

Literal de la norma La historia clínica se llevará con criterios de unidad y de integración, en cada institución asistencial como mínimo, para facilitar el mejor y más oportuno conocimiento por los facultativos de los datos de un determinado paciente en cada proceso asistencial.

Art. 14.1 y art. 15.4

Cumplimentar y mantener ordenada la historia clínica

La historia incorpora la información trascendental para conocer de forma veraz y actualizada el estado de salud del paciente, con un contenido mínimo tasado de quince apartados, ocho de ellos exigibles solo en procesos de hospitalización o cuando así se disponga. Cumplimentarla en lo relativo a la asistencia directa es responsabilidad de los profesionales que intervienen, que además tienen el deber de cooperar en que la documentación quede ordenada y secuencial.

Art. 15.1 a 15.3 y art. 17.3

Conservar la documentación clínica un mínimo de cinco años Ciber

La documentación clínica se conserva en condiciones que garanticen su correcto mantenimiento y seguridad, no necesariamente en el soporte original, durante el tiempo adecuado a cada caso y como mínimo cinco años contados desde el alta de cada proceso asistencial. Que el soporte pueda cambiar es la habilitación para digitalizar, y trae consigo tener que sostener la legibilidad de lo digitalizado durante toda la ventana. Cinco años es el suelo, no el plazo.

Literal de la norma Los centros sanitarios tienen la obligación de conservar la documentación clínica en condiciones que garanticen su correcto mantenimiento y seguridad, aunque no necesariamente en el soporte original, para la debida asistencia al paciente durante el tiempo adecuado a cada caso y, como mínimo, cinco años contados desde la fecha del alta de cada proceso asistencial. […]

Art. 17.1

Conservar por razones judiciales, epidemiológicas o de investigación Ciber parcial

La documentación se conserva también a efectos judiciales conforme a la legislación vigente, y cuando existan razones epidemiológicas, de investigación o de organización y funcionamiento del Sistema Nacional de Salud. En esos usos, el tratamiento debe hacerse de forma que se evite en lo posible la identificación de las personas afectadas.

Literal de la norma La documentación clínica también se conservará a efectos judiciales de conformidad con la legislación vigente. Se conservará, asimismo, cuando existan razones epidemiológicas, de investigación o de organización y funcionamiento del Sistema Nacional de Salud. Su tratamiento se hará de forma que se evite en lo posible la identificación de las personas afectadas. […]

Art. 17.2

No destruir los datos del nacimiento Ciber parcial

Los datos de la historia clínica relacionados con el nacimiento del paciente, incluidos los resultados de las pruebas biométricas, médicas o analíticas necesarias para determinar el vínculo de filiación con la madre, no se destruyen. Una vez conocido el fallecimiento del paciente se trasladan a los archivos definitivos de la Administración correspondiente. Solo pueden comunicarse a petición judicial en un proceso penal o en una reclamación o impugnación judicial de la filiación materna.

Literal de la norma No obstante, los datos de la historia clínica relacionados con el nacimiento del paciente, incluidos los resultados de las pruebas biométricas, médicas o analíticas que en su caso resulten necesarias para determinar el vínculo de filiación con la madre, no se destruirán, trasladándose una vez conocido el fallecimiento del paciente, a los archivos definitivos de la Administración correspondiente, donde se conservarán con las debidas medidas de seguridad a los efectos de la legislación de protección de datos.

Art. 17.1, párrafo segundo, y art. 17.2, párrafo segundo

Gestionar el archivo por la unidad de admisión, bajo la dirección Ciber parcial

En los centros con pacientes hospitalizados, o que atienden a un número suficiente de pacientes bajo otra modalidad asistencial según el criterio de los servicios de salud, la gestión de la historia clínica se hace a través de la unidad de admisión y documentación clínica, que integra las historias en un solo archivo. La custodia de esas historias está bajo la responsabilidad de la dirección del centro sanitario.

Literal de la norma La gestión de la historia clínica por los centros con pacientes hospitalizados, o por los que atiendan a un número suficiente de pacientes bajo cualquier otra modalidad asistencial, según el criterio de los servicios de salud, se realizará a través de la unidad de admisión y documentación clínica, encargada de integrar en un solo archivo las historias clínicas. La custodia de dichas historias clínicas estará bajo la responsabilidad de la dirección del centro sanitario.

Art. 17.4

Custodiar la documentación cuando se ejerce por cuenta propia Ciber

El profesional sanitario que ejerce de manera individual es responsable de la gestión y de la custodia de toda la documentación asistencial que genere. La ley no le rebaja ningún deber por no tener estructura detrás: el archivo, la conservación durante cinco años y la protección del conjunto recaen sobre él.

Literal de la norma Los profesionales sanitarios que desarrollen su actividad de manera individual son responsables de la gestión y de la custodia de la documentación asistencial que generen.

Art. 17.5

Aplicar las medidas técnicas de seguridad de la normativa de datos Ciber

Es el único artículo de la ley que dice «medidas técnicas de seguridad», y no las contiene: las toma de la legislación de protección de datos. El texto vigente sigue remitiendo a la Ley Orgánica 15/1999, derogada por la Ley Orgánica 3/2018, y a la legislación que regulaba la conservación de los ficheros con datos personales, que era su reglamento de desarrollo con su catálogo de niveles de seguridad. Hoy la remisión se resuelve en el Reglamento General de Protección de Datos y en la Ley Orgánica 3/2018, cuyo criterio no son niveles tasados sino medidas apropiadas al riesgo, y donde los datos de salud son categoría especial.

Literal de la norma Son de aplicación a la documentación clínica las medidas técnicas de seguridad establecidas por la legislación reguladora de la conservación de los ficheros que contienen datos de carácter personal y, en general, por la Ley Orgánica 15/1999, de Protección de Datos de Carácter Personal.

Art. 17.6

Sostener un mecanismo de custodia activa y diligente Ciber

El paciente tiene derecho a que el centro tenga montado un mecanismo de custodia activa y diligente de las historias clínicas, y la ley describe qué tiene que permitir ese mecanismo: recoger, integrar, recuperar y comunicar la información, siempre bajo el principio de confidencialidad del artículo 16. Redactado como derecho del paciente, funciona como requisito de capacidad sobre el archivo: no basta con guardar, hay que poder recuperar y entregar.

Literal de la norma El paciente tiene derecho a que los centros sanitarios establezcan un mecanismo de custodia activa y diligente de las historias clínicas. Dicha custodia permitirá la recogida, la integración, la recuperación y la comunicación de la información sometida al principio de confidencialidad con arreglo a lo establecido por el artículo 16 de la presente Ley.

Art. 19

Garantizar el acceso de quien asiste al paciente Ciber parcial

La historia clínica está destinada fundamentalmente a garantizar una asistencia adecuada, y los profesionales asistenciales que diagnostican o tratan al paciente acceden a ella como instrumento de esa asistencia. Cada centro establece los métodos que posibiliten ese acceso en todo momento.

Literal de la norma Cada centro establecerá los métodos que posibiliten en todo momento el acceso a la historia clínica de cada paciente por los profesionales que le asisten.

Art. 16.1 y art. 16.2

Limitar el acceso del personal a sus propias funciones Ciber

El personal de administración y gestión solo puede acceder a los datos de la historia clínica relacionados con sus propias funciones. El personal sanitario acreditado que inspecciona, evalúa, acredita o planifica accede en el cumplimiento de esas funciones concretas. Es mínimo privilegio con rango de ley, y sobre los dos colectivos que no llegan a la historia por la vía asistencial.

Literal de la norma El personal de administración y gestión de los centros sanitarios sólo puede acceder a los datos de la historia clínica relacionados con sus propias funciones.

Art. 16.4 y art. 16.5

Deber de secreto de todo el que accede Ciber

Quien accede a los datos de la historia clínica en el ejercicio de sus funciones queda sujeto al deber de secreto, sin distinguir si es personal sanitario o no. El artículo 2.7 lo enuncia antes como principio y lo extiende a toda persona que elabore o tenga acceso a la información y la documentación clínica. El deber alcanza, por tanto, a informática, a administración y a quien preste un servicio con acceso al archivo.

Literal de la norma El personal que accede a los datos de la historia clínica en el ejercicio de sus funciones queda sujeto al deber de secreto.

Art. 16.6 y art. 2.7

Separar identificación y datos clínicos en los usos secundarios Ciber

El acceso a la historia clínica con fines judiciales, epidemiológicos, de salud pública, de investigación o de docencia obliga a preservar los datos de identificación personal separados de los clínicos, de modo que como regla general quede asegurado el anonimato, salvo consentimiento del paciente para no separarlos. El acceso queda además limitado estrictamente a los fines específicos de cada caso. Hay tres excepciones: los supuestos de investigación de la disposición adicional decimoséptima de la Ley Orgánica 3/2018, la investigación de la autoridad judicial cuando el juez considere imprescindible unificar los datos, y el acceso de las administraciones sanitarias a los datos identificativos por razones epidemiológicas o de salud pública ante un riesgo grave, siempre por profesional sujeto a secreto y con motivación previa.

Literal de la norma El acceso a la historia clínica con fines judiciales, epidemiológicos, de salud pública, de investigación o de docencia, se rige por lo dispuesto en la legislación vigente en materia de protección de datos personales, y en la Ley 14/1986, de 25 de abril, General de Sanidad, y demás normas de aplicación en cada caso. El acceso a la historia clínica con estos fines obliga a preservar los datos de identificación personal del paciente, separados de los de carácter clinicoasistencial, de manera que, como regla general, quede asegurado el anonimato, salvo que el propio paciente haya dado su consentimiento para no separarlos. […]

Art. 16.3

Elaborar los procedimientos que garanticen el acceso legal Ciber

Los centros adoptan las medidas oportunas para garantizar la confidencialidad de los datos de salud y elaboran, cuando proceda, las normas y los procedimientos protocolizados que garanticen el acceso legal a los datos de los pacientes. Es el mandato de tener escrito y aprobado quién puede acceder y en qué condiciones, situado en el capítulo del derecho a la intimidad y no en el de la historia clínica.

Literal de la norma Los centros sanitarios adoptarán las medidas oportunas para garantizar los derechos a que se refiere el apartado anterior, y elaborarán, cuando proceda, las normas y los procedimientos protocolizados que garanticen el acceso legal a los datos de los pacientes.

Art. 7.2

Regular la constancia del acceso a la historia y de su uso Ciber

El procedimiento para que quede constancia del acceso a la historia clínica y de su uso lo regulan las comunidades autónomas, no la ley básica. Es el registro de accesos, el control con el que se detecta y se prueba un acceso indebido, y la ley estatal se limita a ordenar que exista un procedimiento sin fijar qué se registra, cuánto se guarda ni cómo se protege el propio registro. Lo exigible al centro sale de la norma autonómica que desarrolle este artículo.

Literal de la norma Las Comunidades Autónomas regularán el procedimiento para que quede constancia del acceso a la historia clínica y de su uso.

Art. 16.7

Establecer los mecanismos de autenticidad del contenido y los cambios Ciber

Las administraciones sanitarias establecen los mecanismos que garanticen la autenticidad del contenido de la historia clínica, la de los cambios operados en ella y la posibilidad de reproducirla en el futuro. Traducido, integridad verificable y trazabilidad de la modificación, más legibilidad a largo plazo del soporte. La ley pide el resultado y no nombra ningún mecanismo, y el destinatario del deber es la Administración, no el centro.

Literal de la norma Las Administraciones sanitarias establecerán los mecanismos que garanticen la autenticidad del contenido de la historia clínica y de los cambios operados en ella, así como la posibilidad de su reproducción futura.

Art. 14.3

Aprobar las disposiciones de archivo y protección de las historias Ciber

Las comunidades autónomas aprueban las disposiciones necesarias para que los centros puedan adoptar las medidas técnicas y organizativas adecuadas para archivar y proteger las historias clínicas y evitar su destrucción o su pérdida accidental. Es el único punto donde la ley nombra la pérdida y la destrucción accidental como riesgo a evitar, y lo hace remitiendo el desarrollo a la norma autonómica.

Literal de la norma Las Comunidades Autónomas aprobarán las disposiciones necesarias para que los centros sanitarios puedan adoptar las medidas técnicas y organizativas adecuadas para archivar y proteger las historias clínicas y evitar su destrucción o su pérdida accidental.

Art. 14.4

Atender el acceso del paciente y entregar copia Ciber parcial

El paciente accede a la documentación de su historia clínica y obtiene copia de los datos que figuran en ella, con las reservas del apartado 3. Puede ejercerlo por representación debidamente acreditada. Los centros regulan el procedimiento que garantice la observancia de estos derechos.

Literal de la norma El paciente tiene el derecho de acceso, con las reservas señaladas en el apartado 3 de este artículo, a la documentación de la historia clínica y a obtener copia de los datos que figuran en ella. Los centros sanitarios regularán el procedimiento que garantice la observancia de estos derechos.

Art. 18.1 y art. 18.2

Filtrar lo que no puede entregarse Ciber parcial

El acceso del paciente no puede ejercerse en perjuicio del derecho de terceros a la confidencialidad de los datos recogidos en interés terapéutico, ni del derecho de los profesionales a reservar sus anotaciones subjetivas. La historia de un paciente fallecido solo se facilita a las personas vinculadas a él por razones familiares o de hecho, salvo prohibición expresa acreditada del fallecido, y el acceso de un tercero motivado por un riesgo para su salud se limita a los datos pertinentes.

Literal de la norma El derecho al acceso del paciente a la documentación de la historia clínica no puede ejercitarse en perjuicio del derecho de terceras personas a la confidencialidad de los datos que constan en ella recogidos en interés terapéutico del paciente, ni en perjuicio del derecho de los profesionales participantes en su elaboración, los cuales pueden oponer al derecho de acceso la reserva de sus anotaciones subjetivas.

Art. 18.3 y art. 18.4

Copias de seguridad y recuperación Compartida

Un esquema de copias de seguridad orientado a la recuperación: qué se copia, con qué frecuencia y en cuánto tiempo se restaura, verificado mediante pruebas de restauración periódicas.

Art. 14.2, art. 14.4 y art. 17.1 · categorización del curador, no de la norma

Integridad del dato frente a manipulación Compartida

Controles que impiden que el dato se falsifique, se sustraiga, se altere o se elimine sin autorización, y que permiten demostrarlo después: su objetivo es poder acreditar que el dato no ha sido alterado.

Art. 14.3 · art. 17.1, párrafo segundo · categorización del curador, no de la norma

Gestión de identidades y accesos (IAM) Compartida

Un sistema de gestión de identidades y accesos: cada identidad, humana o de máquina, es conocida, se autentica por un punto controlado y pierde el acceso cuando corresponde.

Art. 7.2, art. 16.1, art. 16.2, art. 16.4 y art. 16.5 · categorización del curador, no de la norma

Monitorización y detección Compartida

Capacidad de observar de forma continua lo que ocurre en sistemas, redes y servicios, sostenida como un servicio con responsable y no como una herramienta desatendida.

Art. 16.7 · categorización del curador, no de la norma

Seguridad ligada al personal Compartida

La seguridad dentro del ciclo de vida del empleado: comprobaciones al contratar donde proceda, deberes claros durante la relación y salida ordenada.

Art. 2.7 y art. 16.6 · categorización del curador, no de la norma

Cuerpo normativo de seguridad Compartida

El cuerpo normativo de seguridad: qué se protege, quién decide y contra qué criterios se mide todo lo demás, escrito, comunicado a quien tiene que cumplirlo y vivo.

Art. 7.2 y art. 18.1 · categorización del curador, no de la norma

Centro sanitario

El sujeto obligado principal. Cualquier organización que presta asistencia sanitaria, pública o privada, sin umbral de tamaño, de titularidad ni de soporte: la ley alcanza igual al hospital con historia clínica electrónica y a la clínica que aún guarda carpetas. La misma posición ocupa el servicio sanitario, que la ley define aparte como unidad asistencial con organización propia. Es quien archiva, quien conserva, quien establece los métodos de acceso y quien tiene que sostener la custodia.

Literal de la norma Centro sanitario: el conjunto organizado de profesionales, instalaciones y medios técnicos que realiza actividades y presta servicios para cuidar la salud de los pacientes y usuarios.

Art. 1 y art. 3

Dirección del centro sanitario

Donde la ley coloca la responsabilidad de la custodia cuando el centro tiene pacientes hospitalizados o atiende a un número suficiente de pacientes. No es una mención de estilo: es el único punto de la ley que nombra a un responsable concreto de que las historias clínicas estén guardadas como deben, y convierte la custodia en algo que se responde arriba.

Literal de la norma La custodia de dichas historias clínicas estará bajo la responsabilidad de la dirección del centro sanitario.

Art. 17.4

Unidad de admisión y documentación

La función interna a la que la ley encarga la gestión de la historia clínica en los centros con hospitalización o con volumen asistencial suficiente, con el mandato expreso de integrar las historias en un solo archivo. Un solo archivo es lo que hace posible cualquier control posterior sobre el conjunto: sin él, ni el acceso ni la conservación se pueden demostrar.

Literal de la norma […] se realizará a través de la unidad de admisión y documentación clínica, encargada de integrar en un solo archivo las historias clínicas.

Art. 17.4

Profesional sanitario por cuenta propia

El sanitario que ejerce de manera individual. La ley no le rebaja nada: le atribuye la gestión y la custodia de toda la documentación asistencial que genere, con el mismo deber que a un hospital y sin estructura detrás. Es el caso donde la distancia entre lo que la ley pide y lo que hay montado suele ser mayor.

Literal de la norma Los profesionales sanitarios que desarrollen su actividad de manera individual son responsables de la gestión y de la custodia de la documentación asistencial que generen.

Art. 17.5

Profesional asistencial

Quien diagnostica o trata al paciente en el centro. Su acceso a la historia clínica no es una concesión del centro sino un derecho que la ley le reconoce como instrumento de la asistencia, y por eso el centro tiene que garantizarlo en todo momento. Es también quien responde de cumplimentar la historia en lo que toca a la asistencia directa.

Literal de la norma Los profesionales asistenciales del centro que realizan el diagnóstico o el tratamiento del paciente tienen acceso a la historia clínica de éste como instrumento fundamental para su adecuada asistencia.

Art. 16.1 y art. 15.3

Personal de administración y gestión

El personal no asistencial del centro. La ley le acota el acceso a los datos relacionados con sus propias funciones, que es mínimo privilegio con rango de ley y sobre el colectivo más numeroso de cualquier centro grande.

Literal de la norma El personal de administración y gestión de los centros sanitarios sólo puede acceder a los datos de la historia clínica relacionados con sus propias funciones.

Art. 16.4

Personal sanitario de inspección

El personal sanitario acreditado que inspecciona, evalúa, acredita o planifica. Tiene acceso a las historias clínicas para comprobar la calidad de la asistencia, el respeto de los derechos del paciente y el cumplimiento de las obligaciones del centro. Es una vía de acceso legítima que no pasa por la asistencia y que hay que poder distinguir de las demás.

Literal de la norma El personal sanitario debidamente acreditado que ejerza funciones de inspección, evaluación, acreditación y planificación, tiene acceso a las historias clínicas en el cumplimiento de sus funciones […]

Art. 16.5

Paciente

El titular de los derechos que la ley reconoce sobre su historia clínica: acceder a la documentación, obtener copia de los datos que figuran en ella, ejercerlo por representación acreditada y exigir que el centro tenga montado un mecanismo de custodia activa y diligente. Del lado del centro, cada uno de esos derechos es un procedimiento que hay que atender.

Literal de la norma Paciente: la persona que requiere asistencia sanitaria y está sometida a cuidados profesionales para el mantenimiento o recuperación de su salud.

Art. 3, art. 18 y art. 19

Administración sanitaria

Destinataria del mandato más técnico de la ley: establecer los mecanismos que garanticen la autenticidad del contenido de la historia clínica, la de los cambios operados en ella y la posibilidad de reproducirla en el futuro. El deber es suyo, no del centro, y de cómo lo concrete depende lo que después se le exija al centro.

Literal de la norma Las Administraciones sanitarias establecerán los mecanismos que garanticen la autenticidad del contenido de la historia clínica y de los cambios operados en ella, así como la posibilidad de su reproducción futura.

Art. 14.3

Comunidad autónoma

La ley es legislación básica y deja a las comunidades autónomas dos desarrollos que son los que convierten sus principios en requisitos concretos: las disposiciones para que los centros adopten medidas técnicas y organizativas de archivo y protección, y el procedimiento para que quede constancia del acceso a la historia clínica y de su uso. El registro de accesos, que es el control estrella de cualquier historia clínica electrónica, nace ahí y no aquí.

Literal de la norma Las Comunidades Autónomas regularán el procedimiento para que quede constancia del acceso a la historia clínica y de su uso.

Art. 14.4, art. 16.7 y disp. adicional primera