Registro de accesos a la historia clínica: ¿Qué deben hacer ya los responsables sanitarios tras el criterio de la AEPD?

¿Puede un paciente saber qué empleados han visto su historia clínica? Según el criterio de la AEPD de julio de 2026, sí, como regla general: el derecho de acceso del art. 15 RGPD incluye la identificación de quienes accedieron a los datos de salud, y cualquier excepción debe estar justificada y documentada por el responsable. El registro de accesos deja de ser una buena práctica y se convierte en el requisito que hace posible responder.

El cambio en una frase: la trazabilidad pasa a ser la regla, no la excepción

Durante años, la interpretación del art. 15 RGPD funcionó de un modo cómodo para los centros sanitarios. El derecho de acceso servía para que el paciente supiera si sus datos se trataban y comprobara la licitud del tratamiento, pero no obligaba, con carácter general, a revelar la identidad de las personas físicas que habían consultado esos datos. Bastaba con indicar categorías de destinatarios. Esa lectura se apoyaba en la jurisprudencia del TJUE, en particular en la sentencia de 22 de junio de 2023 (asunto C-579/21).

La resolución de la AEPD de 7 de julio de 2026 no derriba esa doctrina, pero cambia el punto de equilibrio. La Agencia sostiene que la interpretación más conforme con el Derecho de la Unión exige entender que, como regla general, el derecho de acceso ya incluye identificar a las personas que accedieron a los datos de salud. Y da la vuelta a la carga argumental: una exclusión general y automática de esa identidad no encaja, de modo que cualquier limitación tiene que ser excepcional y estar debidamente fundada por el responsable.

Para un hospital, una clínica o una aseguradora de salud, la consecuencia es concreta. Ya no vale responder a una solicitud de acceso con un genérico "sus datos fueron consultados por el servicio de admisión y por el personal médico". Si el paciente lo pide, hay que poder decir quién, cuándo y a qué accedió, salvo que exista una razón excepcional para no hacerlo y esa razón conste por escrito.

De dónde sale este criterio: dos documentos que conviven

La resolución se apoya en dos fuentes que la AEPD articula con cuidado, y conviene entender la diferencia porque marca qué es exigible hoy y qué llega en 2027.

1. La primera es la sentencia del Tribunal Supremo de 24 de junio de 2026 (núm. 789/2026, Sala de lo Contencioso-Administrativo). El Supremo confirma la interpretación tradicional bajo el marco vigente del RGPD: la identificación individual de quienes acceden no es una exigencia general y automática del art. 15, sino algo que se valora según su necesidad y en ponderación con otros derechos. Ahora bien, el propio Supremo abre una puerta importante. Recogiendo el apartado 83 de la sentencia europea C-579/21, señala que ese derecho a conocer a los empleados que consultaron los datos clínicos no se da "si en los protocolos internos del responsable del tratamiento constan las personas que llevaron a cabo las consultas y se constata que lo hicieron conforme a las instrucciones del responsable". Leído a contrario: si esos protocolos no existen o no se puede constatar que la consulta fue conforme a instrucciones, el derecho de acceso a la identidad sí nace.

   
   

   Ese matiz es decisivo y suele pasarse por alto. La protección del centro frente a la obligación de identificar depende de tener protocolos internos que registren accesos y permitan verificar que fueron legítimos. Sin ese registro, el centro se queda sin el argumento que el propio Supremo reconoce.

   
   

2. La segunda pieza es el Reglamento (UE) 2025/327, relativo al Espacio Europeo de Datos de Salud. Su artículo 9 reconoce un derecho autónomo a obtener información sobre cualquier acceso a los datos de salud electrónicos: quién accedió, en qué fecha y hora, y a qué datos concretos. Esa información debe facilitarse de forma gratuita, sin demora y estar disponible durante al menos tres años. El Reglamento entró en vigor en 2025, pero su aplicación general se sitúa a partir del 26 de marzo de 2027. Los Estados podrán prever limitaciones solo en circunstancias excepcionales, cuando la divulgación ponga en peligro derechos o intereses vitales del profesional o la asistencia al paciente.

Lo que hace la AEPD es usar el EHDS como criterio interpretativo antes de que sea exigible. La sentencia del Supremo aplica el presente. El EHDS define el futuro cercano. Y la Agencia proyecta ese futuro sobre la interpretación actual del art. 15 para anticipar, de forma fundada, el estándar que llegará en marzo de 2027. Las dos posiciones no chocan: describen la misma transición hacia un modelo de transparencia reforzada, vista desde dos momentos distintos.

Por qué esto es un asunto de logs antes que de formularios

Aquí está lo importante que conviene subrayar, porque es donde se juega el cumplimiento real. Este criterio no se resuelve con una plantilla de respuesta al derecho de acceso. Se resuelve, o no, en la capa técnica.

Un centro solo puede identificar quién accedió a una historia clínica si su sistema de información sanitaria registra cada acceso con usuario nominal, fecha, hora y recurso consultado, y si esos registros se conservan el tiempo suficiente. El art. 9 EHDS fija ese "suficiente" en un mínimo de tres años. Muchos sistemas registran accesos, pero no todos lo hacen con un registro individualizado por usuario, ni todos conservan los logs de forma que puedan extraerse y entregarse a un paciente en un formato comprensible.

Hay además un efecto colateral que trabaja a favor del centro que lo hace bien. La jurisprudencia penal española lleva años condenando accesos indebidos a historias clínicas por revelación de secretos: el caso de la trabajadora sanitaria que consultó la historia de la nueva pareja de su exmarido (STS 317/2024), o el del médico que accedió reiteradamente sin relación asistencial a historiales de compañeros (STS 532/2015). Un registro de accesos bien diseñado no solo permite responder al derecho de acceso, sino que es la herramienta que detecta y prueba estos accesos indebidos antes de que se conviertan en un problema penal y reputacional.

Qué hacer ya: hoja de ruta para responsables sanitarios en España

No hay que esperar a marzo de 2027. El criterio de la AEPD es aplicable en la interpretación actual del art. 15, y una solicitud de acceso puede llegar mañana. Esto es lo que recomendamos abordar por orden de prioridad.

• Revisar si el sistema registra accesos con identificación nominal. La pregunta de partida no es jurídica sino técnica: ¿el historial clínico electrónico guarda quién accede a cada registro, con usuario individual y no con cuentas compartidas? Las cuentas genéricas de servicio son el primer punto de fallo. Si un mostrador entero comparte un login, la trazabilidad se rompe y el centro pierde la protección que el Supremo vincula a los protocolos internos.

• Fijar y documentar un periodo de conservación de logs. El estándar del EHDS son tres años como mínimo. Conviene alinearse con esa cifra ya, documentando la decisión en el registro de actividades de tratamiento y en la política de conservación, para no tener que rehacerlo en 2027.

• Preparar un procedimiento de respuesta que contemple la identificación. El protocolo de ejercicio de derechos debe prever el escenario nuevo: cuando un paciente pide saber quién accedió, la respuesta por defecto es identificar, y la negativa es la excepción que hay que motivar. Definir de antemano qué supuestos justifican una limitación (por ejemplo, riesgo para un profesional) evita improvisar bajo presión.

• Documentar cada limitación como excepción motivada. Si en un caso concreto el centro decide no identificar a una persona, esa decisión tiene que constar por escrito, con la base jurídica y la ponderación realizada. La carga de justificar recae en el responsable, sin documentación, la limitación es indefendible ante la AEPD.

• Auditar los accesos de forma proactiva. El mismo registro que sirve para responder al paciente sirve para detectar patrones anómalos: accesos fuera de la relación asistencial, consultas a historiales de personas conocidas del profesional, picos injustificados. Convertir el log en una herramienta de supervisión activa reduce el riesgo penal y demuestra diligencia ante la Agencia.

La comparativa: España frente a Andorra

Aquí es donde el análisis de doble jurisdicción aporta algo que no se encuentra fácilmente en otro sitio, y conviene ser honesto sobre las asimetrías en lugar de forzar un paralelismo.

En España, el motor del cambio es europeo. El EHDS es un Reglamento de la UE, de aplicación directa, y la AEPD ya lo está usando como criterio interpretativo. El calendario está fijado: el estándar reforzado de trazabilidad será plenamente exigible el 26 de marzo de 2027.

En Andorra, el marco es la LQPD, la Llei 29/2021 qualificada de protecció de dades personals, que reconoce el derecho de acceso del interesado en línea con el modelo del RGPD y obliga al responsable a establecer protocolos efectivos para el ejercicio de derechos. La diferencia sustancial es que el EHDS no vincula al Principado: Andorra es un tercer país a efectos del Derecho de la Unión, con decisión de adecuación pero fuera del ámbito de aplicación directa de los reglamentos europeos. No existe, por tanto, en el ordenamiento andorrano un equivalente al art. 9 EHDS ni un derecho autónomo y específico a la trazabilidad de accesos a datos de salud electrónicos con el mismo detalle.

Esto no significa que un responsable sanitario andorrano pueda desentenderse. El derecho de acceso de la LQPD ya obliga a atender solicitudes sobre el tratamiento de datos de salud, que son categoría especial, y la lógica de proteger la confidencialidad del historial clínico es idéntica, en Andorra se refuerza además con la Llei 20/2017 de drets i deures dels usuaris del sistema sanitari. Lo que hoy no existe es la obligación específica de identificar nominalmente cada acceso con el estándar del EHDS.

Para un grupo con actividad en ambas jurisdicciones, la recomendación práctica es converger hacia el estándar más exigente. Diseñar los sistemas de registro de accesos con granularidad nominal y conservación de tres años en todas las sedes evita mantener dos arquitecturas distintas y deja al grupo preparado tanto para el EHDS en España como para una eventual evolución del marco andorrano en la misma dirección. La transparencia sobre los accesos es la tendencia de fondo en todo el entorno europeo, y anticiparla es más barato que reaccionar.

Preguntas frecuentes

¿Puede un paciente exigir que le digan qué empleados concretos vieron su historia clínica? Según el criterio de la AEPD de julio de 2026, sí como regla general. El derecho de acceso del art. 15 RGPD incluye identificar a quienes accedieron a los datos de salud, y una negativa general y automática no es conforme. El responsable solo puede limitar esa identificación en casos excepcionales y justificados.

¿Esto es obligatorio ya o solo a partir de 2027? El derecho autónomo del art. 9 del Reglamento del EHDS será plenamente exigible el 26 de marzo de 2027. Pero la AEPD ya aplica ese estándar como criterio interpretativo del art. 15 RGPD, que está vigente. En la práctica, una solicitud de acceso presentada hoy debe atenderse conforme a este criterio.

¿Qué necesita un centro sanitario para cumplir? Un registro de accesos con identificación nominal de cada usuario, fecha, hora y recurso consultado, conservado un mínimo de tres años, más un procedimiento de respuesta al derecho de acceso que identifique por defecto y trate la limitación como excepción motivada y documentada.

¿Qué pasa si el centro no identifica al empleado que accedió? Si no existe una razón excepcional documentada, la negativa no es conforme al criterio de la AEPD y expone al responsable a una reclamación. Además, si el acceso fue indebido, la falta de registro dificulta detectarlo, y la jurisprudencia penal española ha condenado accesos no autorizados a historiales por revelación de secretos.

¿Aplica lo mismo en Andorra? No exactamente. La LQPD andorrana (Llei 29/2021) reconoce el derecho de acceso, pero el Reglamento del EHDS no vincula a Andorra, de modo que no existe todavía un derecho específico a la trazabilidad de accesos con el estándar del art. 9. Aun así, un responsable andorrano debe atender el derecho de acceso sobre datos de salud, y a un grupo con sedes en ambos países le conviene converger hacia el estándar español más exigente.