Datos de un paciente expuestos en internet

Si un informe médico aparece en una página pública, avise cuanto antes al centro y solicite que cierre el acceso, preserve los registros del incidente y explique qué datos han quedado expuestos. Guarde una prueba proporcionada del hallazgo antes de la retirada. Compartir el enlace en redes para denunciarlo puede aumentar la difusión de información que después resultará difícil recuperar.

Los datos de salud son categorías especialmente protegidas. El centro puede tratarlos legítimamente para prestar asistencia, pero eso no autoriza su publicación ni el acceso indiscriminado del personal. El RGPD y la Ley 41/2002 obligan a proteger la confidencialidad y limitar el uso de la historia clínica a las finalidades y accesos permitidos. 1 2

Distinguir publicación, acceso indebido y filtración

Un buscador puede mostrar un informe alojado en un servidor del hospital, una persona puede haber subido una copia o una cuenta de paciente puede permitir ver documentos ajenos. También puede existir acceso interno injustificado sin publicación en internet. La respuesta cambia según el origen.

Anote qué ha visto realmente. Que aparezca el nombre de un archivo no prueba que su contenido sea accesible; que el buscador deje de mostrarlo tampoco acredita que el servidor haya cerrado el documento. Compruebe estas diferencias con ayuda técnica si es necesario, evitando explorar historiales de terceros o descargar bases completas para demostrar la vulnerabilidad.

La asistencia sanitaria no exige basar todos los tratamientos en el consentimiento de protección de datos: pueden existir habilitaciones legales y la excepción sanitaria del artículo 9.2.h del RGPD. Sin embargo, esa cobertura no legitima cualquier uso secundario ni convertir un caso clínico identificable en publicidad. 1

Comunicar el incidente con información suficiente

Dirija un escrito al responsable del centro y a su delegado de protección de datos, si existe. Los centros sanitarios obligados a mantener historias clínicas deben designarlo conforme a la LOPDGDD, con la excepción legal de profesionales de la salud que ejercen individualmente. La AEPD dispone de información para localizar estos contactos. 3 4

Incluya URL exacta, fecha y hora, documento afectado y cómo se encontró, sin adjuntar innecesariamente todo el historial. Pida confirmación de recepción y un canal seguro para aportar pruebas. Solicite medidas concretas: restringir acceso, corregir permisos, retirar copias públicas y conservar registros que permitan investigar lo sucedido.

Pida también información sobre categorías de datos, periodo de exposición, destinatarios conocidos y medidas para reducir riesgos. No siempre podrán conocerse todas las descargas, pero una respuesta que confunda ausencia de registros con ausencia de accesos merece aclaración.

Qué plazos tiene el centro

Si la brecha puede entrañar riesgo para los derechos y libertades, el responsable debe notificarla a la autoridad de control sin dilación indebida y, de ser posible, dentro de las setenta y dos horas desde que tenga constancia. Si es improbable ese riesgo, puede operar la excepción; la valoración y el incidente deben documentarse. No son setenta y dos horas hábiles ni un permiso para mantener abierto el documento. 1

Si existe alto riesgo, el artículo 34 exige comunicar la brecha a las personas afectadas sin dilación indebida, salvo las excepciones aplicables. La sensibilidad de la información, su alcance, la identificación del paciente y las medidas eficaces de protección importan en esa valoración.

Una solicitud formal de derechos tiene, como regla general, respuesta en un mes desde su recepción, con posible ampliación motivada en los términos del artículo 12. La contención urgente de una publicación no debe confundirse con ese plazo administrativo de respuesta. 1

Retirada y conservación de la historia son compatibles

Puede solicitarse eliminar la copia pública, corregir datos inexactos o limitar un tratamiento sin exigir la destrucción de toda la documentación asistencial. La Ley 41/2002 impone conservarla durante el tiempo adecuado y, como mínimo estatal general, cinco años desde el alta de cada proceso asistencial; existen reglas especiales y normas autonómicas que pueden exigir conservación superior. 2

Si aparecen resultados de búsqueda, cabe valorar la desindexación correspondiente, además de actuar frente al origen. Si un tercero publica el documento, habrá que identificar el alojamiento y la vía de reclamación apropiada. El Canal Prioritario de la AEPD tiene un objeto específico para ciertos contenidos sexuales o violentos de grave riesgo; no es un cauce urgente universal para cualquier dato sanitario. 6

Reclamar y acreditar consecuencias reales

La reclamación ante la autoridad de protección de datos puede investigar el tratamiento y promover medidas correctoras. No sustituye la reclamación indemnizatoria. Para esta última, el artículo 82 exige infracción, daño material o moral y relación causal; la mera existencia de una infracción no determina una cantidad automática. 1

En C-340/21, de 14 de diciembre de 2023, el TJUE admitió que el temor a un uso indebido de los datos puede constituir daño moral. Corresponde apreciar si ese temor existe y está fundado en las circunstancias, no suponerlo de manera idéntica para todos los afectados. La síntesis aquí utilizada procede del comunicado oficial. 5

Conserve comunicaciones de terceros que conocieron el diagnóstico, cambios de conducta explicables, gastos necesarios y asistencia profesional relacionada, si la hubo. No es obligatorio que toda afectación emocional produzca un diagnóstico médico, pero una reclamación concreta resulta más sólida que una cifra elegida sin explicación. Si hay amenazas, chantaje o accesos deliberados, valore además la vía penal pertinente.

Ejemplo ficticio

Una paciente encuentra indexado un informe de fertilidad. Guarda una captura limitada, URL y fecha, y avisa al centro. Este bloquea el archivo, revisa permisos y solicita actualizar la caché. La paciente conserva mensajes de una persona que llegó a leerlo. La investigación de seguridad y la posible reclamación por el perjuicio sufrido siguen siendo relevantes aunque el enlace deje de funcionar.

Preguntas frecuentes

¿Puedo exigir saber qué profesionales consultaron mi historia? Puede solicitar información sobre los accesos y su justificación. El alcance de los datos identificativos entregables debe valorarse conforme al régimen aplicable y a los derechos de terceros; no toda petición concede automáticamente un listado nominal completo.

¿Si el documento estaba sin contraseña tengo la culpa por encontrarlo? Encontrar accidentalmente una exposición no convierte en lícita su publicación. Conviene limitarse a documentar lo necesario y comunicarla, sin ampliar accesos ni difundir información ajena.

¿La multa al hospital me corresponde a mí? No. La potestad sancionadora o las medidas de control y la reparación individual cumplen funciones distintas. Para pedir una indemnización hay que utilizar la vía correspondiente y justificar sus requisitos.