Incluido en la revista Ocronos. Vol. IX. N.º 11–Noviembre 2026.
Pág. Inicial: Vol. IX; N.º 11: 46
Autor principal (primer firmante): Roxana Cirac Collados
Fecha recepción: 05/10/2026
Fecha aceptación: 01/11/2026
Ref.: Ocronos. 2026;9(11): 46
Autores:
- Roxana Cirac Collados
- Nuria de la Hoya Millán
- Natalia Ruiz Oro
- Maria del Rosario Zapater Piracés
- Ionela Samson
- Maria Cristina Zapater Piracés
Categoría profesional: Tota staff.
Resumen
Los datos de salud en España están sometidos a un régimen de confidencialidad muy fuerte, pero esta protección no quiere decir que no puedan comunicarse a las Fuerzas y Cuerpos de Seguridad del Estado cuando exista una habilitación legal suficiente. La dificultad en la práctica para el personal administrativo consiste en determinar qué solicitudes son legítimas, qué información entregar y quién debe autorizarlo. La presencia de agentes en un centro sanitario, incluso durante una investigación, no da permiso automático a un acceso general a la historia clínica, sino que cada petición debe responder a una finalidad concreta, ser necesaria, proporcionada y quedar documentada. El personal administrativo sanitario es quien frecuentemente recibe la solicitud y localiza la documentación, aunque no debería decidir por sí solo sobre su entrega. Aclaremos pues en este artículo el marco jurídico con criterios aplicables.
Palabras clave: datos de salud; historia clínica; Fuerzas y Cuerpos de Seguridad; España; confidencialidad; protección de datos; administrativos; requerimiento policial; autoridad judicial; trazabilidad; secreto profesional; documentación; cesión de datos.
Introducción
La colaboración entre centros sanitarios y autoridades policiales es necesaria en investigaciones penales, desapariciones, accidentes, identificación de personas o situaciones de riesgo, siendo este punto algo en lo que consideramos que todos estamos de acuerdo. Pero colaborar no implica abrir sin límites la historia clínica o facilitar información por el mero hecho de que la solicite un agente porque los datos sanitarios forman parte de la esfera más íntima del paciente y cualquier comunicación debe apoyarse en una finalidad legal y definida. El personal administrativo suele encontrarse en la primera línea de estas solicitudes y necesita distinguir entre confirmar un dato identificativo, comunicar una circunstancia asistencial concreta y entregar documentación clínica, actuaciones con exigencias jurídicas muy diferentes.
Datos sanitarios, intimidad y deber de reserva
La historia clínica recoge información sobre diagnósticos, tratamientos, pruebas, antecedentes, hábitos, intervenciones y evolución del paciente, así como datos identificativos y administrativos, pero la presencia de estos últimos no convierte el conjunto documental en un expediente libre para consulta pues la información sobre la salud pertenece a las categorías especiales de datos y recibe una protección más intensa por su capacidad para revelar temas íntimos de la persona.
La legislación española reconoce el derecho de toda persona a que se respete la confidencialidad de sus datos de salud y a que nadie acceda a ellos sin una autorización basada en el ordenamiento jurídico. Esta obligación nos afecta a médicos, Enfermería, técnicos, personal de gestión, trabajadores externos y cualquier otra persona que intervenga en su elaboración, custodia o tratamiento. Es más, el deber de reserva no desaparece al finalizar la relación laboral o después del fallecimiento del paciente.
Para el administrativo sanitario existe una regla sencilla: disponer de credenciales para consultar una aplicación no equivale a estar autorizado para ver toda la información que contiene. El acceso solo será legítimo cuando sea necesario para desarrollar las funciones asignadas. De este modo, puede ser razonable comprobar la identidad del paciente, una cita o un ingreso mientras que la lectura de diagnósticos o informes clínicos puede quedar fuera de sus competencias.
Puede la policía acceder directamente a la historia clínica
Las Fuerzas y Cuerpos de Seguridad no tienen acceso general, permanente o indiscriminado a las historias clínicas, siendo este el punto clave de este artículo. Tampoco basta la identificación profesional del agente para que el centro sanitario le entregue cualquier información que nos pida, porque la comunicación debe responder a una investigación o actuación concreta con las condiciones exigidas por la normativa.
Conviene diferenciar entre acceso y comunicación. Por lo normal, los agentes no entran en el sistema de historia clínica ni consultan personalmente los registros, sino que lo que se produce es una solicitud dirigida al centro, que analiza su fundamento y, si procede, entonces sí que facilita una respuesta limitada. La custodia de la historia es del centro sanitario, que mantiene su responsabilidad sobre la documentación incluso cuando debe colaborar con la autoridad.
Cuando existe un requerimiento judicial, el margen de decisión del centro es más reducido, pero sigue siendo necesario cumplirlo. Debe entregarse lo que se haya solicitado, evitando remitir por rutina la historia completa si el requerimiento se limita a un informe, una fecha de atención o un resultado determinado. Si el alcance no resulta claro, debemos trasladar la duda al órgano competente o al servicio jurídico antes de proceder a la comunicación.
Las solicitudes policiales no acompañadas de una resolución judicial pueden contar también con habilitación legal, como pueden ser casos cuando se relacionan con la prevención, detección o investigación de infracciones penales. Ahora bien, esto no convierte cualquier petición verbal en suficiente, la solicitud debe dar la posibilidad de identificar al solicitante, la finalidad, el expediente o actuación policial relacionada, la persona afectada y los datos concretos requeridos. Además, hay que valorar su necesidad y proporcionalidad.
La importancia del requerimiento escrito y motivado
Como criterio ordinario, la petición se tendría que presentar por escrito y a través de un canal institucional que sea verificable. En esta petición constarán la identidad y unidad del solicitante, la actuación de contexto para la solicitud de información, el fundamento de la petición, los datos que se solicitan y el destinatario de la respuesta. Esta formalización al final tiene como objetivo la seguridad del paciente, del centro y de los propios agentes.
Las solicitudes genéricas son un riesgo evidente porque no es lo mismo preguntar si una persona fue atendida en urgencias que pedir sus diagnósticos, pruebas, tratamientos o antecedentes completos. Cada nivel de información se relaciona con una justificación al nivel de su contenido. Cuando los datos solicitados parecen excesivos para la finalidad expresada, debe pedirse que se concrete la petición o derivarla al responsable designado por el centro.
La urgencia puede modificar el circuito, pero sin eliminar la necesidad de justificar la comunicación. En una situación de peligro grave e inmediato, desaparición con riesgo para la vida, imposibilidad de identificar a una persona o amenaza confirmada para terceros, puede ser necesario actuar con rapidez. Pero incluso entonces conviene verificar la identidad del solicitante, comunicar solo lo indispensable y registrar siempre las circunstancias que nos impidieron seguir el procedimiento habitual.
Una llamada telefónica debe conllevar precauciones adicionales porque en el teléfono no siempre podemos comprobar que quien llama pertenece a una unidad policial. Por ello, no deberíamos facilitar datos clínicos sensibles durante una llamada inesperada, y en ese caso la petición puede reconducirse hacia los canales oficiales, salvo que concurra una emergencia real gestionada mediante el protocolo que tenga el centro.
Datos identificativos y datos clínicos
No toda la información que gestiona un centro sanitario tiene el mismo grado de importancia. El nombre, el domicilio, el teléfono, la fecha de nacimiento o el hecho de haber sido atendido son datos personales, y su comunicación también necesita de base jurídica, pero revelar un diagnóstico, medicación o el resultado de una prueba es entrar claramente en los datos de salud.
Esta distinción es útil para aplicar el principio de minimización, porque si una investigación nos solicita conocer la hora de entrada o salida de un paciente, no existe motivo para añadir su informe de alta. O por ejemplo si se trata de identificar a una persona inconsciente, con algunos datos identificativos cumpliríamos. Si el objeto es esclarecer una posible agresión, resultaría necesaria la información asistencial específica de dicha agresión, pero no todos los antecedentes acumulados durante años.
La historia clínica completa solo debería entregarse cuando el alcance de la investigación lo justifique y la autoridad competente lo solicite de manera suficientemente precisa, y esta situación es realmente excepcional. La costumbre de enviar “todo el expediente para evitar problemas” es incompatible con la protección reforzada de estos datos. Dar más información de la necesaria no representa una colaboración mejor, sino una comunicación excesiva y un trabajo mal realizado.
Funciones del personal administrativo
El administrativo suele recibir oficios, registrar solicitudes, comprobar identidades, localizar episodios o preparar documentación, pero estas tareas no implican que deba asumir una decisión jurídica individual sobre la procedencia de la entrega. Los centros necesitan establecer quién autoriza la comunicación, por ejemplo, la dirección, la unidad de documentación clínica, el servicio jurídico, el responsable del tratamiento o el delegado de protección de datos.
Ante una solicitud presencial, la actuación inicial consiste en comprobar la acreditación del agente y recoger el documento oficial. Si la solicitud llega por correo electrónico, revisaremos el dominio, la firma y el canal empleado. Las direcciones personales, los mensajes reenviados o las fotografías de oficios recibidas por canales informales no ofrecen garantías para una documentación tan sensible.
Después debe registrarse la entrada, conservarse el requerimiento y remitirlo a la unidad competente. El administrativo no debería abrir apartados clínicos que no necesita para tramitar la petición. Una vez autorizada la comunicación, prepara únicamente la documentación indicada y emplea el medio seguro previsto. Recomendamos dejar constancia del contenido enviado, fecha, destinatario, persona que autorizó la entrega y el canal utilizado.
Cuando un agente solicita información verbal en un mostrador, tampoco hay que responder de manera improvisada. Puede explicarse con naturalidad que el centro dispone de un procedimiento para proteger la confidencialidad y atender correctamente las peticiones oficiales, ya que remitir al circuito habilitado no supone obstaculizar la investigación, sino asegurar que la colaboración sea según procedimiento.
Solicitudes judiciales, atestados y situaciones especiales
Las peticiones procedentes de jueces y tribunales requieren una atención correcta y profesional. La legislación admite el acceso a la historia clínica con fines judiciales y, cuando la investigación lo haga imprescindible, puede autorizar la unión de los datos identificativos con la información asistencial mientras el centro debe respetar el alcance exacto del mandamiento y las condiciones de entrega establecidas.
El número de atestado o diligencias policiales sirve para contextualizar una solicitud, pero su mención no resuelve automáticamente si toda la información pedida es necesaria. La unidad encargada del centro deberá comprobar la relación entre la finalidad y los datos solicitados. En investigaciones penales, la normativa aplicable a las autoridades policiales incluye principios de legalidad, necesidad, exactitud, seguridad y tratamiento reforzado de las categorías especiales de datos.
Los casos relacionados con menores, violencia, posibles delitos contra la libertad, fallecimientos sometidos a investigación judicial o pacientes sin identificar son algo distintos porque en ellos pueden existir obligaciones de notificación, protección de personas vulnerables, conservación de pruebas o intervención del juzgado de guardia. El administrativo debe activar el protocolo correspondiente sin intentar resolver por intuición un conflicto que puede tener consecuencias procesales.
También diferenciaremos la entrega de documentación de otras peticiones frecuentes, como objetos personales, imágenes de videovigilancia, identificación de acompañantes o datos de trabajadores, ya que cada categoría tiene su propio marco y no debe incorporarse automáticamente a la respuesta por encontrarse relacionada con el mismo episodio.
Trazabilidad, custodia y seguridad en la entrega
Las historias clínicas electrónicas registran habitualmente la identidad del usuario que consulta la información, el momento del acceso y las operaciones realizadas, lo que facilita la investigación de consultas indebidas y recuerda que cada entrada en el sistema debe corresponder a una tarea profesional real. Acceder por curiosidad a la historia de una persona investigada, conocida o mediática es una conducta injustificada, incluso aunque exista una solicitud policial en tramitación.
La documentación destinada a las autoridades debe enviarse mediante mecanismos seguros, por ejemplo, un correo electrónico ordinario, una USB aportada por una persona desconocida o una impresión entregada sin “recibí” pueden generar la pérdida de control de la información. El canal elegido debe acreditar quién recibe la información y mantener su confidencialidad e integridad.
También deben evitarse copias adicionales innecesarias, y es que los borradores, impresiones fallidas y archivos guardados temporalmente en equipos locales también contienen datos protegidos. Tras completar la comunicación, el expediente administrativo debe conservar la evidencia necesaria para demostrar que se ha cumplido el procedimiento.
Dudas, negativas y responsabilidad profesional
No toda solicitud debe ser rechazada por carecer inicialmente de una orden judicial, pero tampoco toda petición policial debe atenderse de inmediato. Entre ambos extremos se encuentra la revisión de la habilitación legal, la finalidad, la proporcionalidad y el procedimiento interno. Si faltan datos o la petición es demasiado amplia, puede solicitarse su corrección.
El administrativo no debe enfrentarse solo a estas dudas, ya que la consulta al responsable de documentación clínica, al delegado de protección de datos o al servicio jurídico es una medida profesional que debe ser accesible de manera sencilla. También lo es dejar constancia de las incidencias, en lugar de resolverlas mediante acuerdos verbales que no podremos acreditar posteriormente.
Una comunicación errónea puede originar consecuencias disciplinarias y de protección de datos, además de responsabilidad civil o penal en situaciones graves. Del mismo modo, una negativa injustificada a colaborar con una autoridad puede generar problemas legales. La mejor prevención consiste en disponer de protocolos, formación y responsables accesibles para consultas urgentes.
Conclusiones
Las Fuerzas y Cuerpos de Seguridad del Estado pueden obtener datos sanitarios cuando una norma habilita la comunicación y la información es necesaria para una actuación concreta pero su condición de autoridad no da acceso indiscriminado a la historia clínica. El centro debe comprobar la identidad del solicitante, finalidad, alcance y proporcionalidad de la petición, entregando únicamente los datos imprescindibles y dejando constancia del proceso. Para el administrativo, la conducta más segura consiste en recibir y registrar el requerimiento, evitar consultas innecesarias y trasladar la decisión a la unidad autorizada. Los protocolos escritos, los canales seguros y la trazabilidad protegen al paciente, pero también a nosotros. Confidencialidad y cooperación no son opuestos, siempre que cada comunicación esté justificada.
Bibliografía
- https://www.boe.es/buscar/act.php?id=BOE-A-2002-22 188
- https://www.boe.es/buscar/act.php?id=BOE-A-2018-16 673
- https://www.boe.es/buscar/act.php?id=BOE-A-2021-88 06
- https://www.boe.es/buscar/act.php?id=BOE-A-1995-25 444
- https://www.boe.es/buscar/act.php?id=BOE-A-1986-10 499
- https://www.boe.es/buscar/act.php?id=BOE-A-1986-96 64
- https://www.boe.es/buscar/act.php?id=BOE-A-1999-21 568
- https://www.aepd.es/guias/guia-profesionales-secto r-sanitario.pdf
- https://www.aepd.es/guias/guia-pacientes-usuarios- sanidad.pdf
- https://www.aepd.es/areas-de-actuacion/salud/guias -informes-del-gabinete-juridico-y-consultas-de-del egados-de-pd-sobre-salud
- https://www.aepd.es/preguntas-frecuentes/16-salud/ 1-usuarios-sanidad/FAQ-1625-puede-acceder-a-mis-da tos-cualquier-medico-o-personal-sanitario
- https://www.aepd.es/informes-y-resoluciones/criter ios-juridicos-aepd/acceso-informacion-de-trazabili dad-datos-de-salud-en-relacion-reglamento-ehds
- https://eur-lex.europa.eu/legal-content/ES/TXT/?ur i=CELEX:02016R0679-20160504
- https://eur-lex.europa.eu/legal-content/ES/TXT/?ur i=CELEX:32016L0680
- https://www.coe.int/en/web/conventions/full-list?m odule=treaty-detail&treatynum=108
- https://www.edpb.europa.eu/sme-data-protection-gui de/process-personal-data-lawfully_en