Incluido en la revista Ocronos. Vol. IX. N.º 11–Noviembre 2026.
Pág. Inicial: Vol. IX; N.º 11: 168
Autor principal (primer firmante): Patricia Fernandez Garcia
Fecha recepción: 18/08/2026
Fecha aceptación: 04/11/2026
Ref.: Ocronos. 2026;9(11): 168
Autor/a:
Patricia Fernández García
Objetivos
El objetivo principal es analizar el marco jurídico que protege la confidencialidad de la información sanitaria en España y determinar cómo se aplica en el trabajo diario de los profesionales que desarrollan su actividad en los centros sanitarios.
En concreto, se pretende explicar el derecho de los pacientes a la intimidad y a la protección de sus datos de salud, las obligaciones que corresponden al personal sanitario y administrativo que tiene acceso a la historia clínica y las posibles consecuencias derivadas de un uso inadecuado o no autorizado de esta información.
Se presta especial atención al personal administrativo y auxiliar, ya que, aunque no participe directamente en el diagnóstico o tratamiento, puede acceder a determinados datos personales y clínicos como consecuencia de sus funciones.
Metodología
Para la elaboración de este análisis se ha realizado una revisión de la normativa española y europea relacionada con la confidencialidad sanitaria, la autonomía del paciente, la historia clínica, la protección de datos personales y la responsabilidad penal.
Se han tomado como referencia principalmente la Ley 14/1986, de 25 de abril, General de Sanidad; la Ley 41/2002, de 14 de noviembre, de autonomía del paciente; el Reglamento General de Protección de Datos; la Ley Orgánica 3/2018, de Protección de Datos Personales y garantía de los derechos digitales, y la Ley Orgánica 10/1995, del Código Penal.
El análisis relaciona estas normas con situaciones que pueden producirse en el trabajo cotidiano de los centros sanitarios, especialmente en la gestión y consulta de historias clínicas y en el tratamiento de información personal de los pacientes.
Desarrollo y resultados
La confidencialidad como derecho del paciente
La información relacionada con la salud pertenece a uno de los ámbitos más privados de la persona. Por este motivo, el ordenamiento jurídico español reconoce expresamente el derecho del paciente a que sus datos sanitarios sean tratados de forma confidencial.
La Ley 41/2002, en su artículo 7, establece que toda persona tiene derecho a que se respete el carácter confidencial de los datos referentes a su salud y a que nadie pueda acceder a ellos sin una autorización amparada por la ley. También obliga a los centros sanitarios a adoptar las medidas necesarias para garantizar este derecho.
La confidencialidad no es, por tanto, una cuestión exclusivamente ética. Es una obligación jurídica que afecta a todas las personas que, por razón de su trabajo, pueden acceder a información sanitaria.
Esto resulta especialmente importante en los centros sanitarios, donde diferentes profesionales necesitan manejar información del paciente para poder desarrollar sus funciones.
La historia clínica y su protección
La historia clínica reúne la documentación relacionada con los procesos asistenciales del paciente. Puede encontrarse en soporte físico o electrónico y debe conservarse de forma que se garantice su seguridad y correcta conservación.
Su finalidad principal es facilitar una asistencia sanitaria adecuada. Sin embargo, que la información se encuentre dentro de la historia clínica no significa que cualquier trabajador del centro pueda consultarla libremente.
La Ley 41/2002 establece distintos límites en función de las funciones desempeñadas.
Los profesionales asistenciales que participan en el diagnóstico o tratamiento pueden acceder a la historia clínica cuando sea necesario para prestar una adecuada asistencia. En cambio, el personal de administración y gestión solo puede acceder a los datos relacionados con las funciones que tiene atribuidas.
Este punto es especialmente importante para el personal administrativo. Tener acceso al sistema informático del centro sanitario no significa tener autorización para consultar cualquier historia clínica.
Por ejemplo, un administrativo puede necesitar determinados datos para gestionar una cita, tramitar documentación o realizar una función administrativa concreta. Eso no justifica que pueda consultar información clínica que no necesita para desarrollar su trabajo.
El deber de secreto afecta a todo el personal que accede a la información
La obligación de confidencialidad no recae únicamente sobre médicos o enfermeros.
El artículo 16.6 de la Ley 41/2002 establece que todo el personal que acceda a los datos de la historia clínica en el ejercicio de sus funciones queda sujeto al deber de secreto.
Esto incluye, entre otros, a profesionales sanitarios, personal administrativo y personal de gestión cuando accedan legítimamente a información clínica.
Esta cuestión es especialmente relevante porque el personal administrativo puede manejar información muy sensible sin participar directamente en la atención sanitaria. Gestionar una cita, tramitar una documentación o trabajar en una unidad de admisión puede implicar conocer datos relacionados con el estado de salud de una persona.
Por ello, la confidencialidad debe formar parte de la práctica diaria: evitar conversaciones sobre pacientes en lugares donde puedan ser escuchadas, no dejar documentación clínica a la vista, proteger las contraseñas y no consultar información que no sea necesaria para realizar las funciones propias del puesto.
Protección de datos y deber de confidencialidad
La protección de la información sanitaria también se encuentra sometida al Reglamento General de Protección de Datos (RGPD) y a la Ley Orgánica 3/2018.
Los datos relativos a la salud reciben una protección especialmente reforzada dentro de la normativa de protección de datos.
El artículo 5 de la Ley Orgánica 3/2018 establece expresamente el deber de confidencialidad de los responsables, encargados y personas que intervengan en cualquier fase del tratamiento de datos. Además, señala que esta obligación complementa los deberes de secreto profesional y que se mantiene incluso después de finalizar la relación con el responsable o encargado del tratamiento.
Esto tiene una consecuencia práctica muy importante: abandonar un puesto de trabajo, cambiar de centro o jubilarse no permite utilizar posteriormente la información conocida durante la actividad profesional.
La obligación de confidencialidad continúa existiendo.
Acceso a la historia clínica: necesidad y finalidad
Uno de los principales riesgos en la protección de la información sanitaria es el acceso por curiosidad.
La historia clínica debe utilizarse para una finalidad concreta y legítima. El acceso está limitado por las funciones que desarrolla cada trabajador y por la finalidad para la que se necesita la información.
Por ejemplo, no estaría justificado que un trabajador utilizara sus credenciales para consultar la historia clínica de un familiar, vecino, conocido o persona famosa simplemente para saber qué enfermedad tiene o qué tratamiento recibe.
La Ley 41/2002 establece que el acceso a los datos y documentos de la historia clínica debe quedar limitado a los fines específicos que justifican dicho acceso. Además, las Comunidades Autónomas deben establecer procedimientos para que quede constancia del acceso y de su uso.
Por ello, el uso de las aplicaciones informáticas sanitarias debe realizarse siempre de acuerdo con las funciones profesionales y con las normas internas de seguridad.
Responsabilidades derivadas de la vulneración de la confidencialidad
El incumplimiento del deber de confidencialidad puede generar diferentes tipos de responsabilidad, dependiendo de la conducta y de sus circunstancias.
En el ámbito laboral o administrativo pueden existir consecuencias disciplinarias cuando un trabajador accede, utiliza o comunica información sanitaria incumpliendo sus obligaciones profesionales.
Además, determinadas conductas pueden tener consecuencias en materia de protección de datos.
En los casos más graves, la conducta puede llegar a tener relevancia penal. El Código Penal, en sus artículos 197 y siguientes, protege la intimidad y castiga determinadas conductas relacionadas con el descubrimiento y revelación de secretos.
Especial importancia tiene el artículo 199.2, que establece que el profesional que, incumpliendo su obligación de sigilo o reserva, divulgue los secretos de otra persona puede ser castigado con pena de prisión, multa e inhabilitación especial para el ejercicio de la profesión.
Esto demuestra que la confidencialidad sanitaria no es una cuestión menor. La utilización indebida de información obtenida por razón del trabajo puede tener consecuencias jurídicas importantes.
La responsabilidad diaria del personal administrativo y auxiliar
La protección de la confidencialidad no depende únicamente de grandes sistemas de seguridad informática. También depende de pequeñas actuaciones que forman parte del trabajo diario.
Entre ellas se encuentran:
- Utilizar únicamente las credenciales personales.
- No compartir contraseñas.
- Acceder únicamente a la información necesaria para realizar las funciones propias.
- Evitar dejar documentos clínicos al alcance de otras personas.
- No comentar información de pacientes en espacios públicos.
- Comprobar la identidad de las personas antes de facilitar información.
- No consultar historias clínicas por curiosidad.
- Comunicar posibles incidentes de seguridad siguiendo los procedimientos establecidos.
Estas medidas son especialmente importantes para el personal administrativo, que en muchos servicios actúa como primer punto de contacto con el paciente y puede manejar información personal durante la gestión de citas, documentación y procedimientos administrativos.
Conclusiones
La confidencialidad sanitaria constituye una garantía esencial del derecho a la intimidad del paciente y una obligación jurídica para todas las personas que acceden a información sanitaria por razón de su trabajo.
La Ley 41/2002 establece claramente que el paciente tiene derecho a la confidencialidad de sus datos de salud y limita el acceso a la historia clínica en función de las necesidades asistenciales o de las funciones concretas de cada trabajador. El personal administrativo y de gestión no queda fuera de esta protección: únicamente puede acceder a los datos relacionados con sus propias funciones y está sometido al deber de secreto.
El RGPD y la Ley Orgánica 3/2018 refuerzan esta protección y establecen un deber de confidencialidad que continúa incluso después de finalizar la relación laboral.
Por su parte, el Código Penal contempla consecuencias especialmente graves cuando determinadas conductas de descubrimiento o revelación de secretos alcanzan relevancia penal.
En definitiva, proteger la información sanitaria no es solamente una obligación de médicos y enfermeros. También forma parte de la responsabilidad profesional del personal administrativo y auxiliar. Cada acceso a una historia clínica, cada documento que se tramita y cada conversación relacionada con un paciente deben realizarse respetando su intimidad.
La confidencialidad no consiste únicamente en guardar un secreto. Consiste en acceder solo a la información necesaria, utilizarla únicamente para la finalidad correspondiente y evitar que llegue a quien no está autorizado para conocerla.
Bibliografía
- Ley 14/1986, de 25 de abril, General de Sanidad. Boletín Oficial del Estado, núm. 102, de 29 de abril de 1986.
- Ley Orgánica 10/1995, de 23 de noviembre, del Código Penal. Boletín Oficial del Estado, núm. 281, de 24 de noviembre de 1995.
- Ley 41/2002, de 14 de noviembre, básica reguladora de la autonomía del paciente y de derechos y obligaciones en materia de información y documentación clínica. Boletín Oficial del Estado, núm. 274, de 15 de noviembre de 2002.
- Reglamento (UE) 2016/679, de 27 de abril de 2016, General de Protección de Datos.
- Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales.
- Agencia Española de Protección de Datos (AEPD). Documentación y criterios sobre protección de datos personales y datos relativos a la salud.
- Boletín Oficial del Estado (BOE). Textos consolidados de la legislación citada.