La reciente sentencia del Tribunal Supremo (STS 789/2026) ha fijado un criterio de gran relevancia para el ámbito sanitario y la protección de datos: los pacientes no tienen derecho, con carácter general, a conocer la identidad de los médicos y profesionales sanitarios que han accedido a su historia clínica, siempre que dichos accesos se hayan producido dentro de la organización sanitaria, por personal autorizado y en el ejercicio de sus funciones.
Lejos de interpretarse como una reducción de los derechos del paciente, esta resolución pone el foco en una cuestión todavía más importante: la necesidad de que las organizaciones sanitarias puedan demostrar que todos los accesos han sido legítimos, autorizados, trazables y auditables.
Y precisamente ahí es donde cobra especial importancia la auditoría de la receta médica electrónica privada homologada por el Consejo General de Colegios Oficiales de Médicos (CGCOM).
La clave ya no es revelar quién accedió, sino demostrar que el acceso fue correcto
El Tribunal Supremo confirma que los profesionales sanitarios que acceden a la historia clínica para prestar asistencia no son «destinatarios» de los datos personales en el sentido del RGPD, sino personal autorizado que actúa bajo la autoridad del responsable del tratamiento. Solo en situaciones excepcionales, cuando resulte imprescindible para la defensa de derechos, podría llegar a conocerse la identidad concreta del profesional.
Esto implica que los centros sanitarios deben ser capaces de acreditar, entre otros aspectos:
- que únicamente accede personal autorizado;
- que existen perfiles y permisos correctamente definidos;
- que cada acceso queda registrado;
- que existe una finalidad asistencial legítima;
- que los registros no pueden ser alterados;
- que pueden reconstruirse los hechos ante una inspección, reclamación o procedimiento judicial.
En otras palabras, la carga de la prueba recae cada vez más sobre la organización sanitaria.
La homologación del CGCOM exige precisamente ese nivel de control
La homologación de los sistemas de receta médica electrónica privada promovida por el CGCOM no se limita a validar la emisión electrónica de recetas.
Durante la auditoría se evalúan numerosos aspectos relacionados con la seguridad y la trazabilidad del sistema, entre ellos:
- autenticación robusta del facultativo;
- gestión de identidades y permisos;
- control de accesos;
- registros de auditoría;
- integridad de la información;
- conservación de evidencias;
- trazabilidad completa de la prescripción;
- cumplimiento del RGPD y de la normativa sanitaria.
Estos controles permiten demostrar que el sistema mantiene un adecuado gobierno sobre toda la información clínica utilizada durante el proceso de prescripción.
La trazabilidad se convierte en un elemento probatorio
Cada vez es más frecuente que hospitales, clínicas y desarrolladores deban responder ante:
- inspecciones de protección de datos;
- reclamaciones de pacientes;
- investigaciones internas;
- procedimientos judiciales;
- incidentes de ciberseguridad.
En todos estos escenarios resulta imprescindible disponer de evidencias técnicas fiables.
No basta con afirmar que únicamente accedió personal autorizado.
Es necesario poder demostrarlo mediante:
- registros de auditoría completos;
- evidencias de autenticación;
- trazabilidad temporal;
- controles de integridad;
- políticas de acceso documentadas;
- procedimientos de supervisión periódica.
La propia sentencia del Tribunal Supremo parte de la premisa de que la organización sanitaria dispone de mecanismos suficientes para acreditar que todos los accesos se realizaron conforme a la normativa.
Un mensaje claro para fabricantes y organizaciones sanitarias
Esta resolución judicial constituye también un mensaje para los desarrolladores de software sanitario.
Las plataformas de historia clínica y receta electrónica deben diseñarse bajo principios de:
- seguridad desde el diseño;
- mínimo privilegio;
- segregación de funciones;
- trazabilidad completa;
- auditoría continua;
- conservación de evidencias.
No se trata únicamente de cumplir el RGPD.
Se trata de disponer de un sistema capaz de soportar una revisión técnica, una auditoría de homologación o incluso un procedimiento judicial.
Conclusión
La sentencia del Tribunal Supremo no reduce las exigencias sobre los sistemas de información sanitaria; al contrario, incrementa la importancia de disponer de mecanismos sólidos de control y auditoría.
Si el paciente no puede conocer de forma general la identidad del profesional que consultó su historia clínica, la organización sanitaria debe estar en condiciones de demostrar que dicho acceso fue legítimo, autorizado y conforme a la normativa.
Precisamente ese es uno de los objetivos de la auditoría de homologación de receta médica electrónica privada del CGCOM: verificar que el sistema incorpora los controles técnicos, organizativos y probatorios necesarios para garantizar la seguridad, la trazabilidad y la confianza en el proceso de prescripción electrónica.
En un contexto en el que la protección de los datos sanitarios adquiere cada vez mayor relevancia, la auditoría deja de ser un mero requisito de homologación para convertirse en una herramienta esencial de seguridad jurídica y de confianza para pacientes, profesionales sanitarios y desarrolladores de software.
Somo los principales auditores de receta médica privada electrónica, contacte con nosotros en este formulario y estaremos encantados de atenderle.
