Blog · 17 de julio de 2026

Auditoría de accesos a historias clínicas: lo que puede pedir la AEPD

Si la Agencia Española de Protección de Datos (AEPD) inspecciona una clínica, una de las primeras preguntas es sencilla y directa: ¿puedes decirme quién ha accedido a la historia clínica de este paciente, y cuándo? Muchas clínicas no pueden responder con precisión — y esa es la brecha que más suele señalarse.

Por qué importa

Las historias clínicas contienen datos de salud, una de las categorías especialmente protegidas por el RGPD. El principio de “minimización de acceso” no es solo que el personal no autorizado no pueda entrar: es que quede constancia de quién sí ha entrado, para poder detectar y demostrar un uso indebido si llega a ocurrir.

Qué pide realmente una auditoría de accesos

No hace falta un sistema complejo — hace falta que el software de gestión registre, para cada historia clínica:

• Quién accedió (usuario, no un genérico “recepción”).
• Cuándo (fecha y hora).
• Qué se consultó o modificó.

Y que ese registro sea consultable con facilidad, no algo que haya que reconstruir a mano a partir de logs técnicos que solo entiende un informático.

El error más común

El fallo más habitual no es la falta de intención, es el acceso compartido: varias personas usando la misma cuenta de “recepción” o “consulta 2” para entrar al sistema. Sin usuarios individuales, el registro de accesos no sirve de nada — no se puede saber quién fue quién.

Qué hace NuvaClin con esto

Cada usuario de NuvaClin tiene su propia cuenta, y el sistema registra automáticamente los accesos a cada historia clínica: quién, cuándo y qué se consultó. Es exactamente lo que hace falta para responder con seguridad a una auditoría, sin tener que montar nada aparte. Si quieres repasar el resto de puntos RGPD que suelen mirarse en una clínica, tenemos una checklist descargable gratis.