RGPD e IANUS: ¿Cómo se auditan los accesos a la historia clínica en el SERGAS?
1. El deber de confidencialidad y el principio de "necesidad de conocer"
La Ley 41/2002, de 14 de noviembre, básica reguladora de la autonomía del paciente, y el Reglamento General de Protección de Datos (RGPD) amparan el derecho a la confidencialidad de la información médica. En el Servizo Galego de Saúde (SERGAS), el sistema centralizado de historia clínica es IANUS. Aunque por razones operativas un gran porcentaje de profesionales sanitarios tienen credenciales técnicas para abrir cualquier ficha médica, legalmente impera el principio de "necesidad de conocer": solo se puede acceder a la historia de un paciente cuando existe una relación asistencial justificada.
2. El Log de Auditoría de IANUS: Huella Digital Inalterable
Desde el punto de vista tecnológico y del Técnico de Sistemas del SERGAS, la base de datos de IANUS genera un registro de auditoría (log) inalterable y persistente por cada acción realizada. No es posible abrir la ficha de un paciente, consultar una receta o ver una radiografía sin dejar huella. El sistema graba:
- Identificador del profesional (DNI, certificado digital o código de usuario).
- Categoría profesional y servicio de procedencia.
- Identificador del paciente (NHC o tarjeta sanitaria Cip-Saúde).
- Fecha, hora exacta y tipo de operación (lectura, modificación, borrado).
- Módulo consultado (analítica, informes de alta, receta electrónica).
Este registro de actividad es inalterable y se guarda durante un plazo legal mínimo para dar soporte a inspecciones.
3. Auditorías proactivas y reactivas en el SERGAS
La Oficina de Seguridad de la Información de Galicia realiza auditorías proactivas asistidas por inteligencia artificial para detectar accesos inusuales (como búsquedas de compañeros de trabajo, familiares o personajes públicos). Asimismo, si un ciudadano gallego sospecha de un acceso no autorizado, puede solicitar a través de e-Saúde o por registro oficial la relación histórica de profesionales que han accedido a su historial médico.
Un acceso no justificado asistencialmente constituye un delito de descubrimiento y revelación de secretos (Art. 197.2 del Código Penal), con penas de prisión de 1 a 4 años e inhabilitación profesional absoluta.
Grábate a fuego que las credenciales de IANUS y la tarjeta de acceso son estrictamente personales e intransferibles. Dejar tu ordenador de consulta desatendido con tu sesión iniciada constituye una negligencia y, en caso de que otra persona acceda indebidamente a través de tu sesión, la responsabilidad civil, administrativa y penal recaerá en primera instancia sobre el titular de las credenciales debido a la trazabilidad del log.
El acceso indebido y sin justificación asistencial o consentimiento expreso del paciente por parte de un profesional estatutario a su historia clínica digital (IANUS) constituye penalmente:
- A) Una infracción meramente disciplinaria tipificada como falta leve.
- B) Un delito de descubrimiento y revelación de secretos regulado en el Artículo 197.2 del Código Penal.
- C) Una práctica permitida y amparada si el profesional tiene plaza en propiedad en el centro.
- D) Exclusivamente una sanción administrativa económica de la AEPD.
Justificación: El acceso ilícito a datos de carácter personal y de salud, sin autorización y sin necesidad clínica que lo justifique, se castiga por la vía de lo Penal según el Art. 197.2 del Código Penal con penas de prisión de 1 a 4 años, multa de 12 a 24 meses e inhabilitación. Por tanto, trasciende totalmente la sanción puramente interna de carácter disciplinario.
El sistema de historia clínica IANUS está calificado bajo un nivel de protección muy estricto dentro del ENS. Conoce las medidas técnicas asociadas a este nivel en nuestra Guía del Esquema Nacional de Seguridad (ENS) en el SERGAS, o revisa cómo actuar ante situaciones conflictivas leyendo sobre la nueva Ley 3/2026 de Galicia de Prevención de la Violencia en el Sector Salud.