Los datos de salud son una categoría especial del RGPD (art. 9) y el Código Penal los protege con más dureza: entrar sin autorización en la historia clínica de otra persona es delito (art. 197.2), y el Tribunal Supremo considera que, con datos de salud, el mero acceso ya causa el perjuicio que exige el delito (STS 532/2015, de 23 de septiembre). Si la filtración es una brecha de un hospital, una clínica o una aseguradora, deben notificarla a la autoridad de protección de datos en 72 horas y avisarte si hay un riesgo alto (arts. 33 y 34). Tienes derecho a saber qué ha pasado y a una indemnización si te ha causado daño (art. 82).
Dos situaciones distintas
| Acceso indebido de un profesional | Brecha del centro o de la aseguradora | |
|---|---|---|
| Qué es | Alguien del centro consulta tu historia sin atenderte | Un ataque informático, un envío equivocado, un documento perdido o publicado |
| Quién responde | El profesional, penalmente; el centro, si sus medidas de control eran insuficientes | El responsable del tratamiento (art. 82.2 RGPD) |
| Primer paso | Pedir el registro de accesos y denunciar | Pedir información sobre la brecha y reclamar a la autoridad de protección de datos |
Si ha sido un profesional: la vía penal
Acceder sin autorización a datos reservados registrados en ficheros informáticos se castiga con prisión de uno a cuatro años y multa (art. 197.2 CP), en su mitad superior si son datos de salud (art. 197.5). Si lo hace un funcionario prevaliéndose de su cargo, se añade inhabilitación absoluta de seis a doce años (art. 198); si lo hace el encargado o responsable de los ficheros, prisión de tres a cinco años (art. 197.4.a). El profesional que además divulga lo que sabe incumpliendo su deber de sigilo comete el delito del art. 199.2.
La STS 532/2015 confirmó la condena de un médico que había consultado la historia clínica de cinco compañeros y fijó que, tratándose de datos sensibles, el perjuicio que exige el art. 197.2 va implícito en el acceso. En la misma línea, una sentencia de la Sala Segunda que el CGPJ difundió el 6 de abril de 2021 (ECLI:ES:TS:2021:1090) condenó a dos años y medio de prisión y seis de inhabilitación absoluta a una enfermera que había entrado «por curiosidad» en la historia de tres pacientes que no tenía asignados. Estos delitos solo se persiguen con denuncia de la víctima, salvo en el caso del art. 198, cuando afectan a los intereses generales o a una pluralidad de personas, o si la víctima es menor o una persona con discapacidad necesitada de especial protección (art. 201).
Saber quién ha entrado en tu historia
Los profesionales que te atienden pueden consultar tu historia, y el personal de administración solo los datos que necesite para sus funciones (art. 16.1 y 16.4 de la Ley 41/2002). Cómo queda constancia de cada acceso lo regula cada comunidad autónoma (art. 16.7), así que el procedimiento cambia según dónde te atiendan. El Tribunal de Justicia de la UE ha dicho que el derecho de acceso del RGPD incluye las fechas y los fines de las consultas a tus datos; la identidad de los empleados que las hicieron solo cuando sea indispensable para ejercer tus derechos (STJUE de 22 de junio de 2023, C-579/21). La AEPD, en un informe de 2021 anterior a esa sentencia (0003/2021), sostuvo que el acceso a la historia clínica de la Ley 41/2002 no incluye saber quién entró, salvo que lo prevea la norma autonómica.
Qué pedir y a quién: escribe al servicio de atención al paciente y al delegado de protección de datos del centro pidiendo, al amparo del art. 15 del RGPD, el registro de accesos a tu historia en el periodo que te preocupa, con fechas y finalidades. Si aparece un acceso sin relación asistencial, pide que se investigue y presenta denuncia: en el proceso penal el juez puede averiguar quién fue.
Si ha sido una brecha del centro o de la aseguradora
El responsable debe notificar la brecha a la autoridad de control en 72 horas si es probable que suponga un riesgo (art. 33.1) y comunicártela sin dilación indebida, en lenguaje claro, si el riesgo es alto (art. 34.1). Puede no avisarte si los datos estaban cifrados, si ha neutralizado el riesgo o si avisar a cada persona exige un esfuerzo desproporcionado; en ese caso, con una comunicación pública (art. 34.3). Si el centro es privado o una aseguradora, la AEPD puede multarle; si es un hospital público, declara la infracción y ordena corregirla, pero no impone multa (art. 77 LOPDGDD). En las comunidades con autoridad propia de protección de datos, como Cataluña, los tratamientos de su sector público los supervisa esa autoridad (art. 57 LOPDGDD). Lo general sobre brechas está en han filtrado mis datos.
Si tus datos de salud aparecen publicados en internet, el canal prioritario de la AEPD no sirve salvo que se trate de fotos, vídeos o audios de contenido sexual o violento. Pide la retirada a la web o a la plataforma con una notificación de contenido ilícito, ejerce la supresión y reclama a la AEPD por la vía ordinaria. Y si el responsable es una administración, la reclamación de responsabilidad patrimonial prescribe al año (art. 67.1 de la Ley 39/2015).
La indemnización
Tienes derecho a ser indemnizado por los daños materiales o morales que te cause la infracción (art. 82.1 RGPD). Según el TJUE, hay que acreditar un daño, pero sin umbral mínimo de gravedad (C-300/21); el temor a que tus datos se usen mal puede ser por sí solo un daño moral, y el responsable debe probar que sus medidas de seguridad eran adecuadas, sin librarse porque el acceso lo hiciera un tercero (C-340/21). Si denuncias, la acción civil para pedir la indemnización se entiende ejercitada en el proceso penal salvo que renuncies a ella o te la reserves (art. 112 de la Ley de Enjuiciamiento Criminal).
Preguntas que nos hacéis cada semana
¿Puede un médico mirar mi historia aunque no me esté atendiendo?
No. El acceso corresponde a los profesionales que te diagnostican o tratan (art. 16.1 de la Ley 41/2002). Fuera de eso, el acceso sin autorización puede ser delito.
¿Me tienen que avisar si se filtran mis datos médicos?
Sí, si la brecha entraña un alto riesgo para tus derechos, salvo las excepciones del art. 34.3 RGPD.
¿Cuánto tiempo tengo para denunciar a quien entró en mi historia?
El delito básico del art. 197.2 prescribe a los cinco años. Si lo cometió un funcionario prevaliéndose de su cargo, la inhabilitación de hasta doce años del art. 198 eleva el plazo a quince (art. 131.1 y 131.2 CP). Aun así, actúa pronto: cuanto antes pidas el registro de accesos, más fácil será probarlo.
¿Me pueden dar una copia de mi historia clínica?
Sí, con los límites de los datos de terceros y las anotaciones subjetivas (art. 18 de la Ley 41/2002). Lo explicamos en pedir copia de la historia clínica.
Te llama un abogado de derecho digital
en menos de 48 horas.
Sin compromiso y sin coste. Y si hay que actuar, el precio está publicado antes de que nos llames y se paga hasta en 12 cuotas: servicios y precios de derecho digital →
Un abogado te llamará en menos de 48 horas (días laborables). No compartimos tus datos con nadie. También por WhatsApp: 605 443 928
Continúa tu historia
→ Pedir copia de tu historia clínica
→ Han filtrado mis datos: la brecha
→ Revelación de secretos (art. 197 CP)
→ Reclamar ante la AEPD
→ Cómo denunciar un delito
→ Los plazos de la galaxia digital
Marco legal: arts. 4.15, 9, 15, 33, 34 y 82 del RGPD · arts. 9, 57 y 77 de la LOPDGDD · arts. 16 y 18 de la Ley 41/2002, básica reguladora de la autonomía del paciente · arts. 131, 197, 198, 199 y 201 del Código Penal · art. 67.1 de la Ley 39/2015 · STS 532/2015, de 23 de septiembre · sentencia de la Sala Segunda ECLI:ES:TS:2021:1090 · STJUE de 4 de mayo de 2023 (C-300/21), de 22 de junio de 2023 (C-579/21) y de 14 de diciembre de 2023 (C-340/21) · art. 112 de la Ley de Enjuiciamiento Criminal · Informe del Gabinete Jurídico de la AEPD 0003/2021. Contenido revisado por el equipo jurídico de The Juris · octubre de 2026.