Copias de seguridad de historias clínicas: qué exige el RGPD

Muchas clínicas creen que hacer copias de seguridad es opcional o que basta con guardar un backup en cualquier disco duro externo. La realidad es que el RGPD considera las copias de seguridad parte integral de la integridad y disponibilidad de los datos personales, y su ausencia o mala gestión puede acarrear sanciones de hasta 20 millones de euros o el 4% de la facturación global.

Cuando empecé a digitalizar mi consulta hace años, pensaba que las copias de seguridad eran algo que solo preocupaba a los informáticos. La primera vez que un disco duro me dio problemas y perdí medio día de consultas registradas, entendí que no era una cuestión técnica sino clínica: sin acceso a las historias, no puedo atender bien a mis pacientes. Pero lo que muchos colegas desconocen es que el RGPD no solo recomienda hacer backups, los exige de manera implícita a través de varios de sus artículos.

Por qué el RGPD obliga a tener copias de seguridad

El Reglamento General de Protección de Datos no dice literalmente "debes hacer copias de seguridad cada X días", pero el artículo 32 del RGPD establece que el responsable del tratamiento debe implementar medidas técnicas y organizativas apropiadas para garantizar la integridad, disponibilidad y resiliencia de los sistemas y servicios de tratamiento. Si pierdes las historias clínicas porque no tenías backup y un paciente no puede acceder a su información médica, estás incumpliendo el principio de disponibilidad.

Además, el artículo 5.1.f del RGPD habla de la integridad y confidencialidad de los datos, lo que incluye protegerlos contra destrucción o pérdida accidental. En mi experiencia, la Agencia Española de Protección de Datos (AEPD) ha sancionado casos donde la pérdida de datos se debió a la ausencia de copias de seguridad adecuadas, considerándolo una negligencia grave en la aplicación de medidas de seguridad.

Dónde guardar las copias: el error del disco externo en el cajón

Lo he visto en decenas de consultas: un disco duro externo junto al ordenador principal, o peor aún, en el mismo cajón. Si entra alguien a robar, se lleva ambos. Si hay un incendio, se queman los dos. Una copia de seguridad que está en el mismo sitio físico que el original no cumple con el criterio de resiliencia que pide el RGPD.

La regla 3-2-1 es la que recomiendo: tres copias de tus datos (la original y dos copias), en dos soportes diferentes (por ejemplo, disco duro y nube), y una copia fuera de las instalaciones (offsite). En la práctica, para una clínica pequeña esto se traduce en usar un software medico con copias automáticas en servidores externos certificados, más opcionalmente una copia local cifrada.

Un matiz importante que muchos pasan por alto: si guardas copias en la nube, debes asegurarte de que el proveedor tenga un Acuerdo de Tratamiento de Datos (DPA o Data Processing Agreement) firmado contigo. Sin ese documento, técnicamente estás cediendo datos de salud a un tercero sin las garantías legales necesarias. Los proveedores serios de software médico incluyen este acuerdo de serie, pero he visto clínicas usando Dropbox o Google Drive genéricos sin ningún DPA, lo cual es una infracción directa del artículo 28 del RGPD.

Cuánto tiempo conservar las copias de seguridad

Aquí hay una confusión habitual que conviene aclarar. La legislación sanitaria española, concretamente la Ley 41/2002 de Autonomía del Paciente, obliga a conservar las historias clínicas como mínimo cinco años desde la última asistencia (y en el caso de fallecimiento del paciente, desde la fecha del éxitus). Algunas comunidades autónomas amplían este plazo.

Pero las copias de seguridad no necesitan conservarse durante todo ese periodo. De hecho, mantener backups de cinco años atrás puede ser contraproducente: ocupan espacio, generan costes y multiplican las superficies de ataque. Mi recomendación práctica, que he aplicado en mi consulta y al desarrollar software clínico, es esta:

• Copias diarias: conservar las últimas 7-14 copias (dos semanas como máximo).
• Copias semanales: mantener las últimas 4-8 semanas (uno o dos meses).
• Copias mensuales: guardar las últimas 3-6 copias (un trimestre o semestre).

Lo importante es que el sistema de producción, donde están las historias activas, sí cumpla con el periodo de conservación legal. Las copias de seguridad son para recuperación ante desastres, no para archivo histórico a largo plazo. Una vez restaurada una copia por un fallo, esa información vuelve al sistema principal y ya está sujeta a la conservación legal normal.

Cifrado y acceso a las copias

El artículo 32.1.a del RGPD menciona explícitamente la seudonimización y cifrado de datos personales como medidas de seguridad apropiadas. Tratándose de historias clínicas, que son datos de categoría especial según el artículo 9 del RGPD, el cifrado no es opcional sino obligatorio en la práctica.

Cuando implementamos el sistema de backups en DriCloud, configuramos cifrado AES-256 tanto en tránsito como en reposo. Esto significa que aunque alguien accediera físicamente a los servidores de backup, no podría leer la información sin las claves de cifrado. Pero aquí viene otro matiz que pocos consideran: ¿dónde guardas esas claves de cifrado?

Si las claves están en el mismo servidor que los backups cifrados, no sirven de mucho. Lo correcto es usar sistemas de gestión de claves (KMS) separados o, en clínicas pequeñas, guardar las claves en un gestor de contraseñas profesional (como 1Password o Bitwarden empresarial) con autenticación de dos factores activada.

Registro de las copias de seguridad

El artículo 30 del RGPD exige mantener un registro de actividades de tratamiento. Las copias de seguridad son una actividad de tratamiento y deben estar documentadas. En la práctica, esto significa que debes poder demostrar a la AEPD, si te requiere, cuándo se hacen las copias, dónde se almacenan, quién tiene acceso, cuánto tiempo se conservan y qué medidas de seguridad aplicas.

He visto inspecciones donde la ausencia de esta documentación ha agravado una sanción. No hace falta un documento de 50 páginas; con una tabla simple que incluya estos campos es suficiente:

• Frecuencia de las copias (diaria, semanal, mensual)
• Ubicación física o lógica del almacenamiento
• Medidas de seguridad aplicadas (cifrado, control de acceso)
• Tiempo de retención de cada tipo de copia
• Responsable de verificar que las copias funcionan
• Fecha de la última prueba de restauración

Ese último punto es crítico: una copia de seguridad que nunca has probado restaurar es como un extintor que nunca has revisado. Puede que cuando lo necesites no funcione. Recomiendo hacer al menos una prueba de restauración al trimestre, aunque sea de un subconjunto pequeño de datos, para verificar que el proceso funciona.

Proveedores externos y transferencias internacionales

Si utilizas un proveedor de nube para tus copias de seguridad, necesitas saber físicamente dónde están esos servidores. El RGPD distingue entre tratamiento dentro del Espacio Económico Europeo (EEE) y transferencias internacionales a terceros países.

Desde la sentencia Schrems II del Tribunal de Justicia de la UE en julio de 2020, el marco Privacy Shield quedó invalidado. Esto significa que guardar copias de historias clínicas en servidores de Estados Unidos sin garantías adicionales es ilegal. Algunos proveedores estadounidenses han implementado cláusulas contractuales tipo (SCC) o se han acogido al nuevo Data Privacy Framework, pero debes verificarlo específicamente.

Mi recomendación: usa proveedores con servidores físicos en la UE. Si revisas una comparativa de software médico, comprueba siempre dónde están ubicados los centros de datos. En mi caso, elegí deliberadamente proveedores con infraestructura en Alemania y España por esta razón.

Preguntas frecuentes sobre copias de seguridad y RGPD

¿Puedo usar servicios gratuitos de almacenamiento en nube para mis copias de seguridad?

Técnicamente sí, pero en la práctica es muy arriesgado. Los servicios gratuitos como Google Drive personal o Dropbox básico no incluyen un Acuerdo de Tratamiento de Datos, que es obligatorio según el artículo 28 del RGPD cuando un tercero procesa datos personales por cuenta tuya. Además, sus términos de servicio suelen reservarse derechos sobre los contenidos que son incompatibles con datos de salud. Las versiones empresariales de estos servicios (Google Workspace, Dropbox Business) sí incluyen DPA y pueden ser válidas si las configuras correctamente, pero raramente son la opción más apropiada para historias clínicas por falta de funcionalidades específicas sanitarias.

Si subcontrato la gestión informática a una empresa externa, ¿quién es responsable de las copias de seguridad ante el RGPD?

Tú sigues siendo el responsable del tratamiento. La empresa informática actúa como encargado del tratamiento, y debe existir un contrato escrito que especifique sus obligaciones según el artículo 28 del RGPD. Pero si hay una brecha de seguridad o pérdida de datos por ausencia de copias, la responsabilidad final y la sanción potencial recaen sobre ti como titular de la clínica. Por eso es fundamental que el contrato con la empresa informática especifique claramente la frecuencia de las copias, dónde se guardan y las medidas de seguridad aplicadas. Y debes supervisarlo: no basta con delegar y olvidarte.

¿Debo notificar a la AEPD cada vez que hago o restauro una copia de seguridad?

No. La realización rutinaria de copias de seguridad y su restauración por motivos técnicos normales (fallo de hardware, actualización de sistema) no requieren notificación. Lo que sí debes notificar a la AEPD, en un plazo de 72 horas, es cualquier brecha de seguridad que suponga destrucción, pérdida, alteración o acceso no autorizado a datos personales. Si pierdes datos porque no tenías copias de seguridad adecuadas, eso es una brecha notificable. Del mismo modo, si durante una restauración descubres que alguien no autorizado ha accedido a las copias, también debes notificarlo.

Conclusión práctica

Después de años gestionando mi propia consulta y ayudando a otros colegas con la digitalización, mi consejo es que veas las copias de seguridad no como una obligación burocrática del RGPD sino como un seguro de tu actividad clínica. He conocido compañeros que han perdido años de historias por un simple fallo de disco y les ha supuesto meses de reconstrucción parcial de información, además de problemas legales con pacientes que reclamaban acceso a sus datos.

Automatiza todo lo que puedas: las copias manuales se olvidan inevitablemente. Verifica que tu software hace backups automáticos diarios con cifrado, que están en ubicaciones separadas físicamente de tu consulta, y que existe un DPA firmado con el proveedor. Prueba al menos una vez al trimestre que puedes restaurar información, aunque sea de prueba. Y documenta todo esto en tu registro de actividades de tratamiento.

Si estás empezando con la digitalización o necesitas cambiar de sistema, revisa específicamente cómo gestiona cada opción las copias de seguridad. No es el criterio más vistoso cuando comparas programas, pero a largo plazo es uno de los más importantes para proteger tanto a tus pacientes como a tu ejercicio profesional.