Copias de seguridad de historias clínicas: qué exige el RGPD

Las copias de seguridad de historias clínicas no son solo una buena práctica: son una obligación legal bajo el RGPD que muchas clínicas pequeñas están cumpliendo a medias. Lo que muchos colegas desconocen es que el reglamento exige requisitos específicos sobre cifrado, ubicación geográfica y plazos de recuperación que van más allá de "hacer backup de vez en cuando".

Cuando empecé a digitalizar mi consulta hace años, pensaba que con hacer una copia de seguridad semanal en un disco duro externo ya cumplía. Error. El RGPD (Reglamento General de Protección de Datos), en vigor desde mayo de 2018, establece obligaciones concretas que van mucho más allá de copiar archivos periódicamente. Y lo que he visto en consultas de colegas me confirma que este sigue siendo uno de los puntos más malentendidos en clínicas pequeñas.

Qué dice exactamente el RGPD sobre backups

El artículo 32 del RGPD obliga a implementar "medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo", incluyendo específicamente "la capacidad de restaurar la disponibilidad y el acceso a los datos personales de forma rápida en caso de incidente físico o técnico". No es optativo: es una obligación legal del responsable del tratamiento, que en una clínica somos nosotros como médicos titulares.

Lo que muchos desconocen es que el considerando 49 del mismo reglamento menciona expresamente que "el tratamiento de datos personales en la medida estrictamente necesaria para garantizar la seguridad de la red y de la información" incluye las copias de seguridad. Esto significa que no solo debemos hacerlas, sino que debemos aplicar a esas copias las mismas medidas de seguridad que a los datos originales.

Los tres requisitos técnicos que casi nadie cumple bien

Cifrado de extremo a extremo

No basta con que el proveedor de cloud almacene tus datos "de forma segura". La Agencia Española de Protección de Datos ha sido clara en varias resoluciones: las copias de seguridad que contienen datos de salud (categoría especial según el artículo 9 del RGPD) deben estar cifradas con claves que solo el responsable del tratamiento controle. En la práctica, esto significa que si tu backup está en Dropbox, Google Drive o similar sin cifrado adicional por tu parte, probablemente no cumples.

Mi recomendación práctica: si usas almacenamiento en la nube para backups, asegúrate de que el software medico que utilices cifre los datos antes de enviarlos, no que simplemente confíe en el cifrado del proveedor de almacenamiento. La diferencia es quién tiene la clave.

Ubicación geográfica de los datos

El capítulo V del RGPD regula las transferencias internacionales de datos. Muchos colegas no se dan cuenta de que si sus copias de seguridad se almacenan en servidores fuera del Espacio Económico Europeo (EEE), técnicamente están haciendo una transferencia internacional que requiere garantías adicionales. Tras la sentencia Schrems II del Tribunal de Justicia de la Unión Europea de julio de 2020, que invalidó el Privacy Shield con Estados Unidos, esto se ha complicado aún más.

En consulta, he visto casos de clínicas usando soluciones americanas sin darse cuenta de que sus backups automáticos iban a servidores en Virginia o California. Ahora mismo, la opción más segura legalmente es exigir a tu proveedor que los backups se almacenen exclusivamente en servidores dentro de la UE, preferiblemente en España.

Periodicidad y capacidad de restauración

Aquí viene el matiz que sorprende a muchos: el RGPD no establece un plazo concreto de backup (diario, semanal...), pero sí exige que puedas "restaurar la disponibilidad y el acceso de forma rápida". La Agencia Española de Protección de Datos interpreta esto en el contexto del Esquema Nacional de Seguridad, que para datos de nivel alto (como los sanitarios) recomienda backups diarios con capacidad de recuperación en menos de 24 horas.

Por experiencia, un backup semanal es insuficiente en una consulta activa. Si pierdes los datos un viernes y tu último backup es del lunes anterior, has perdido cuatro días de historias clínicas, recetas, informes quirúrgicos... Legalmente cuestionable, pero sobre todo clínicamente inaceptable.

Copias de seguridad vs copias de archivo: no son lo mismo

Otro error frecuente: confundir backup con archivo histórico. Una copia de seguridad sirve para recuperarte de un fallo técnico o un ransomware; su propósito es la continuidad asistencial. El archivo de historias clínicas, regulado por la normativa sanitaria autonómica (en la mayoría de comunidades, mínimo 15 años desde el último contacto asistencial), es para cumplir con la obligación de conservación documental.

Lo que complica las cosas: una copia de seguridad que mantienes durante años puede convertirse técnicamente en un archivo, y entonces se aplican otros requisitos. La clave está en la política de retención: define claramente cuánto tiempo conservas cada backup (normalmente entre 30 y 90 días es razonable) y documenta que tu sistema de archivo histórico es independiente.

El problema de los backups en dispositivos físicos

Muchas clínicas pequeñas siguen usando discos duros externos para las copias. No es ilegal per se, pero presenta riesgos importantes que he visto materializarse:

• Pérdida o robo del dispositivo: si el disco no está cifrado, es una brecha de seguridad notificable a la AEPD en menos de 72 horas según el artículo 33 del RGPD.
• Deterioro del hardware: los discos duros tienen vida útil limitada. He conocido casos de clínicas que descubrieron que su backup de "seguridad" llevaba meses corrupto.
• Ubicación del backup: si guardas el disco en la misma consulta, un incendio o inundación destruye original y copia.

Si optas por backups físicos, necesitas al menos dos copias en ubicaciones geográficas distintas, con rotación regular y verificación periódica de que los datos son recuperables. Más complejo y caro de lo que parece.

La regla 3-2-1 aplicada a clínicas

En seguridad informática se recomienda la regla 3-2-1: tres copias de tus datos, en dos tipos de soporte diferentes, con una copia fuera de las instalaciones. Adaptado a una clínica pequeña, mi recomendación práctica sería:

• Datos originales en el servidor o equipo principal de la consulta.
• Backup automático diario en almacenamiento cloud (servidores en UE, cifrado extremo a extremo).
• Backup semanal o mensual en dispositivo físico cifrado, guardado fuera de la consulta.

Si estás evaluando opciones, la comparativa de software médico puede ayudarte a identificar soluciones que incluyan backup automatizado conforme a RGPD, porque configurarlo manualmente es técnicamente complejo.

Documentación: el aspecto que olvidan las auditorías

El artículo 5.2 del RGPD establece el principio de responsabilidad proactiva: no basta con cumplir, hay que poder demostrarlo. En la práctica, necesitas documentar:

• Procedimiento escrito de copias de seguridad (periodicidad, responsable, método).
• Registro de backups realizados (muchos sistemas lo hacen automáticamente).
• Pruebas periódicas de restauración (al menos una vez al año, documentada).
• Si usas un proveedor externo, contrato de encargado del tratamiento que especifique las medidas de seguridad del backup.

He visto inspecciones de la AEPD donde el sistema técnico de backup era correcto pero la falta de documentación generó un apercibimiento. La burocracia molesta, lo sé, pero es parte del cumplimiento.

Preguntas frecuentes

¿Puedo usar servicios gratuitos como Google Drive para mis backups?

Técnicamente sí, pero con importantes limitaciones. Necesitas cifrar los datos antes de subirlos (Google no debería poder leerlos), asegurarte de que se almacenan en servidores europeos (Google permite elegir ubicación en cuentas de pago, no siempre en gratuitas) y tener un contrato de encargado del tratamiento firmado (imposible con cuentas gratuitas personales). En la práctica, las cuentas gratuitas de consumo no cumplen requisitos para datos de salud.

¿Qué pasa si tengo historias en papel y digitales?

El RGPD se aplica solo a datos en formato digital o ficheros estructurados en papel. Pero la normativa sanitaria te obliga a conservar ambos. Mi recomendación: si digitalizas historias en papel (escaneando), aplica el mismo régimen de backup a esos archivos. Y conserva los originales en papel según tu normativa autonómica, en archivo físico seguro. Son obligaciones paralelas, no alternativas.

¿Cada cuánto debo probar que puedo restaurar el backup?

El RGPD no establece periodicidad concreta, pero el sentido común y las buenas prácticas en seguridad recomiendan al menos una vez al año. Yo lo hago cada seis meses: selecciono algunas historias al azar, las "restauro" del backup en un entorno de prueba y verifico que se leen correctamente. Lleva una hora y te da tranquilidad real. Un backup que nunca has probado restaurar es una falsa seguridad.

Conclusión práctica

Después de años digitalizando consultas, mi consejo es simple: no improvises las copias de seguridad ni las dejes para "cuando tenga tiempo". Un ransomware, un fallo de hardware o incluso un empleado que borra datos por error pueden dejarte sin historias clínicas en minutos. Y explicar a un paciente que has perdido su historia porque tu backup "era solo semanal y no lo habías probado nunca" es legalmente comprometido y profesionalmente bochornoso.

Invierte en un sistema de backup automático, diario, cifrado, con servidores en la UE, y pruébalo al menos una vez al año. Documenta el procedimiento aunque sea en un folio. Y si tu software actual no te permite configurar esto fácilmente, probablemente sea hora de plantearte un cambio. Las historias clínicas de tus pacientes no merecen menos protección que las fotos de tus vacaciones, que seguramente ya tienes en varios sitios por si acaso.