¿Quién puede acceder a la historia clínica?

Fuera de esos casos rige la reserva. El deber de secreto profesional del artículo 37 de la Ley 23 de 1981 no es una recomendación de buena práctica: es una obligación cuya infracción tiene consecuencias disciplinarias y puede tenerlas penales.

El punto fino está en «el equipo de salud que lo atiende». No es todo el personal de la institución: es quien participa en la atención de ese paciente. Un profesional de otra área que abre una historia por curiosidad no está dentro del supuesto, aunque trabaje en el mismo sitio.

Y el paciente puede autorizar a un tercero, pero la autorización debe ser suya, expresa y quedar registrada.

• El familiar que llama a preguntar: sin autorización del paciente, no. El parentesco por sí solo no habilita el acceso.
• El empleador que pide el diagnóstico de un incapacitado: no tiene derecho al contenido clínico. Lo que se emite es la incapacidad, no la historia.
• La aseguradora: solo con autorización expresa del paciente y limitada a lo que la autorización cubra.
• El paciente menor de edad: el acceso lo ejercen los padres o el representante legal, con el matiz de que a mayor edad y madurez del menor, mayor peso tiene su propia voluntad sobre su información.
• El paciente fallecido: la reserva no se extingue con la muerte. El acceso de los herederos suele tramitarse por vía judicial y conviene consultarlo con un abogado.

• Verifique la identidad de quien la pide. Es el paso que más se salta y el único que evita entregar un expediente a quien no es.
• Entregue copia, nunca el original: el prestador conserva el expediente por el plazo legal.
• Deje constancia en el expediente de qué se entregó, a quién y cuándo.
• Si quien pide es un tercero, exija la autorización expresa del paciente y guárdela como anexo.

En papel, la pregunta «quién leyó esta historia» no tiene respuesta posible. En un sistema electrónico sí: queda registrado qué usuario abrió qué expediente y cuándo.

Eso sirve para dos cosas distintas. La primera es responder ante una reclamación o una investigación. La segunda, menos evidente y más útil en el día a día, es que la gente accede distinto cuando sabe que el acceso queda registrado.

Para que sirva de algo hace falta que cada persona entre con su propio usuario. Un acceso compartido por todo el consultorio anula la trazabilidad por completo, por muy buen sistema que haya detrás.

• Un usuario por persona, nunca uno compartido.
• Permisos por rol: quien hace la agenda no necesita leer notas de evolución.
• Revisar los accesos de vez en cuando, no solo cuando hay un problema.
• Retirar el acceso el mismo día en que alguien deja el equipo.
• Tratar los datos de salud como lo que son: datos sensibles bajo la Ley 1581 de 2012, con las obligaciones reforzadas que eso implica.