Acceso al Historial Clínico Ajeno: Art. 197.2 y 197.5 CP

Consultar la historia clínica de un conocido, de una expareja o de una persona con notoriedad pública, sin que exista relación asistencial que lo justifique, es una de las conductas que con más frecuencia acaban en un procedimiento penal por descubrimiento de secretos. Como abogados en acceso ilícito al historial clínico, exponemos el régimen aplicable desde las dos posiciones: la del profesional investigado y la del paciente cuyo historial ha sido consultado.

La Conducta del Art. 197.2 CP Aplicada al Historial Clínico

El art. 197.2 CP castiga con las mismas penas del tipo básico —prisión de uno a cuatro años y multa de doce a veinticuatro meses— a quien, «sin estar autorizado, se apodere, utilice o modifique, en perjuicio de tercero, datos reservados de carácter personal o familiar de otro que se hallen registrados en ficheros o soportes informáticos, electrónicos o telemáticos, o en cualquier otro tipo de archivo o registro público o privado», y añade que iguales penas se impondrán «a quien, sin estar autorizado, acceda por cualquier medio a los mismos y a quien los altere o utilice en perjuicio del titular de los datos o de un tercero».

La historia clínica encaja sin dificultad en ese objeto material: es un archivo, informatizado o no, con datos reservados de carácter personal de un tercero. Y la conducta relevante en estos casos es la modalidad de acceso, que se consuma con la consulta. No se exige apoderamiento de documento alguno, ni extracción, ni difusión: abrir la ficha de un paciente ajeno a la propia función completa el tipo. Conviene además distinguir este precepto del acceso ilícito a sistemas informáticos del art. 197 bis CP: aquel exige vulnerar las medidas de seguridad establecidas para impedir el acceso, lo que no ocurre cuando el profesional entra en el sistema con sus propias credenciales válidas. Para el mapa completo del precepto puede consultarse nuestra guía del art. 197 CP.

Un detalle del literal tiene recorrido defensivo. La exigencia de que la conducta se realice «en perjuicio de tercero» o «en perjuicio del titular de los datos o de un tercero» acompaña gramaticalmente a las modalidades de apoderamiento, utilización, modificación y alteración; la de acceso aparece sin esa cláusula. Si el perjuicio debe concurrir también en el mero acceso es una cuestión discutida, y planteársela es obligado cuando la consulta fue única, no dejó rastro de uso posterior y no produjo efecto alguno sobre el paciente.

La Agravación por Datos de Salud (Art. 197.5 CP)

El art. 197.5 CP dispone que, «cuando los hechos descritos en los apartados anteriores afecten a datos de carácter personal que revelen la ideología, religión, creencias, salud, origen racial o vida sexual, o la víctima fuere un menor de edad o una persona con discapacidad necesitada de especial protección, se impondrán las penas previstas en su mitad superior». La salud está expresamente enumerada, de modo que en el acceso a una historia clínica la agravación es la regla y no la excepción.

El efecto es aritmético y conviene tenerlo presente desde la calificación. Sobre el marco del art. 197.2 CP, la mitad superior es prisión de dos años y seis meses a cuatro años y multa de dieciocho a veinticuatro meses. La agravación depende de la naturaleza del dato, no del motivo del acceso ni del uso que se le diera después: basta con que lo consultado revele el estado de salud de la persona —diagnósticos, ingresos, tratamientos, resultados de pruebas o el propio hecho de estar siendo atendida en un servicio determinado—. Por eso la discusión rara vez se sitúa en si el art. 197.5 CP se aplica, y casi siempre en si hubo o no autorización para acceder.

El Encargado o Responsable del Fichero (Art. 197.4 CP)

El art. 197.4 CP castiga los hechos de los apartados 1 y 2 con prisión de tres a cinco años cuando «a) se cometan por las personas encargadas o responsables de los ficheros, soportes informáticos, electrónicos o telemáticos, archivos o registros; o b) se lleven a cabo mediante la utilización no autorizada de datos personales de la víctima». Y añade que, «si los datos reservados se hubieran difundido, cedido o revelado a terceros, se impondrán las penas en su mitad superior». Combinado con la agravación de salud, el marco resultante es de cuatro a cinco años de prisión.

Aquí se libra una de las batallas técnicas más frecuentes. La acusación tiende a identificar a cualquier persona con credenciales de acceso al sistema de información asistencial con el «encargado o responsable del fichero», y esa lectura desborda el precepto: el subtipo describe una posición de control sobre el archivo —quien decide sobre él, lo administra o custodia—, no la de quien simplemente lo utiliza para desempeñar su trabajo. Sostener la aplicación del art. 197.4.a) CP a todo profesional con perfil de usuario convierte el subtipo agravado en la regla general y vacía el art. 197.2 CP, y esa objeción debe formularse en el escrito de defensa antes de que el marco penal se desplace tres años hacia arriba.

El Funcionario que se Prevale del Cargo (Art. 198 CP)

Cuando el acceso se produce en un centro público, entra en juego el art. 198 CP: «La autoridad o funcionario público que, fuera de los casos permitidos por la Ley, sin mediar causa legal por delito, y prevaliéndose de su cargo, realizare cualquiera de las conductas descritas en el artículo anterior, será castigado con las penas respectivamente previstas en el mismo, en su mitad superior y, además, con la de inhabilitación absoluta por tiempo de seis a doce años».

El precepto no se aplica por el mero hecho de trabajar en un hospital público. Exige la condición de funcionario público en el sentido del art. 24.2 CP —participar en el ejercicio de funciones públicas por disposición inmediata de la Ley, por elección o por nombramiento de autoridad competente— y, sobre todo, un prevalimiento efectivo del cargo: que la posición funcionarial haya sido el instrumento del acceso. Hay además un punto que la defensa debe vigilar en el trámite de calificación: tanto el art. 198 CP como el art. 197.5 CP ordenan imponer la pena en su mitad superior, y esa elevación no puede computarse dos veces sobre el mismo marco. Cuando concurren ambos, la especificidad del art. 198 CP se traduce sobre todo en la inhabilitación absoluta, que es la consecuencia realmente decisiva para la carrera profesional.

Acceder, Revelar y la Frontera con los Arts. 199 y 417 CP

Acceder y revelar son conductas distintas, con preceptos distintos. Si los datos descubiertos se difunden, revelan o ceden a terceros, el art. 197.3 CP impone prisión de dos a cinco años —de tres años y seis meses a cinco años en su mitad superior por el art. 197.5 CP—, y su segundo párrafo castiga con prisión de uno a tres años y multa de doce a veinticuatro meses a quien, «con conocimiento de su origen ilícito y sin haber tomado parte en su descubrimiento», realiza esa difusión: es el reproche que alcanza a quien recibe el dato y lo reenvía.

Cuando no ha habido acceso indebido sino revelación de lo conocido legítimamente, el encaje cambia por completo. El art. 199.1 CP castiga con prisión de uno a tres años y multa de seis a doce meses a quien revelare secretos ajenos de los que tenga conocimiento por razón de su oficio o sus relaciones laborales, y el art. 199.2 CP agrava la respuesta para el profesional que, incumpliendo su obligación de sigilo, divulga los secretos de otra persona: prisión de uno a cuatro años, multa de doce a veinticuatro meses e inhabilitación especial para dicha profesión por tiempo de dos a seis años. Si quien revela es autoridad o funcionario público y se trata de secretos de un particular, el art. 417.2 CP prevé prisión de dos a cuatro años, multa de doce a dieciocho meses y suspensión de empleo o cargo público de uno a tres años.

El criterio de deslinde lo ha precisado el Tribunal Supremo en la sentencia dictada al resolver el recurso de casación 3274/2023, de 26 de marzo de 2026: la clave está en cómo se accedió a la información, porque el art. 197 CP presupone un acceso no autorizado mientras que el art. 417 CP castiga a quien revela datos a los que llegó legítimamente por razón de su cargo. Trasladado al ámbito sanitario, el profesional que consulta la historia de un paciente que no atiende se sitúa en el art. 197 CP; el que conoce el dato por su función asistencial y después lo comenta fuera de ella se sitúa en los arts. 199 o 417 CP. La distinción está desarrollada en nuestro análisis de la diferencia entre revelar secretos y violar secretos oficiales.

Cuándo el Expediente de la AEPD se Convierte en Causa Penal

Casi todo acceso indebido a una historia clínica nace en el ámbito administrativo: una auditoría interna, una reclamación del paciente ante el centro o una denuncia ante la Agencia Española de Protección de Datos. Ese cauce y el penal responden a lógicas diferentes. El expediente sancionador se dirige de ordinario contra el responsable del tratamiento —el centro sanitario, la mutua o la administración— y examina si existían perfiles de acceso proporcionados, registros de trazabilidad, políticas de mínimo privilegio y control efectivo de su cumplimiento. El reproche penal, en cambio, es individual y se dirige contra la persona concreta que consultó los datos.

El paso de una vía a otra se produce cuando el hecho reúne los elementos del tipo: un acceso no autorizado, doloso, sobre datos reservados de una persona identificada. Un fallo de configuración del sistema, un perfil de acceso mal dimensionado por la organización o la ausencia de un registro de auditoría son deficiencias del responsable del tratamiento, no delitos de quien las padece. Cuando aparecen indicios de infracción penal, la preferencia del orden penal determina que el procedimiento sancionador ceda hasta que la causa se resuelva, y la prohibición de doble sanción opera cuando concurre identidad de sujeto, hecho y fundamento. En la práctica, la consecuencia más relevante es procesal: lo que el profesional declare o reconozca en el trámite administrativo o en la auditoría interna del centro puede acabar incorporado a la causa penal, de modo que ambos frentes deben coordinarse desde el primer requerimiento.

La Denuncia del Agraviado y sus Excepciones (Art. 201 CP)

El art. 201.1 CP establece que «para proceder por los delitos previstos en este Capítulo será necesaria denuncia de la persona agraviada o de su representante legal». Es un requisito de procedibilidad y no un mero trámite: sin denuncia del paciente, la causa no puede iniciarse por esta vía. El art. 201.2 CP exceptúa esa exigencia para los hechos del art. 198 CP —el funcionario que se prevale del cargo—, y también cuando la comisión del delito «afecte a los intereses generales, a una pluralidad de personas o si la víctima es una persona menor de edad o una persona con discapacidad necesitada de especial protección». La excepción de la pluralidad de personas es determinante en los accesos masivos detectados por auditoría, en los que la actuación de oficio no depende de que cada paciente denuncie. El art. 201.3 CP añade que el perdón del ofendido o de su representante legal extingue la acción penal, sin perjuicio de lo dispuesto en el art. 130.1.5.º, párrafo segundo.

Para el paciente que sospecha que su historial ha sido consultado, el orden de actuación importa. Conviene dirigirse primero al centro como responsable del tratamiento para obtener la información sobre los accesos registrados en su historia clínica, con identificación de usuarios, fechas y módulos consultados, porque esa traza es la prueba nuclear del procedimiento y se conserva durante plazos limitados. Con ella puede formularse la denuncia y valorarse la personación como acusación particular, que permite proponer diligencias —singularmente la pericial informática sobre los registros— y sostener la acción civil: los arts. 109 y 116 CP obligan a reparar los daños y perjuicios causados por el delito, partida en la que se integra el daño moral derivado de la difusión del estado de salud en el entorno laboral o personal de la víctima.

Consecuencias Profesionales y Prescripción

Para un profesional sanitario o administrativo, la pena de prisión no suele ser la consecuencia más temida. El art. 56.1.3.º CP permite imponer, en las penas de prisión inferiores a diez años y atendiendo a la gravedad del delito, la inhabilitación especial para empleo o cargo público, profesión u oficio como pena accesoria «si estos derechos hubieran tenido relación directa con el delito cometido, debiendo determinarse expresamente en la sentencia esta vinculación». A ello se suman la inhabilitación especial de dos a seis años del art. 199.2 CP en los supuestos de divulgación y la inhabilitación absoluta de seis a doce años del art. 198 CP. Junto al proceso penal discurre, además, el expediente disciplinario del centro o de la administración, con sus propios plazos y su propia calificación de la falta, que no queda condicionada sin más por lo que se resuelva en sede penal.

La prescripción se rige por el art. 131.1 CP, que atiende a la pena máxima señalada al delito. Para el art. 197.2 CP, con máximo de cuatro años de prisión, y para el art. 197.4 CP, con máximo de cinco, el plazo es de cinco años, porque la regla decenal exige que la pena máxima exceda de cinco años. El plazo se eleva a diez años cuando la pena máxima supera los cinco sin exceder de diez, como sucede en el supuesto del art. 197.6 CP —hechos realizados con fines lucrativos que además afectan a datos de salud—, castigado con prisión de cuatro a siete años. La diferencia es relevante en los accesos antiguos que aflora una auditoría años después.

Líneas de Defensa y Prueba de Trazabilidad

La defensa se construye sobre el título de acceso, que es el elemento normativo del tipo. Hay que documentar si existía relación asistencial —incluida la continuidad de cuidados, la interconsulta, la cobertura de guardias, la revisión de un episodio de urgencias o la validación de una prescripción—, si el titular consintió la consulta o si concurría una habilitación amparada por la normativa sanitaria o por los protocolos internos del centro. Acreditado el título, decae el presupuesto «sin estar autorizado» y la conducta queda extramuros del art. 197.2 CP.

El segundo eje es el elemento subjetivo. El tipo es doloso y no admite modalidad imprudente, de modo que la apertura accidental de una ficha, el acceso derivado de una búsqueda por nombres coincidentes o el que resulta de la propia configuración del sistema no lo integran. Si el profesional actuó en la creencia de estar autorizado, el art. 14 CP es la vía: el error invencible sobre un hecho constitutivo de la infracción excluye la responsabilidad criminal y, si fuera vencible, la infracción se castigaría en su caso como imprudente, lo que aquí conduce a la impunidad al no existir tipo imprudente.

El tercer eje es probatorio. La acusación se apoya casi siempre en el registro de trazabilidad del sistema de información, y ese registro acredita una sesión, no necesariamente a una persona: las credenciales compartidas entre turnos, los terminales abiertos en zonas comunes, las sesiones no cerradas y la cesión informal de claves son realidades organizativas que abren un espacio real de duda sobre la autoría. Conviene examinar también qué acredita exactamente el log —si registra la mera apertura de una pantalla o la visualización efectiva de un contenido—, su integridad y cadena de custodia, la fiabilidad del sistema de sellado temporal y la posibilidad de proponer una pericial informática de contraste. A ello se añade, en las modalidades que lo exigen, la discusión sobre el perjuicio y, en todo caso, la sujeción del subtipo del art. 197.4 CP a quien realmente ostentaba la condición de encargado o responsable del fichero.