Fax médico y datos de salud: qué dice la ley

Respuesta corta: transmitir datos de salud por fax no está prohibido en Francia, pero tampoco es un cheque en blanco. El RGPD clasifica esta información entre los datos sensibles, el Código de Salud Pública impone el secreto profesional y la CNIL espera que el responsable del tratamiento pueda justificar la adopción de medidas «apropiadas». En concreto: un fax médico sigue siendo lícito si se marca correctamente el número, se envía a un aparato identificado, no incluye ningún diagnóstico en la portada y se conserva durante un plazo definido. La mensajería sanitaria segura sigue siendo el canal de referencia siempre que el destinatario disponga de ella.

Por qué el fax no ha desaparecido de las consultas médicas

Hay una contradicción aparente. Por un lado, Francia ha construido desde 2015 todo un ecosistema de mensajería segura —el espacio MSSanté, gestionado por la Agence du numérique en santé (ANS)— destinado precisamente a sustituir los intercambios sin cifrar entre profesionales. Por otro, los laboratorios de análisis, los servicios de diagnóstico por imagen, las residencias de mayores, las farmacias y una parte de las consultas privadas siguen emitiendo y recibiendo telecopias a diario.

La razón se resume en tres puntos, y ninguno es irracional.

El primero es la asimetría de equipamiento. Una mensajería segura solo funciona si ambos extremos están conectados y saben utilizarla. Un fax funciona en cuanto el destinatario dispone de un número. Un médico sustituto, una enfermera a domicilio en ruta, un centro en zona rural: la cobertura no es homogénea, y es el canal más lento el que marca el ritmo.

El segundo es la trazabilidad de la entrega. El informe de transmisión de un fax acredita que un aparato identificado ha descolgado, ha aceptado el documento y ha confirmado su recepción página por página. Un correo electrónico, aunque esté cifrado, demuestra que un mensaje ha salido de un servidor; no demuestra que una persona lo haya abierto. En un servicio hospitalario donde una prescripción debe entregarse antes de una hora determinada, ese matiz pesa.

El tercero es organizativo. Un fax no depende de ningún identificador nominativo. En un puesto de enfermería donde el equipo cambia tres veces al día, un documento que llega a una bandeja física permanece visible; un documento depositado en el buzón de un facultativo ausente durante tres días, no.

Qué dice exactamente el derecho

Los datos de salud son datos «sensibles»

El artículo 9 del RGPD prohíbe por principio el tratamiento de los datos relativos a la salud y, a continuación, vuelve a abrir la puerta mediante una lista de excepciones. La que se aplica al personal sanitario es el apartado 2.h: el tratamiento es lícito cuando resulta necesario con fines de medicina preventiva, diagnóstico médico, prestación de asistencia sanitaria o gestión de los sistemas de salud, y lo lleva a cabo un profesional sujeto a la obligación de secreto.

Dicho de otro modo: un médico que envía por fax un informe a un colega para garantizar la continuidad asistencial actúa dentro del marco previsto por la norma. No necesita un consentimiento escrito específico para ese intercambio, pero sigue obligado, en virtud del artículo 32 del RGPD, a aplicar «medidas técnicas y organizativas apropiadas» al riesgo existente.

El secreto profesional en el derecho francés

El artículo L. 1110-4 del Código de Salud Pública establece el principio del derecho de toda persona atendida al respeto de su vida privada y al secreto de la información que le concierne. La violación del secreto profesional está además sancionada por el artículo 226-13 del Código Penal: un año de prisión y 15 000 euros de multa.

El intercambio entre profesionales está regulado: debe ser estrictamente necesario para la coordinación o la continuidad de la asistencia, y el paciente debe ser informado de su derecho de oposición. Enviar un expediente completo cuando bastaba con una página no es un descuido administrativo, es una comunicación excesiva de datos.

Lo que la CNIL ha dicho realmente sobre el fax

La CNIL nunca ha publicado una prohibición general del fax en el ámbito sanitario. En cambio, sí ha sancionado y requerido a organizaciones por transmisiones de datos médicos mal controladas, y su marco de referencia relativo a los tratamientos de datos personales realizados con fines de gestión de consultas médicas y paramédicas insiste en dos puntos constantes:

• la minimización: transmitir únicamente los datos necesarios para la finalidad perseguida;
• la confidencialidad en recepción: el equipo receptor debe encontrarse en un local con acceso controlado.

El segundo punto es el que plantea problemas en la vida real. Un fax colocado en un pasillo de recepción, o en una sala por la que pasan repartidores y visitantes, convierte cada página recibida en un cartel público. No es la tecnología lo que está en cuestión: es la ubicación de la bandeja de salida.

¿Y el alojamiento de los datos?

En cuanto un proveedor conserva, por cuenta de un profesional sanitario, datos personales de salud recogidos con ocasión de actividades de prevención, diagnóstico o asistencia, entra en el ámbito de la certificación HDS (alojador de datos de salud), prevista en el artículo L. 1111-8 del Código de Salud Pública y supervisada por la ANS.

El matiz es importante para los servicios de fax en línea. Un servicio que transmite un documento y luego lo elimina en un plazo breve no ocupa la misma posición jurídica que un servicio que archiva de forma duradera los documentos enviados. En cuanto hay conservación por cuenta del profesional sanitario, la cuestión de la certificación HDS se plantea. Es la primera pregunta que hay que hacer a un proveedor, incluso antes que la tarifa.

Los seis errores más frecuentes

La última línea merece un desarrollo. Un fax médico enviado a un número equivocado constituye una violación de datos personales en el sentido del artículo 4.12 del RGPD. Si puede entrañar un riesgo para los derechos y libertades de las personas, debe notificarse a la CNIL en un plazo de 72 horas a través del servicio en línea dedicado y, en caso de riesgo elevado, hay que informar a la persona afectada. Como los datos de salud son sensibles por naturaleza, el umbral de riesgo elevado se alcanza muy rápido.

Fax, mensajería segura, correo postal: cómo elegir

No existe un canal universalmente superior. Existen situaciones.

Utiliza la mensajería sanitaria segura (MSSanté) cuando el destinatario esté conectado a ella y el intercambio sea de profesional a profesional. Es el canal recomendado por la ANS: identificación fuerte de los corresponsales a través del directorio sanitario, cifrado del transporte e integración creciente en los programas de gestión. Para un informe de alta hospitalaria dirigido al médico de cabecera, es la opción por defecto.

Utiliza el fax cuando el destinatario no disponga de una mensajería segura operativa, cuando la entrega deba acreditarse en el plazo de una hora, o cuando el destinatario sea un servicio —recepción de una unidad técnica, centralita de un laboratorio— y no una persona concreta. El fax sigue siendo además el formato exigido por ciertos formularios administrativos y por algunas entidades gestoras.

Utiliza el correo certificado cuando el valor probatorio de la fecha de envío prime sobre la rapidez: recursos, reclamaciones, remisión de un expediente a una comisión.

No utilices nunca el correo electrónico ordinario para un contenido médico nominativo. Un e-mail sin cifrar atraviesa servidores intermedios que no están ni identificados ni sujetos a contrato. Es el único caso en el que la respuesta es un no rotundo.

El caso de los servicios de fax en línea

Un fax en línea no es menos seguro por naturaleza que un aparato de oficina: simplemente desplaza el riesgo. La parte del trayecto correspondiente a la «línea telefónica» es idéntica. La diferencia está antes: tu documento pasa por una pasarela.

Las preguntas que hay que hacer al proveedor, por orden:

1. ¿El documento va cifrado en tránsito (HTTPS/TLS) entre tu navegador y la pasarela?
2. ¿Cuánto tiempo se conserva el archivo después del envío? ¿Está documentado?
3. ¿Dónde están ubicados los servidores? Un alojamiento en la Unión Europea evita las cuestiones de transferencias fuera de la UE.
4. ¿El proveedor está certificado HDS o se compromete a no conservar los documentos?
5. ¿Se ofrece un contrato de encargado del tratamiento en el sentido del artículo 28 del RGPD para un uso profesional?

Para un uso puntual y no profesional —un paciente que envía él mismo un parte de asistencia o un justificante a su entidad gestora— estas exigencias se relajan: la persona dispone de sus propios datos y elige libremente su canal. La regla del sentido común se mantiene: preferir un servicio que anuncie una eliminación rápida de los archivos y comprobar la lista de destinos admitidos en la página países disponibles antes de marcar un número internacional.

Un procedimiento de envío en siete gestos

Este protocolo cabe en una ficha A5 para colgar junto al aparato. No tiene nada de teórico: la mayoría de los incidentes documentados provienen de la omisión de uno de estos gestos.

1. Comprobar la necesidad. ¿El dato transmitido es estrictamente útil para el destinatario? Si no, retirar las páginas superfluas.
2. Anonimizar lo que se pueda. Un número de expediente interno basta a veces allí donde se escribía un nombre completo y una fecha de nacimiento.
3. Redactar una portada neutra. Remitente, destinatario nombrado, número de páginas, mención de confidencialidad. Ningún elemento clínico.
4. Releer el número dos veces, en voz alta si es posible, comprobando el prefijo.
5. Avisar al destinatario por teléfono cuando el documento sea sensible o urgente, para que esté presente en la recepción.
6. Conservar el acuse de transmisión en el expediente o en un registro fechado, con un plazo de conservación definido de antemano.
7. En caso de error, llamar de inmediato al receptor, pedir la destrucción, registrar el incidente y poner en marcha el análisis de notificación.

La mención de confidencialidad en la portada no tiene por sí misma fuerza vinculante, pero sí un valor práctico: indica a un tercero que descubra la página que debe detenerse, y documenta tu diligencia en caso de inspección.

¿Cuánto tiempo se conserva un acuse de transmisión?

No existe un plazo legal único para los informes de fax. El razonamiento se hace por finalidad:

• Prueba de un acto asistencial o de una transmisión al expediente: el plazo se alinea con el del historial médico. Para los centros sanitarios, el artículo R. 1112-7 del Código de Salud Pública fija la conservación en 20 años a partir de la última estancia, con reglas específicas para los menores y las personas fallecidas.
• Prueba de un envío administrativo (entidad gestora, mutua, empleador): basta con la duración del plazo de recurso aplicable, generalmente dos años.
• Registro técnico de un servicio en línea: unos meses como máximo, y únicamente metadatos, nunca el contenido.

Poner esta política por escrito en alguna parte es más importante que la cifra elegida. Una inspección de la CNIL rara vez empieza por «cuánto tiempo»; empieza por «dónde está escrito».

Preguntas frecuentes

¿Está prohibido el fax para los datos de salud en Francia?

No. Ninguna norma prohíbe el fax en el ámbito sanitario. El RGPD y el Código de Salud Pública imponen medidas apropiadas y el respeto del secreto, no un canal concreto. La mensajería sanitaria segura es la recomendada, pero el fax sigue siendo lícito cuando se utiliza con las precauciones descritas más arriba.

¿Un fax va cifrado?

No, no en el sentido informático. Una transmisión de Grupo 3 circula en claro por la red telefónica. Su seguridad se basa en el carácter punto a punto del enlace y en la dificultad práctica de interceptarlo, no en un cifrado. Por eso la protección del lugar de recepción cuenta tanto como la del contenido.

¿Qué hacer si he enviado un fax médico a un número equivocado?

Tres acciones dentro de la primera hora: llamar al número marcado para pedir la destrucción del documento, registrar el incidente en un registro de violaciones y evaluar el riesgo para la persona afectada. Si es real, notificarlo a la CNIL en un plazo de 72 horas e informar al paciente si el riesgo es elevado.

¿Puede un paciente enviar él mismo sus documentos por fax a su entidad gestora?

Sí. Una persona que transmite sus propios datos de salud no está sujeta a las obligaciones de un profesional. Conviene, no obstante, comprobar el número con el organismo y conservar el acuse de transmisión. Las modalidades de envío de justificantes las precisa cada entidad, en particular en Ameli para la Assurance Maladie.

¿Un servicio de fax en línea debe estar certificado HDS?

Únicamente si conserva datos de salud por cuenta de un profesional o de un centro. Un servicio que se limita a transmitir y elimina el archivo tras el envío no ejerce una actividad de alojamiento en el sentido del artículo L. 1111-8. La respuesta depende, por tanto, de la política de conservación, que debe estar escrita negro sobre blanco.

¿Tiene valor jurídico el informe de transmisión?

Constituye un principio de prueba que el juez valora, no una prueba irrefutable. Su fuerza procede del conjunto de indicios: informe con fecha y hora, registro del aparato de fax, coherencia con el expediente e, idealmente, confirmación del destinatario. Otras preguntas de este tipo se abordan en las preguntas frecuentes del sitio.

En resumen

• Los datos de salud son datos sensibles en el sentido del artículo 9 del RGPD: la licitud del intercambio entre profesionales sanitarios se basa en la continuidad asistencial, no en un consentimiento escrito específico.
• El fax no está prohibido en el ámbito sanitario; está regulado. La mensajería segura MSSanté sigue siendo el canal de referencia cuando el destinatario está conectado a ella.
• Un fax no va cifrado: la seguridad se juega en la recepción, en un local con acceso controlado.
• Minimizar las páginas, neutralizar la portada, releer el número dos veces y avisar al destinatario evitan la práctica totalidad de los incidentes.
• Un error de número es una violación de datos: registro, evaluación del riesgo y notificación a la CNIL en 72 horas si procede.
• Antes de elegir un servicio de fax en línea para un uso profesional, exigir una respuesta escrita sobre el plazo de conservación, la ubicación de los servidores y el contrato de encargado del tratamiento.