Protección de datos en salud: Guía para clínicas 2026

Los datos personales de salud gozan de una protección especial en México y América Latina. Constituyen una categoría de datos personales sensibles, regulada principalmente por la Ley Federal de Protección de Datos Personales en Posesión de los Particulares (LFPDPPP). Esta ley, fundamentada en los Artículos 16 y 6 de la Constitución, define los datos personales como cualquier información concerniente a una persona física identificada o identificable.

Tipos de datos sanitarios personales

Los datos de salud personales se definen como datos personales relativos a la salud física o mental de una persona, incluida la prestación de servicios sanitarios, que revelan información sobre su estado de salud.

Los datos personales que componen las bases de datos sanitarios son de dos tipos:

• Datos de identificación personal: nombre, teléfono, dirección, número de identificación.
• Datos biométricos y sanitarios: medicación, pruebas diagnósticas realizadas, antecedentes familiares disponibles, etc.

La agregación de estos datos personales y médicos constituye la historia clínica, que se define como un conjunto de documentos que contienen datos, valoraciones e informaciones de cualquier tipo sobre la situación y evolución clínica del paciente a lo largo del proceso de tratamiento.

El responsable del tratamiento de los datos contenidos en la historia clínica es el médico o centro sanitario. Debe elaborarla, conservarla y aplicar las medidas de seguridad adecuadas para evitar su pérdida o acceso por parte de terceros. El paciente tiene derecho a solicitar una copia de su historia clínica y a solicitar la rectificación o supresión de los datos.

Legalidad y derecho a la información en el tratamiento de datos sanitarios

En general, cuando un paciente acude a un centro sanitario, ya sea público o privado, se requiere su consentimiento expreso para tratar sus datos personales sensibles. La mayoría de las veces, el paciente acude al centro con el fin de recibir asistencia sanitaria, y el conocimiento y posterior tratamiento de los datos médicos es necesario para prestar al paciente una asistencia adecuada.

No obstante, debe respetarse la obligación de informar al paciente sobre la identidad y los datos de contacto del responsable del tratamiento y, en su caso, de su representante.

Los datos de contacto del responsable de la protección de datos. Los hospitales, clínicas, centros de salud, etc. deben contar con un responsable de la protección de datos. Esto no es obligatorio en el caso de las consultas privadas de un único profesional sanitario. Los pacientes pueden dirigirse a esta persona para tramitar reclamaciones relativas al tratamiento de datos y al ejercicio de sus derechos.

Peculiaridades del trabajo con datos personales en medicina

El tratamiento de los DP médicos es diferente en varios aspectos. Las clínicas están obligadas a almacenar los datos sanitarios de cada paciente en forma de historias clínicas, y está prohibido divulgar estos datos bajo cualquier circunstancia. Esto plantea el problema para los titulares de los datos personales de las posibles filtraciones de datos.

La sanidad está a la cabeza en cuanto a la filtración de datos. Casi dos tercios de las instituciones médicas se han encontrado con este problema, y cerca del 50% de ellas intentan no revelar el hecho del incidente. Mientras tanto, el 42% de las organizaciones han perdido información personal.

Es importante garantizar el nivel necesario de protección de datos en todas las fases del tratamiento de la información, tarea difícil en el proceso de recopilación y registro de datos, sistematización y almacenamiento en la base de datos, aclaración de detalles y, por último, destrucción de la información que ha perdido relevancia.

Las instituciones médicas pueden tratar dos tipos de datos personales. El primer tipo son datos simples, como nombres, fecha y lugar de nacimiento, indicadores antropológicos, fotografías, lugar de residencia y datos de contacto.

El segundo tipo son los datos personales sensibles. Este grupo incluye información sobre el estado de salud del paciente, información sobre los motivos por los que solicita ayuda médica, diagnóstico y detalles del tratamiento. Es esta información sensible la que se agrupa bajo el término ampliamente conocido de confidencialidad médico-paciente.

Marco legal de la protección de datos en salud

En México, la protección de datos en salud está regida principalmente por la Ley Federal de Protección de Datos Personales en Posesión de los Particulares (LFPDPPP). Este marco normativo establece obligaciones específicas para quienes tratan datos personales sensibles, categoría en la que se incluyen los datos de salud. La ley se fundamenta en los Artículos 16 y 6 de la Constitución Política de los Estados Unidos Mexicanos, que consagran el derecho a la protección de datos personales como un derecho fundamental.

El Aviso de Privacidad en el sector salud

El Aviso de Privacidad es un requisito estricto y obligatorio en México para cualquier entidad que procese datos personales, especialmente datos personales sensibles como los de salud. Las clínicas, hospitales y consultorios deben elaborar y poner a disposición de los pacientes un Aviso de Privacidad claro y accesible.

Este documento debe informar la identidad y domicilio del responsable del tratamiento, las finalidades primarias y secundarias del tratamiento de los datos, las opciones y medios para limitar el uso o divulgación de la información, y los mecanismos para ejercer los Derechos ARCO. Tratándose de datos sensibles, el aviso debe destacar expresamente que se está recabando este tipo de información y requerir el consentimiento expreso y por escrito del paciente para su tratamiento.

El GDPR y su aplicación en el ámbito sanitario

Como referencia internacional y buena práctica, el Reglamento General de Protección de Datos (GDPR) europeo establece lineamientos muy estrictos para los datos de salud. El GDPR define los datos sanitarios como una categoría especial que requiere un nivel de protección reforzado, y su tratamiento está prohibido salvo que concurra alguna de las excepciones previstas. El GDPR sirve como modelo comparativo para las organizaciones sanitarias que buscan elevar sus estándares de seguridad y privacidad.

Derechos del paciente como titular de los datos (Derechos ARCO)

Bajo la legislación mexicana, los titulares de los datos personales cuentan con los denominados Derechos ARCO. Estos derechos permiten a los pacientes tener control sobre su información médica:

• Acceso: El paciente puede solicitar conocer qué datos personales sensibles tiene la clínica en su poder.
• Rectificación: Puede pedir la corrección de datos médicos inexactos o incompletos.
• Cancelación: Puede solicitar la eliminación de sus datos cuando dejen de ser necesarios para la finalidad con la que fueron recogidos, salvo que exista obligación legal de conservarlos.
• Oposición: Puede oponerse al tratamiento de sus datos en determinadas circunstancias.

Adicionalmente, el paciente tiene derecho a la portabilidad de los datos, recibiéndolos en un formato estructurado para trasladarlos a otro proveedor de salud. El incumplimiento de estos derechos puede dar lugar a reclamaciones ante la autoridad de control competente, como el INAI, y a sanciones económicas significativas.

Motivos de la fuga de datos

Las clínicas y hospitales manejan a diario un enorme volumen de datos de pacientes, a los que sólo deberían tener acceso determinados miembros de la organización sanitaria. Según la ley, un titular de la información debe cuidar la protección de los datos personales.

El factor humano

Algunas clínicas aún no han completado la transición a la gestión electrónica de documentos y la contabilidad automatizada. Médicos, enfermeras y administradores tienen una mayor carga de trabajo al rellenar manualmente derivaciones y buscar papeles. Los datos en papel son más fáciles de perder, y la elevada carga aumenta el riesgo de errores por falta de atención.

Incluso con los crecientes niveles de digitalización, los riesgos persisten. En hospitales con un Software médico, los datos pueden perderse por fallos técnicos. Frecuentemente, los problemas los causan especialistas sin la competencia adecuada en seguridad. Según investigaciones del sector, los empleados son responsables de más de la mitad de las pérdidas de datos por errores y negligencia, sin mala intención.

Falta de acuerdo

A menudo surgen problemas por la falta de cooperación entre los centros sanitarios y los desarrolladores de software. Los proveedores pueden dar por sentado que la clínica se encargará de la protección de datos, mientras la organización asume lo contrario. Como resultado, los datos personales pueden quedar almacenados en dominios públicos. Esta desconexión provoca que los atacantes no necesiten piratear sistemas para acceder a la información.

Amenazas emergentes en la ciberseguridad clínica

El panorama de amenazas a la protección de datos en salud evoluciona con rapidez. En la actualidad, los centros sanitarios se enfrentan a vectores de ataque que hace apenas unos años eran prácticamente inexistentes.

El uso generalizado de dispositivos médicos conectados a Internet, conocidos como IoMT (Internet of Medical Things), ha ampliado considerablemente la superficie de ataque. Marcapasos, bombas de infusión, monitores de glucosa y otros dispositivos transmiten datos en tiempo real, y muchos de ellos carecen de protocolos de seguridad robustos. Una vulnerabilidad en cualquiera de estos dispositivos puede comprometer no solo los datos del paciente, sino también su seguridad física.

Por otro lado, la telemedicina ha pasado de ser una herramienta complementaria a un pilar fundamental de la atención. Las plataformas de videollamadas, si no están debidamente cifradas y alojadas en servidores seguros, exponen la confidencialidad de las consultas médicas a intercepciones.

Los ataques de ransomware dirigidos específicamente al sector salud también han aumentado. Los ciberdelincuentes saben que un hospital no puede permitirse perder el acceso a sus sistemas, por lo que la presión para pagar el rescate es mayor. Ante este escenario, la formación continua del personal y la actualización periódica de los sistemas se han convertido en prioridades ineludibles.

Las consecuencias de una filtración de datos

Las consecuencias de las filtraciones de bancos de datos pueden ser muy graves para la clínica y el personal responsable del incidente. Las violaciones de la seguridad pueden acarrear responsabilidades administrativas, civiles, disciplinarias o incluso penales. Si se produce una violación del secreto médico, el hospital tendrá que pagar una indemnización por el daño causado al paciente y su buena voluntad, así como todos los gastos ocasionados por la revelación y una multa. Un empleado puede ser amonestado o despedido o, en casos graves, inhabilitado para seguir trabajando o incluso encarcelado.

Por supuesto, los autores, incluidos los piratas informáticos y el personal de las clínicas que copian y distribuyen información sobre los pacientes, también pueden ser considerados responsables. La recopilación y difusión ilegal de secretos personales y familiares puede castigarse con multas o penas de prisión.

Se incurrirá en responsabilidad no sólo por violaciones directas de la seguridad, sino también por no facilitar datos, incluso debido a sistemas de información defectuosos.

Garantizar la seguridad

Para proteger los datos personales de los pacientes y, con ellos, a ellos mismos y a su personal, las organizaciones sanitarias deben crear un sistema de seguridad sólido. Los piratas informáticos tratan de captar datos sensibles de los usuarios y utilizarla después para sus propios fines.

¿Por qué los ciberataques se ocurren?

Ante todo, los atacantes se sienten atraídos por la facilidad con la que se pueden llevar a cabo los ataques.

1. Las entidades públicas suelen utilizar software obsoleto. Además, faltan especialistas competentes para supervisarlo.
2. Los hospitales utilizan sistemas informáticos anticuados, rara vez actualizan el software y, por lo tanto, estas soluciones contienen cientos de vulnerabilidades peligrosas que dan acceso incluso a los hackers menos cualificados. Resulta que el coste de implementar ataques es muy bajo, y en presencia de datos atractivos, este factor es siempre decisivo.
3. La falta de personal informático competente en el sector salud hace que las instituciones médicas no puedan hacer frente por sí solas a situaciones de crisis (por ejemplo, cuando un virus encripta todos los datos y los estafadores exigen un rescate para acceder a ellos).

La posesión de esta información privada ayuda a los atacantes a ganarse la confianza de los usuarios y engañarlos a ellos o a sus familiares. Además, los hackers pueden modificar los historiales médicos para dificultar el diagnóstico de los pacientes o chantajearles amenazándoles con revelar información sobre sus enfermedades. También interesa a los ciberdelincuentes la información sobre facturas médicas, que pueden utilizar para sus propios fines.

Herramientas para implantar la protección

La seguridad de tus datos es muy importante, pero antes de nada debes crear un sistema de protección interno. De lo contrario, sus datos desaparecerán antes de que un intruso los descubra.

El primer paso en este sentido es modelar las amenazas que se consideran en relación con el sistema de información de tratamiento de datos personales (SIP) existente que suele ser un Software médico.

A continuación, hay que definir la composición y el contenido de las medidas organizativas y técnicas que garantizarán la seguridad de los datos. Éstas deben aplicarse a todos los niveles del sistema de información: Software médico, puestos de trabajo, canales de datos, SGBD, infraestructura virtual.

A nivel del Software médico, pueden aplicarse mecanismos de seguridad integrados y diversos medios adicionales de protección contra el acceso no autorizado, por ejemplo:

• sistemas antivirus
• sistemas de prevención de intrusiones
• cortafuegos
• sistemas de prevención de fuga de datos

También se utiliza una amplia gama de herramientas en las estaciones de trabajo. Se utilizan sistemas operativos certificados para la protección, así como antivirus, sistemas de prevención de intrusiones y cortafuegos.

Recientemente han surgido nuevas soluciones: estaciones de trabajo automatizadas en las que se ha integrado un módulo de arranque de confianza certificado. Ayudan a proteger los equipos informáticos contra accesos no autorizados y supervisan la integridad del software y el hardware de los dispositivos en los que está instalado el módulo, incluso antes de que el sistema operativo empiece a arrancar.

A nivel de enlace de datos, además de las herramientas ya mencionadas, pueden utilizarse pasarelas criptográficas. Estos productos están disponibles en el mercado como paquetes de hardware y software. Para los SGBD se utilizan sistemas de seguridad especiales. En cuanto a la infraestructura virtual, incluso los hipervisores seguros de confianza pueden proporcionar seguridad.

Instrucciones paso a paso para proteger los datos personales

En general, un proyecto para construir un sistema de protección de datos personales consta de varias etapas.

• Recopilación de datos sobre los sistemas de información de datos personales existentes
• Modelización de las amenazas a la seguridad
• Definición de los niveles de seguridad
• Elaboración del pliego de condiciones
• Diseño del sistema de protección de datos personales
• Elaboración de la documentación organizativa y administrativa, reguladora de los procesos de tratamiento y protección de datos personales
• Entrega de equipos de protección de datos recolectados, su instalación y configuración
• Certificación de los sistemas de información de protección de datos personales sobre los requisitos de seguridad de la información (opcional)

Pueden producirse errores en cualquiera de las fases anteriores. Por ejemplo, si la organización no identifica correctamente las amenazas, existe riesgo de fuga de datos. Y si los profesionales sanitarios deciden que el sistema de información requiere un nivel de seguridad superior al realmente necesario, tendrán que tomar medidas redundantes e instalar elementos de seguridad adicionales. Esto puede multiplicar el coste de implantación y mantenimiento del sistema.

Algoritmos de seguridad de Software Médico

Cada sistema de información tiene su propio algoritmo para asegurar la información personal. La plataforma Medesk proporciona seguridad de la información mediante una arquitectura de construcción fragmentada que descompone el conjunto de la información en células.

Con el Software médico, el riesgo de piratería informática y usurpación de identidad es mínimo. Sin embargo, es importante limitar el acceso a las bases de datos a personas no autorizadas. Para ello, la dirección de la clínica debe adoptar una serie de medidas, como un sistema de acceso mediante contraseña, videovigilancia las 24 horas del día y un sistema de contraseñas de varios niveles. Así se evitará el robo deliberado de información personal de pacientes y trabajadores.

Algunos Softwares médicos protegen la conexión a través de la cual se realiza la transferencia de datos y aplican una separación de accesos basada en roles. También puede establecer derechos de acceso para sus empleados. El Software Médico hace todo lo posible para que pueda trabajar con total confidencialidad:

• seguridad de la conexión y cifrado de datos
• copia de seguridad de los datos
• configuración de los derechos de acceso
• autorización del titular

Los Softwares médicos tienen una arquitectura fragmentada única en la que las credenciales, la información médica y los datos personales se almacenan en diferentes ubicaciones. Esto permite aplicar esquemas fiables para restringir el acceso a la información. Los datos personales de los pacientes permanecen en la clínica y no van a la nube.

Para utilizar el software se necesita un nombre de usuario y una contraseña. Un miembro autorizado del personal de la clínica administra las cuentas de usuario. Al registrar a un usuario en el sistema, se especifican sus funciones. La función del usuario determina la cantidad de derechos para trabajar en el software, así como la cantidad de información que debe facilitarse.

Buenas prácticas para la gestión de datos de salud en clínicas

Más allá de cumplir con los requisitos legales mínimos, las organizaciones sanitarias que verdaderamente quieren proteger los datos de sus pacientes adoptan un enfoque proactivo. Esto significa no solo reaccionar ante los incidentes cuando ocurren, sino anticiparlos mediante políticas internas bien definidas y una cultura de seguridad arraigada en todos los niveles de la organización.

Política de acceso mínimo necesario

Uno de los principios más eficaces en la protección de datos en salud es el de mínimo privilegio: cada persona dentro de la organización debe acceder únicamente a los datos que necesita para desempeñar sus funciones. Un médico de urgencias no necesita ver el historial completo de todas las consultas previas de un paciente en otras especialidades. Un administrativo no necesita ver los detalles del diagnóstico.

Implementar este principio requiere un mapeo detallado de los roles dentro de la clínica y una configuración cuidadosa de los permisos en el software médico. No es una tarea que se realice una sola vez. Los permisos deben revisarse cada vez que un empleado cambia de puesto o abandona la organización.

Formación continua del personal

La mayoría de las brechas de seguridad en el sector salud tienen origen humano. Correos de phishing, contraseñas débiles compartidas entre compañeros, dispositivos personales conectados a la red clínica sin las debidas precauciones: todos estos comportamientos pueden evitarse con formación adecuada.

Las sesiones de formación no deben limitarse a una charla inicial en el momento de la incorporación. Deben ser periódicas, actualizarse con los nuevos tipos de amenazas y, siempre que sea posible, incluir simulaciones prácticas. Por ejemplo, enviar correos de phishing simulados a los empleados para evaluar su nivel de alerta real es una técnica ampliamente utilizada con resultados muy positivos.

Gestión de incidentes y plan de respuesta

Ningún sistema de seguridad es infalible. Por eso, toda organización sanitaria debe contar con un plan de respuesta ante incidentes de seguridad que sea conocido por todo el personal relevante. Este plan debe establecer con claridad quién debe ser notificado en primer lugar ante una brecha de datos, qué pasos deben seguirse para contener el incidente, cómo debe comunicarse la situación a los pacientes afectados y en qué plazos debe notificarse a la autoridad de control.

La preparación anticipada reduce significativamente el daño de un incidente. Las organizaciones que ya han ensayado su plan de respuesta son capaces de contener una brecha de datos en un tiempo mucho menor que aquellas que improvisan sobre la marcha.

Auditorías periódicas y evaluaciones de riesgo

La protección de datos en salud no es un proyecto con fecha de inicio y fin. Es un proceso continuo que requiere revisión periódica. Las auditorías internas o externas permiten identificar vulnerabilidades antes de que sean explotadas, verificar que los controles implementados funcionan correctamente y asegurar que la documentación exigida por la normativa está actualizada.

Se recomienda realizar al menos una auditoría completa al año, complementada con revisiones más frecuentes de los controles más críticos, como los registros de acceso al software médico o el estado de las copias de seguridad.

Preguntas frecuentes

1. ¿Qué son los datos de salud según la LFPDPPP?

La Ley Federal de Protección de Datos Personales en Posesión de los Particulares clasifica la información médica dentro del grupo de datos personales sensibles. Estos son aquellos datos personales que, de utilizarse de manera indebida, pueden dar origen a discriminación o representar un riesgo grave para el titular. Debido a esto, su tratamiento requiere medidas de seguridad extremas y el consentimiento expreso y por escrito del paciente.

2. ¿Es necesario el consentimiento del paciente para tratar sus datos de salud?

Sí, en México el tratamiento de datos personales sensibles requiere el consentimiento expreso y por escrito del titular. Este consentimiento se materializa habitualmente a través de la firma del Aviso de Privacidad. Sin embargo, este consentimiento no es necesario cuando los datos se recaban para obligaciones contraídas en tratamientos médico-sanitarios, siempre que se mantenga la confidencialidad y el secreto profesional.

3. ¿Qué debe hacer una clínica si sufre una brecha de seguridad?

En primer lugar, debe contener el incidente para evitar que se extienda. A continuación, debe evaluar el alcance de la brecha y determinar si supone un riesgo a los derechos de los afectados. La organización tiene la obligación de notificarlo de forma inmediata a la autoridad competente, como el INAI. Además, deberá informar directamente a los pacientes afectados para que puedan tomar medidas para proteger su identidad.

4. ¿Cuánto tiempo deben conservarse las historias clínicas?

Los plazos de conservación de los expedientes clínicos están regulados por la Norma Oficial Mexicana correspondiente. En general, el expediente clínico debe conservarse de manera indefinida en el caso de los pacientes pediátricos. Para los adultos, la normativa sanitaria establece plazos mínimos de conservación de varios años tras la última atención médica. Estos documentos son fundamentales para la historia clínica del paciente.

5. ¿Puede un paciente solicitar la eliminación de sus datos médicos?

El derecho de cancelación es uno de los Derechos ARCO, pero en el ámbito sanitario está sujeto a limitaciones. Los datos de salud que son necesarios para cumplir con obligaciones legales de conservación o que son imprescindibles para la continuidad asistencial no pueden eliminarse. El responsable del tratamiento debe evaluar cada solicitud de forma individualizada y comunicar al paciente si la cancelación procede o si los datos deben bloquearse temporalmente.

6. ¿Qué papel juega el software médico en la protección de datos?

Un software médico bien diseñado es una herramienta fundamental. Permite configurar permisos de acceso diferenciados por rol, registrar todos los accesos a los datos, aplicar cifrado y generar copias de seguridad periódicas. La elección de un software que incorpore estas funcionalidades reduce considerablemente el riesgo de incidentes y facilita el cumplimiento estricto de la LFPDPPP.

7. ¿Qué es el Aviso de Privacidad y por qué es obligatorio?

El Aviso de Privacidad es el documento físico o electrónico a través del cual el responsable del tratamiento informa al titular sobre la finalidad del uso de sus datos personales sensibles. Es un requisito estricto de la ley mexicana. Debe estar disponible en todo momento para los pacientes, explicar cómo se protegerá su información y detallar los mecanismos legales y técnicos para salvaguardar su privacidad.

Conclusiones

Debido a la naturaleza de los datos médicos, la ciberseguridad en la salud pública se ha convertido en un reto único. La creación de un enfoque unificado de la seguridad de la información se complica por el hecho de que las policlínicas, los hospitales y los laboratorios utilizan múltiples redes y suites digitales. Además, las instituciones tienen una red distribuida geográficamente y una infraestructura heterogénea.

La seguridad de la información sanitaria también se ve afectada por la insuficiencia de medidas organizativas para proteger la información, la falta de validación del cumplimiento de la SI y la falta de especialistas en seguridad de la información y ciberseguridad en los centros sanitarios.

Mientras tanto, las infraestructuras sanitarias sufren cada vez más ataques de piratas informáticos. El atractivo para los ciberdelincuentes radica en que los sistemas de información contienen una serie de datos sensibles, como los datos personales de los pacientes, números de tarjetas bancarias e historiales médicos.

Los ataques de piratas informáticos suponen un gran riesgo para la seguridad de la sanidad. La pérdida de acceso a dispositivos e historiales médicos puede provocar la imposibilidad de prestar servicios y atención sanitaria, y la modificación o el robo de los datos personales de los pacientes puede causar graves daños a su salud. Por ello, toda organización sanitaria debe tomar medidas eficaces para proteger los datos y evitar posibles filtraciones.

No sólo es importante crear un sistema integral de seguridad de la información acorde con los requisitos normativos, sino también formar al personal en competencias de seguridad informática, supervisar el uso de los datos, elaborar protocolos de respuesta a incidentes con funciones y responsabilidades claras y evaluar periódicamente los riesgos de ciberamenazas.