Protección de datos de salud en el consultorio: qué exige la Ley 25.326 y qué pedirle a tu software

Todo lo que registrás de un paciente es, para la ley argentina, un dato sensible. Eso tiene consecuencias concretas sobre dónde lo guardás, quién puede verlo, qué hacés si se filtra y qué contrato tenés con tu proveedor de software. Esta guía resume lo que exige la Ley 25.326 de Protección de los Datos Personales y la Agencia de Acceso a la Información Pública (AAIP), y termina con las preguntas que conviene hacerle a cualquier sistema antes de confiarle una historia clínica.

Los datos de salud son datos sensibles

La Ley 25.326 define como datos sensibles los que revelan, entre otros, información referente a la salud. La regla general es que nadie puede ser obligado a proporcionarlos y que solo pueden tratarse cuando hay razones de interés general autorizadas por ley o con fines estadísticos sin identificar a las personas.

La excepción que te habilita a vos está en el artículo 8: los establecimientos sanitarios y los profesionales de la salud pueden recolectar y tratar los datos relativos a la salud de los pacientes que acudan a ellos, respetando el secreto profesional. Esa es la base legal de tu historia clínica. Pero es una habilitación con condiciones: finalidad asistencial, confidencialidad y seguridad.

Principios que aplican todos los días

• Finalidad. Los datos se recogen para atender al paciente. Usarlos para otra cosa, por ejemplo para enviarle publicidad de un tratamiento, requiere su consentimiento y la posibilidad de retirarlo.
• Calidad. Tienen que ser exactos y actualizados. Un dato erróneo debe corregirse cuando el paciente lo pide.
• Información. Cuando recolectás datos, el paciente tiene derecho a saber para qué, quién los va a tratar y cómo ejercer sus derechos. Un texto breve en la ficha de admisión resuelve esto.
• Confidencialidad. El artículo 10 obliga al secreto profesional a todas las personas que intervienen en el tratamiento de los datos, incluida tu secretaria, tu equipo y tu proveedor de software, y ese deber subsiste después de terminada la relación.

Seguridad: qué significa en la práctica

El artículo 9 exige adoptar las medidas técnicas y organizativas necesarias para garantizar la seguridad y confidencialidad de los datos, evitar su adulteración, pérdida o acceso no autorizado, y detectar desviaciones. La AAIP publicó en la Resolución 47/2018 medidas de seguridad recomendadas para datos en medios informatizados. No son un formulario para completar, son una lista de prácticas:

• Control de acceso con usuarios individuales, contraseñas robustas y permisos por rol.
• Registro de accesos: quién vio o modificó qué, y cuándo.
• Copias de respaldo periódicas, probadas, guardadas en un lugar distinto al de los datos originales.
• Cifrado de los datos en tránsito y en reposo.
• Un procedimiento para incidentes de seguridad: qué hacer si se pierde un equipo, si alguien accede sin autorización o si hay una filtración.
• Baja de usuarios cuando alguien deja el equipo.

Para un consultorio pequeño, la mayoría de estas medidas las implementa el software, no vos. Por eso la elección del proveedor es, en buena medida, la decisión de seguridad más importante que tomás.

Registro de bases de datos

La ley prevé la inscripción de las bases de datos en el Registro Nacional de Bases de Datos que administra la AAIP. Qué bases tienen que inscribirse y con qué alcance ha tenido interpretaciones distintas a lo largo del tiempo, así que consultá con tu asesor o directamente con la AAIP si la base de pacientes de tu consultorio debe registrarse. Lo que no admite duda es que tener la base inscripta no reemplaza las medidas de seguridad: son obligaciones independientes.

Transferencia internacional

El artículo 12 prohíbe, como regla, transferir datos personales a países que no tengan niveles de protección adecuados. Las excepciones incluyen el consentimiento del titular y el uso de cláusulas contractuales modelo aprobadas por la AAIP. Esto importa porque muchos sistemas alojan la información en servidores fuera de Argentina. No es ilegal en sí, pero tenés que saber dónde están los datos y bajo qué contrato se transfieren. Es una pregunta que tu proveedor debe poder responder por escrito.

Derechos del paciente sobre sus datos

Además de la copia de la historia clínica que regula la Ley 26.529, la Ley 25.326 reconoce derechos que podés recibir por escrito en cualquier momento:

• Acceso: saber qué datos tenés sobre él. La ley fija un plazo de diez días corridos para responder.
• Rectificación, actualización o supresión: corregir o eliminar datos inexactos, en un plazo de cinco días hábiles. La supresión no aplica cuando la conservación es obligatoria, como la historia clínica durante los diez años que exige la Ley 26.529.

Si no respondés en plazo, el paciente puede iniciar la acción de habeas data. Tener los datos centralizados y exportables es lo que hace posible responder a tiempo.

Sanciones

La AAIP es la autoridad de control y puede aplicar apercibimientos, multas y, en casos graves, la clausura o cancelación de la base de datos. El régimen de infracciones se actualizó en los últimos años y gradúa las sanciones por gravedad y reincidencia. Más allá del monto, una filtración de datos de salud daña la confianza de tus pacientes de una forma que ninguna multa refleja.

Qué pedirle a tu software

Antes de contratar o renovar un sistema de gestión, pedí respuestas por escrito a estas preguntas:

1. ¿Dónde se alojan los datos y bajo qué contrato se transfieren al exterior, si corresponde?
2. ¿Qué usuarios y roles existen, y puedo limitar quién ve la historia clínica?
3. ¿Hay registro de accesos y modificaciones por usuario?
4. ¿Los datos están cifrados en tránsito y en reposo?
5. ¿Con qué frecuencia se hacen copias de respaldo y cómo se restauran?
6. ¿Puedo exportar todos mis datos, en un formato legible, si decido irme?
7. ¿Qué procedimiento tienen ante un incidente de seguridad y en cuánto tiempo me avisan?
8. ¿Firman un acuerdo de confidencialidad y tratamiento de datos como encargados?
9. ¿Qué pasa con los datos cuando termina el contrato?

Un proveedor serio responde todo esto sin esfuerzo. La mayor parte de las respuestas de MedPragma está publicada en la página de seguridad y privacidad, y la parte específica de la historia clínica la cubrimos en la guía sobre historia clínica electrónica en el consultorio.

Checklist mínimo para el consultorio

1. Texto de información al paciente en la ficha de admisión.
2. Usuario individual para cada persona del equipo, sin contraseñas compartidas.
3. Acuerdo de confidencialidad firmado con cada integrante del equipo.
4. Respuestas por escrito del proveedor a las nueve preguntas de arriba.
5. Un procedimiento de una página para incidentes: a quién avisar, qué registrar, qué comunicar.
6. Consulta hecha sobre la inscripción de tu base en el registro de la AAIP.

Guía orientativa, actualizada en octubre de 2026. No reemplaza el asesoramiento legal para tu situación particular.