Datos de salud de tus pacientes: qué dice la Ley 25.326 de Protección de Datos Personales

Para la Ley 25.326, los datos de salud son datos sensibles con protección reforzada, pero su artículo 8 habilita a los profesionales de la salud a registrarlos y tratarlos para atender a sus pacientes, respetando el secreto profesional. A cambio, tenés que usarlos solo para esa finalidad, mantenerlos confidenciales y seguros, y responder en plazo cuando un paciente pide acceder a sus datos o corregirlos.

Cada día, en un consultorio circula información muy delicada: diagnósticos, tratamientos, estudios, antecedentes familiares, a veces cuestiones de salud mental o de la vida íntima del paciente. Esa información viaja por la agenda, la historia clínica, el celular, el correo y, casi siempre, por WhatsApp.

En Argentina, el tratamiento de esos datos está regulado por la Ley 25.326 de Protección de los Datos Personales, sancionada en el año 2000. Esta nota repasa lo que dice sobre los datos de salud y, sobre todo, cómo llevarlo a la práctica en un consultorio chico, donde no hay un área de sistemas ni un abogado a mano.

Los datos de salud son datos sensibles

La ley distingue entre datos personales en general y datos sensibles. En su artículo 2 define como sensibles, entre otros, los que revelan origen racial y étnico, opiniones políticas, convicciones religiosas, filosóficas o morales, afiliación sindical e información referente a la salud o a la vida sexual.

Esa categoría tiene una protección reforzada. El artículo 7 establece que nadie puede ser obligado a proporcionar datos sensibles y que solo pueden recolectarse y tratarse en los casos que la ley habilita.

Qué permite la ley a los profesionales de la salud

Si los datos de salud tienen tanta protección, ¿cómo puede un profesional registrar una historia clínica? La respuesta está en el artículo 8: los establecimientos sanitarios públicos o privados y los profesionales vinculados a las ciencias de la salud pueden recolectar y tratar los datos relativos a la salud física o mental de los pacientes que atienden o atendieron, respetando los principios del secreto profesional.

Es decir, la ley te habilita a registrar y usar esa información para atender al paciente. Lo que no habilita es usarla para otra cosa ni compartirla con quien no corresponde.

El principio de finalidad

La ley pide que los datos sean adecuados, pertinentes y no excesivos en relación con la finalidad para la que se obtuvieron, y que no se usen para fines distintos de esa finalidad. En un consultorio, eso significa:

• Pedir los datos que necesitás para atender y para gestionar el turno y el cobro, no más.
• No usar la base de pacientes para fines ajenos a la atención sin su consentimiento.
• No sumar a pacientes a listas o grupos de difusión sin preguntarles.

Qué dice la ley sobre el consentimiento del paciente

Como regla general, el artículo 5 exige el consentimiento libre, expreso e informado del titular para tratar sus datos, con algunas excepciones que la propia ley enumera. Y el artículo 6 obliga a informar al titular, al momento de recolectar sus datos, cuestiones como la finalidad, quién los va a tratar y cómo puede ejercer sus derechos.

En la práctica de un consultorio, esto se resuelve con un aviso claro, en la primera consulta o al reservar el primer turno, que explique para qué se usan los datos y cómo puede el paciente consultarlos o pedir que se corrijan. Si tenés dudas sobre si en tu caso hace falta un consentimiento escrito y cómo redactarlo, consultalo con tu colegio profesional o con un abogado.

Secreto profesional y confidencialidad

El artículo 10 establece el deber de confidencialidad: quienes intervienen en cualquier fase del tratamiento de datos personales están obligados al secreto profesional respecto de ellos, y esa obligación subsiste aun después de terminada la relación con el titular.

Esto se suma al secreto profesional propio de cada profesión de la salud y a lo que dispone la Ley 26.529 de Derechos del Paciente sobre intimidad y confidencialidad. No alcanza solo a quien atiende: también a la persona que te ayuda con la agenda o con los cobros, si tiene acceso a esa información.

Qué medidas de seguridad exige la ley

El artículo 9 obliga al responsable de los datos a adoptar las medidas técnicas y organizativas necesarias para garantizar su seguridad y confidencialidad, y evitar su adulteración, pérdida, consulta o tratamiento no autorizado.

La ley no dice qué herramienta usar, pero el criterio es claro: tenés que poder demostrar que tomaste recaudos razonables. Para un consultorio chico, eso incluye:

• Acceso con usuario y contraseña propios, y verificación en dos pasos cuando esté disponible.
• Registro de quién accede y qué cambia, para detectar un uso indebido.
• Copias de seguridad periódicas, para que una falla no signifique perder historias clínicas.
• Separación de la información: que los datos de tu consultorio no se mezclen con los de otros.

Qué derechos tienen tus pacientes sobre sus datos

La ley reconoce al titular de los datos una serie de derechos que el profesional tiene que respetar:

El derecho de acceso es gratuito si se ejerce con intervalos no inferiores a seis meses, salvo que se acredite un interés legítimo.

Un punto importante sobre la supresión

La supresión tiene límites. La propia ley prevé que no procede cuando pudiera causar perjuicios a derechos o intereses legítimos de terceros, o cuando existe una obligación legal de conservar los datos. La historia clínica tiene una obligación de conservación fijada por la Ley 26.529, así que un pedido de supresión no implica necesariamente borrarla. Ante un pedido concreto, consultá antes de actuar.

Si un pedido no se responde en plazo, el titular puede recurrir a la acción de habeas data o presentar un reclamo ante la autoridad de aplicación.

Quién controla el cumplimiento de la Ley 25.326

Desde 2017, la autoridad de control de la Ley 25.326 es la Agencia de Acceso a la Información Pública (AAIP). Es el organismo que recibe denuncias, dicta normas complementarias y puede aplicar sanciones. En su sitio publica guías y modelos que pueden servirte como referencia para redactar avisos de privacidad.

Buenas prácticas en el consultorio

La ley se cumple o no en lo cotidiano. Estas son las situaciones más comunes y cómo encararlas.

WhatsApp

WhatsApp es la herramienta de comunicación más usada con pacientes, y está bien usarla para lo que sirve: turnos, recordatorios, avisos. El problema aparece cuando se convierte en el archivo de la historia clínica.

• Usá el chat para coordinar, no para discutir diagnósticos en detalle.
• Si un paciente te manda un estudio, pasalo a su historia clínica y no lo dejes solo en el teléfono.
• Nunca reenvíes información de un paciente a un grupo, ni siquiera de colegas, sin su consentimiento.
• Si usás el teléfono personal, poné bloqueo con clave y revisá qué se guarda automáticamente en la galería.

Planillas compartidas

Una planilla en la nube con nombres, teléfonos y diagnósticos parece práctica, pero tiene riesgos concretos:

• Un enlace compartido por error puede dar acceso a cualquiera que lo tenga.
• No queda claro quién vio o modificó qué.
• Es fácil copiarla entera en otro lugar sin darse cuenta.

Si usás planillas, revisá con quién están compartidas y evitá cargar información clínica en ellas.

Computadoras compartidas

Si en el consultorio hay una sola computadora para varias personas:

• Que cada persona tenga su propio usuario en los sistemas que usan.
• Cerrá la sesión al terminar, sobre todo si la computadora queda en la recepción.
• No guardes contraseñas en el navegador de una computadora de uso común.
• Cuidá la pantalla: que el paciente que espera no vea la ficha del anterior.

Papel y escritorio

Lo físico también cuenta. Carpetas sobre el escritorio, órdenes en la sala de espera o una agenda abierta a la vista de todos son formas de exponer datos sensibles.

Cómo lo resolvés con Calidana

Calidana es un software de gestión para profesionales de la salud pensado con estos cuidados desde el inicio. Cada consultorio está separado de los demás, el acceso tiene verificación en dos pasos, queda un registro de actividad de quién entró a cada ficha y qué cambió, hay una papelera de 30 días y una copia de seguridad diaria. En una clínica, cada profesional ve únicamente a sus pacientes, y el paciente ve solo lo que decidís compartirle desde su link personal. Podés ver el detalle en la sección de seguridad y cómo funciona el espacio del paciente en la sección de pacientes.

Preguntas frecuentes

¿Necesito el consentimiento del paciente para registrar su historia clínica?

En general no hace falta un consentimiento aparte para registrarla: la Ley 25.326 habilita a los profesionales de la salud a tratar los datos de salud de sus pacientes, respetando el secreto profesional. Igualmente, informar al paciente para qué se usan sus datos es una buena práctica y, según el caso, una obligación. Ante dudas sobre tu situación, consultá con tu colegio profesional.

¿Puedo mandar recordatorios de turno por WhatsApp?

Sí, siempre que el paciente te haya dado su número para eso. Conviene que el recordatorio incluya solo lo necesario: día, horario y cómo reprogramar, sin datos clínicos.

¿Qué hago si un paciente me pide que borre sus datos?

Los datos de contacto o de comunicaciones pueden suprimirse, pero la historia clínica no, porque tiene una obligación legal de conservación. Analizá qué datos pide borrar. Respondé dentro del plazo y, si tenés dudas, consultá antes de actuar.

Esta nota es información general sobre la normativa vigente y no reemplaza el asesoramiento legal. Para tu caso particular, consultá con tu colegio o consejo profesional o con un abogado.