Los datos de salud no se protegen igual que los demás. Ni se recogen igual.

El problema

Un dato de salud no se puede rectificar cuando se filtra. Una tarjeta se bloquea y se emite otra; un diagnóstico, un tratamiento de salud mental, una prueba de fertilidad o un historial de adicciones acompaña a la persona toda su vida. Por eso casi todos los marcos de protección de datos tratan la salud como categoría especial, con requisitos más estrictos de base legal, seguridad y minimización. Y por eso una brecha en este sector no es un incidente técnico: es un daño personal irreversible para tus pacientes o usuarios.

El segundo problema es que casi ninguna plataforma sabe cuántos datos de salud está recogiendo de verdad. Un formulario de admisión con quince campos «por si acaso», un chat de soporte donde el paciente cuenta su caso completo, capturas de pantalla en un grupo de mensajería del equipo, notas de una videoconsulta guardadas en una carpeta personal. Nada de eso está en el mapa de datos, y todo eso es historial clínico a efectos prácticos.

El tercero son los terceros. La herramienta de citas, la de facturación, la de analítica web, la de correo, el proveedor de videoconsulta, el modelo de IA que resume la consulta. Cada uno recibe una porción de datos y cada uno es una posible vía de exposición. Muchos contratos estándar de estas herramientas no están redactados para tratar categorías especiales, y la responsabilidad frente al paciente sigue siendo tuya.

Y el cuarto es el consentimiento. No basta con que el paciente aceptara: hay que poder demostrar qué versión del texto aceptó, cuándo, para qué finalidad y cómo se le informó de la retirada. Cuando esa evidencia se guarda como un simple campo booleano en una base de datos, no demuestra nada.

Cómo lo resolvemos

• Mapa de Datos de Salud. Rastreo de dónde entra información de salud, incluidos los canales que nadie declara: formularios, chat, correo, mensajería, notas de consulta, adjuntos y herramientas de terceros. Clasificación por sensibilidad y decisión explícita sobre qué se deja de recoger.
• Minimización y Ciclo de Vida. Recorte de campos innecesarios, separación entre datos identificativos y datos clínicos, seudonimización donde el proceso lo permita, y política de conservación y borrado con plazos concretos por tipo de dato.
• Consentimiento Demostrable con Veritas UGC. Cada versión del texto de consentimiento y de la política de privacidad se sella con huella SHA-256 y sello temporal anclado en Bitcoin vía OpenTimestamps. Así se demuestra qué texto exacto estaba vigente en la fecha en que un paciente lo aceptó, sin depender de la palabra de la organización.
• Control de Proveedores. Inventario de terceros con acceso a datos, revisión de qué datos recibe cada uno y para qué, contratos de tratamiento, régimen de transferencias internacionales y plan de salida por si hay que cambiar de proveedor.
• Seguridad del Historial y de la Consulta. Control de accesos por rol y por episodio asistencial, registro de quién consultó qué historia y cuándo, cifrado, segundo factor, y endurecimiento del equipamiento y de la infraestructura que sostiene la operación.
• Gobernanza de la IA Clínica. Si usas modelos para transcribir, resumir o clasificar, se inventaría el sistema, se define qué datos consume, qué proveedor los procesa y en qué región, y se fija la supervisión humana: el modelo propone, el profesional sanitario decide y firma. Marco de referencia: ISO/IEC 42001.

Qué te llevas

• Mapa de flujos de datos de salud, incluidos los canales informales detectados.
• Plan de minimización con la lista concreta de campos y canales que se eliminan.
• Política de conservación y borrado con plazos por tipo de dato y responsable de ejecución.
• Registro de versiones de consentimiento y política, con certificados de sellado verificables.
• Inventario de proveedores con acceso a datos, con estado contractual y régimen de transferencias.
• Matriz de accesos por rol y registro de consultas al historial.
• Inventario de sistemas de IA con puntos de supervisión humana definidos por escrito.
• Runbook de respuesta a brecha, con criterios y plazos de notificación identificados.

Preguntas frecuentes

¿Nos podéis dejar conformes con la normativa sanitaria de nuestro país? Implantamos los controles técnicos y organizativos y documentamos la evidencia. La interpretación jurídica de la norma sanitaria aplicable —que varía mucho por país y a veces por región— corresponde a asesoría legal; en el grupo la asume Veritas Nexus Legal LLC. Nosotros construimos y demostramos; el criterio legal lo firma quien está habilitado para firmarlo.

Usamos IA para resumir consultas. ¿Es admisible? Depende de tu marco y de cómo esté montado. Lo que sí es exigible en cualquier caso es saber qué datos se envían, a qué proveedor, en qué región se procesan, si se usan para entrenar modelos y quién revisa la salida. Nuestro criterio de diseño es invariable: el modelo redacta un borrador, el profesional revisa, corrige y valida.

¿Hace falta pedir consentimiento para todo? No siempre; el consentimiento es una de varias bases posibles y en el ámbito asistencial a menudo no es la que aplica. El error habitual es el contrario: pedir consentimiento para todo y no poder demostrar después qué se pidió exactamente. Por eso trabajamos las bases de tratamiento y el registro de versiones a la vez.

Somos una app de bienestar, no una clínica. ¿Nos aplica lo mismo? Con frecuencia sí, más de lo que se espera. Datos de sueño, ciclo menstrual, peso, estado de ánimo o actividad física pueden considerarse datos de salud según el contexto y la finalidad, aunque no haya un profesional sanitario detrás. La evaluación empieza por determinar qué categoría tiene realmente cada dato que recoges.