Es jueves en la tarde y Andrea, gerenta de un centro médico en Chillán, recibe un correo de su jefa de enfermería. Una técnica, para ordenar los turnos de la semana, copió la planilla de pacientes del día —nombres, RUT, teléfonos y el motivo de cada atención— y la pegó en un chat de IA gratuito con su cuenta personal. No hubo mala intención. Pero ahora hay ochenta y tres pacientes cuyos diagnósticos quedaron en manos de un proveedor con el que el centro no tiene contrato, y Andrea tiene que decidir qué hace.
En cualquier empresa, un incidente así obliga a hacerse preguntas. En salud, la ley da algunas respuestas por adelantado.
Lo que cambia en salud: los pacientes también se enteran
El artículo 14 sexies obliga al responsable a reportar a la Agencia de Protección de Datos Personales, por los medios más expeditos posibles y sin dilaciones indebidas, las vulneraciones a las medidas de seguridad que ocasionen la destrucción, filtración, pérdida o alteración de datos, o la comunicación o acceso no autorizados a ellos, cuando exista un riesgo razonable para los derechos y libertades de las personas.
Hasta ahí, vale para cualquier empresa. Lo que cambia en salud está en el inciso tercero: cuando la vulneración se refiere a datos sensibles —y los datos relativos a la salud lo son (artículo 2°, letra g)—, el responsable también tiene que comunicarla a cada titular afectado. La ley dice cómo:
- en un lenguaje claro y sencillo;
- singularizando los datos afectados;
- explicando las posibles consecuencias y las medidas de solución o resguardo que se tomaron;
- a cada persona afectada, y si eso no es posible, mediante un aviso en un medio de comunicación social masivo y de alcance nacional.
En una tienda, una filtración de correos con riesgo razonable se reporta a la Agencia. En un centro médico, la misma filtración con el motivo de consulta obliga, además, a escribirle a cada paciente.
Ejemplo. El aviso a una paciente no puede decir «hubo un incidente con sus datos». Tiene que decir qué datos fueron (su nombre, su teléfono y el motivo de su atención del martes), qué puede pasar con ellos y qué hizo el centro. Para escribirlo, el centro tiene que saber exactamente qué salió.
El registro y la decisión
El mismo artículo pide registrar estas comunicaciones: la naturaleza de la vulneración, sus efectos, las categorías de datos, el número aproximado de personas afectadas y las medidas adoptadas para gestionarla y evitar que se repita. Y el artículo 14 quinquies agrega que, ante un incidente y si hay controversia, corresponde al responsable acreditar que tenía medidas de seguridad y que funcionaban.
¿Hay en el caso de Andrea un «riesgo razonable»? La ley no lo define con una regla automática, y es una evaluación que le toca al centro, con su área legal. Lo que sí es claro es que la omisión deliberada de comunicar una vulneración está entre las infracciones gravísimas (artículo 34 quáter, letra f), y que omitir las comunicaciones o los registros en casos de vulneración está entre las graves (artículo 34 ter, letra k). Decidir con cuidado, y dejar escrito por qué, es parte del trabajo. Para los pasos del mismo día, lee alguien pegó la base de clientes en un chat de IA y qué hacer ante una filtración de datos.
Qué mira la Agencia al fijar una multa
Si el caso termina en una sanción, el artículo 37 dice qué criterios debe aplicar la Agencia para fijar el monto. Entre ellos hay dos que en salud siempre están presentes:
- si el tratamiento incluye datos sensibles, y
- el perjuicio producido, especialmente el número de personas afectadas.
Hay otros: la gravedad de la conducta, la falta de diligencia, la capacidad económica del infractor y las atenuantes y agravantes. El artículo 36 enumera como atenuantes, entre otras, reparar el daño o llegar a acuerdos con los afectados, colaborar con la investigación de la Agencia y autodenunciarse, comunicando junto con la autodenuncia las medidas adoptadas. Haber puesto en riesgo la seguridad de los derechos de las personas es una agravante.
Leído así, el artículo 37 no es una amenaza: es una lista de lo que el centro puede hacer bien después de un incidente. Avisar rápido, avisar claro, colaborar y corregir pesan.
Antes del próximo incidente
Lo que evita el caso de Andrea no es un aviso en la intranet. Es que la técnica tenga una herramienta de la empresa para ordenar turnos, con contrato de encargo (artículo 15 bis) y resguardos para la transferencia internacional (artículo 27), y la costumbre de mandar a la IA sólo lo que la tarea necesita: para ordenar turnos, horas y boxes, no diagnósticos. Y en un centro de salud hay una capa más: la Ley 20.584 sobre derechos y deberes de los pacientes trata la ficha clínica como reservada. Los conceptos de base están en el pilar de esta serie.
Dónde ayuda Plumii
En Plumii, la regla del centro tapa nombres, RUT, correos, teléfonos y direcciones antes de que el mensaje llegue al modelo. Los diagnósticos no los reconoce el filtro: llegan al modelo, aunque sin el nombre. Las conversaciones están cifradas y son sólo de quien las escribe. Y queda un registro de uso, sin las conversaciones, con qué datos traía cada mensaje; en una empresa, también qué dato fue, visible sólo para quien el centro designe. Si alguna vez hay que avisarle a un paciente qué salió, ese registro dice qué pasó por Plumii. Mira cómo funciona.
Este artículo es información general, no asesoría legal. El texto oficial de la ley está en la Biblioteca del Congreso Nacional.