- Iñigo Ardanza
- 9 min de lectura
- Los datos de salud son información sensible bajo la Ley 25.326, con requisitos específicos de seguridad.
- Compartir contraseñas entre el equipo es una de las prácticas más riesgosas y evitables en un consultorio.
- El control de accesos por usuario permite auditar quién vio o modificó cada registro clínico.
- Las copias de seguridad automáticas reducen drásticamente el riesgo de pérdida definitiva de información.
- Usar una planilla o carpeta compartida sin cifrado no cumple con los requisitos legales para datos de salud.
- Antes de elegir un proveedor de software, conviene pedirle por escrito cómo protege la información.
Los datos de salud que maneja un consultorio son información especialmente sensible. Un nombre, un diagnóstico o un tratamiento en manos equivocadas puede tener consecuencias serias para el paciente, y la responsabilidad de evitarlo recae directamente sobre el profesional que gestiona esa información, independientemente del tamaño del consultorio.
La buena noticia es que proteger esos datos no requiere presupuesto de infraestructura empresarial. Requiere entender qué riesgos existen realmente y aplicar un conjunto de prácticas concretas, la mayoría de las cuales dependen más de decisiones organizativas que de inversión tecnológica.
¿Qué dice la Ley 25.326 sobre los datos de salud?
La Ley 25.326 de Protección de Datos Personales clasifica los datos de salud como información sensible, una categoría que recibe protección reforzada respecto a otros datos personales. Esto significa que su tratamiento exige medidas de seguridad específicas y que su uso indebido tiene consecuencias legales más severas que las que aplicarían a datos personales comunes.
La normativa establece principios que aplican directamente a la gestión de un consultorio: los datos deben recolectarse solo para fines determinados y legítimos, deben mantenerse actualizados, y deben protegerse con medidas técnicas y organizativas que impidan su adulteración, pérdida, consulta o tratamiento no autorizado. En la práctica, esto se traduce en decisiones concretas sobre cómo se almacena la información, quién puede acceder a ella y qué sistema se usa para gestionarla.
Los riesgos más frecuentes en un consultorio
La mayoría de los problemas de seguridad en consultorios no vienen de ataques sofisticados sino de prácticas cotidianas que parecen inofensivas hasta que generan un incidente.
Contraseñas compartidas entre el equipo. Cuando todos usan el mismo usuario para acceder al sistema, resulta imposible saber quién hizo qué. Si se pierde o filtra la contraseña, no hay forma de identificar el origen del problema ni de revocar el acceso de una sola persona sin afectar a todo el equipo.
Información dispersa en distintos dispositivos. Historias clínicas en una computadora, turnos en el celular personal de alguien del equipo, documentos en un pendrive. Cuanto más dispersa está la información, más difícil es controlar quién accede a ella y más alto el riesgo de pérdida si un dispositivo falla o se extravía.
Planillas compartidas sin cifrado. Una planilla de cálculo compartida por email o en una carpeta en la nube sin control de acceso puede parecer una solución práctica, pero no cumple con los requisitos de seguridad que exige la Ley 25.326 para datos sensibles. Cualquiera con el enlace puede verla, y no queda registro de quién la consultó.
Falta de copias de seguridad. Depender de un único dispositivo o de un archivo local sin respaldo significa que un robo, una falla técnica o un error humano puede borrar años de historial clínico sin posibilidad de recuperación.
Medidas concretas para proteger los datos del consultorio
Usuarios individuales, no compartidos. Cada persona del equipo debería tener sus propias credenciales de acceso al sistema de gestión. Esto permite saber exactamente quién accedió a cada registro y en qué momento, y facilita revocar el acceso de alguien que deja de trabajar en el consultorio sin tener que cambiar la contraseña de todo el equipo.
Control de accesos por rol. No todo el personal necesita ver toda la información. El profesional a cargo puede necesitar acceso completo a la historia clínica, mientras que el personal administrativo probablemente solo necesita ver datos de agenda y contacto. Configurar esos permisos reduce la superficie de exposición si algo sale mal.
Contraseñas robustas y verificación adicional. Una contraseña simple o reutilizada en varios servicios es una de las formas más comunes en que se compromete el acceso a un sistema. Cuando esté disponible, activar una capa adicional de verificación al iniciar sesión reduce significativamente ese riesgo.
Copias de seguridad automáticas. La información del consultorio no debería depender de que alguien recuerde hacer un respaldo manual. Un sistema que genera copias de seguridad de forma automática y las almacena en un lugar distinto al servidor principal protege contra fallas técnicas, errores humanos y ciberataques.
Dispositivos actualizados y protegidos. Mantener actualizado el sistema operativo y el software del consultorio, y evitar acceder a la información clínica desde dispositivos personales sin las mismas medidas de seguridad que el equipo del consultorio, reduce la exposición a vulnerabilidades conocidas.
Qué preguntarle a un proveedor de software antes de contratar
Cuando la gestión del consultorio depende de un sistema en la nube, buena parte de la responsabilidad de seguridad recae en el proveedor. Antes de contratar cualquier software, conviene tener respuesta clara a estas preguntas:
¿Dónde se almacenan los datos y bajo qué estándares de seguridad? ¿La información viaja y se guarda cifrada? ¿El sistema permite crear usuarios individuales con permisos diferenciados? ¿Con qué frecuencia se realizan copias de seguridad y dónde se almacenan? ¿Qué sucede con los datos si se deja de usar el servicio?
Un proveedor que no puede responder estas preguntas con claridad antes de la contratación probablemente tampoco pueda resolverlas después de un incidente.
Cómo gestiona Docfav la seguridad de los datos
Docfav almacena la información de los consultorios en servidores ubicados en la Unión Europea, con cifrado de datos y control de accesos configurable por usuario. Cada miembro del equipo puede tener credenciales propias con permisos definidos según su rol, y el sistema realiza copias de seguridad de forma automática.
Estas medidas no reemplazan las buenas prácticas del consultorio (contraseñas robustas, dispositivos actualizados, uso responsable de los accesos), pero sí reducen significativamente el riesgo asociado al almacenamiento y la disponibilidad de la información.
Si buscás centralizar la gestión de tu consultorio en un sistema que cumpla con estándares de seguridad claros, conocé cómo funciona Docfav.
Preguntas frecuentes
¿Es obligatorio cifrar los datos de los pacientes en Argentina?
La Ley 25.326 exige que los datos sensibles, como la información de salud, se protejan con medidas técnicas y organizativas adecuadas para evitar su alteración, pérdida o acceso no autorizado. El cifrado es una de las medidas técnicas más efectivas para cumplir con esa exigencia, aunque la norma no detalla un estándar técnico específico.
¿Puedo usar Excel o Google Drive para guardar historias clínicas?
Técnicamente es posible, pero estas herramientas no fueron diseñadas para cumplir con los requisitos de control de acceso, trazabilidad y seguridad que exige la normativa para datos sensibles. Un sistema de gestión clínica específico ofrece esas garantías de forma nativa.
¿Qué pasa si se filtra información de un paciente por un error del consultorio?
La responsabilidad recae sobre quien trata los datos, en este caso el profesional o la institución. Según la gravedad y las circunstancias, esto puede derivar en sanciones administrativas o reclamos del paciente afectado. Contar con medidas de seguridad documentadas reduce tanto el riesgo de que ocurra como las consecuencias si ocurre.
¿Cuántas personas deberían tener acceso completo a la historia clínica?
Las mínimas necesarias. Lo recomendable es que solo el profesional tratante y, si corresponde, otro profesional autorizado por el paciente tengan acceso completo. El resto del equipo debería tener accesos limitados según su función.
¿Las copias de seguridad reemplazan al cifrado?
No, cumplen funciones distintas. Las copias de seguridad protegen contra la pérdida de información; el cifrado protege contra el acceso no autorizado a esa información. Un sistema de gestión clínica completo debería ofrecer ambas medidas.
¿Cómo sé si el software que uso cumple con la Ley 25.326?
La ley no otorga certificaciones oficiales para software, así que no existe un sello que lo garantice. Lo que podés hacer es pedirle al proveedor información concreta sobre dónde almacena los datos, cómo los protege y qué controles de acceso ofrece, y evaluar si esas respuestas son consistentes con los principios que exige la normativa.
