Protección de datos en salud: Postergar la ley no posterga el desafío
Sr. Director,
A poco más de tres meses de la entrada en vigencia de la nueva Ley de Protección de Datos Personales, Chile enfrenta una paradoja. Mientras las organizaciones deberían estar acelerando su preparación para uno de los mayores cambios regulatorios de los últimos años, la posibilidad de postergar su implementación puede estar produciendo justamente el efecto contrario: esperar.
El Gobierno informó recientemente que evalúa modificar el calendario previsto para el 1 de diciembre, principalmente debido a dificultades relacionadas con la puesta en marcha de la nueva institucionalidad. Todavía existen definiciones pendientes y, precisamente por eso, sería un error que las organizaciones interpretaran esta discusión como una señal para detener sus procesos de adaptación.
En salud, ese riesgo es particularmente delicado porque cuando hablamos de datos personales en este sector no nos referimos simplemente a nombres, teléfonos o correos electrónicos. Hablamos de información sensible que circula todos los días mientras una persona agenda una consulta, confirma una hora, recibe una indicación, cancela una atención, entra a una lista de espera o continúa un proceso después de haber visitado a un especialista.
Y proteger esa información sin afectar la atención exige bastante más que modificar términos y condiciones.
La pregunta que deberían hacerse hoy hospitales, clínicas y centros médicos es bien concreta: ¿Están sus procesos preparados para seguir funcionando bajo las nuevas exigencias de protección de datos?
Consentimientos, mecanismos de identificación, trazabilidad, almacenamiento de información, canales de contacto y protocolos para ejercer o revocar autorizaciones tendrán consecuencias sobre procesos que hoy parecen tan simples como confirmar una hora médica. Implementarlos adecuadamente requiere decisiones tecnológicas y operacionales que no se resuelven de un día para otro.
Alcanzar estándares internacionales robustos en seguridad de la información y privacidad puede tomar años. Un proceso serio de preparación, implementación y certificación requiere tiempo, revisión de procesos y cambios que difícilmente pueden resolverse a última hora. Pensar que organizaciones o proveedores tecnológicos podrán cerrar todas sus brechas solo semanas antes de que comience a aplicarse una nueva regulación es, cuando menos, arriesgado.
Pero existe una dimensión que me preocupa incluso más: proteger los datos no puede significar hacer más difícil acceder a la salud.
Una implementación excesivamente restrictiva o procesos mal diseñados pueden terminar agregando fricción precisamente donde deberíamos eliminarla. Pensemos en un adulto mayor que necesita ayuda de un familiar para gestionar una consulta, en un padre que agenda una atención para su hijo o en un paciente que necesita ser contactado porque apareció una hora disponible antes de la que tenía asignada.
Son situaciones cotidianas. Y detrás de cada una existe una operación que debe ser capaz de proteger la información sin perder de vista a la persona. Esa es una de las discusiones que todavía no se da.
Durante años, la transformación digital en salud estuvo concentrada en incorporar tecnología y automatizar tareas. El desafío que viene es distinto: construir una operación capaz de tomar mejores decisiones operativas, mantener la continuidad de la atención y, al mismo tiempo, resguardar correctamente la información que hace posible esa gestión.
Esto también obliga a mirar con mayor atención a los proveedores tecnológicos. Una institución puede tener excelentes políticas internas de protección de datos, pero si parte de su operación depende de terceros que procesan información sensible, la seguridad de esa cadena será tan robusta como su eslabón más débil. Ya no debería bastar con preguntar qué hace una determinada solución o cuánto cuesta. También habrá que preguntar cómo protege la información, cómo asegura su trazabilidad, qué estándares cumple y qué ocurre con los datos durante cada interacción.
La nueva regulación eleva, en ese sentido, el estándar para toda la industria.
Por eso, la conversación sobre protección de datos no debería limitarse al cumplimiento normativo. También debe cuestionar cómo construimos una gestión ambulatoria más segura, trazable y estable.
La eventual postergación de la ley puede entregar más tiempo, pero no debería convertirse en una excusa para esperar.
Porque, independientemente de la fecha que finalmente determine la autoridad, los datos sensibles ya existen, los sistemas ya los procesan, los pacientes ya confían su información a las instituciones y los riesgos operacionales ya están presentes.
La ley podrá postergarse. La responsabilidad de estar preparados, no.
Milan Djidara,
Founder y CEO de Eniax
