Cuando los datos clínicos se convierten en el activo más codiciado

En abril de 2025, Argentina vivió lo que especialistas calificaron como la filtración de datos de pacientes más grande de su historia. Cientos de miles de estudios médicos pertenecientes a decenas de clínicas y sanatorios privados fueron robados y puestos a la venta en foros clandestinos. Lo más llamativo del caso es que el ataque no apuntó directamente a los centros médicos, sino a su proveedor de software: una sola vulnerabilidad en la cadena de suministro tecnológica fue suficiente para comprometer información sensible de miles de pacientes.

El incidente no fue aislado. En los meses siguientes, nuevas alertas involucraron a organismos estatales de salud, con datos de diagnósticos, tratamientos y registros personales de millones de argentinos potencialmente expuestos. El patrón se repite: instituciones que invierten en atención médica de calidad pero descuidan la infraestructura que custodia la información de quienes atienden.

Para cualquier organización del sector, ya sea una prepaga, una obra social, una clínica o una empresa con programa de salud corporativa, estos casos son una señal de alarma que no puede ignorarse.

Qué dice el marco normativo argentino sobre datos de pacientes

La Argentina cuenta con un andamiaje legal que establece obligaciones concretas para quienes administran información sanitaria. La Ley 25.326 de Protección de Datos Personales obliga a los responsables de bases de datos a adoptar medidas técnicas y organizativas que garanticen la seguridad y confidencialidad de la información. No es una recomendación: es un requisito legal con consecuencias ante su incumplimiento.

En paralelo, la Ley 26.529 de Derechos del Paciente establece que toda actividad vinculada a la obtención, clasificación, administración y transmisión de documentación clínica debe respetar estrictamente la dignidad del paciente y la confidencialidad de sus datos clinicos. Esto incluye a prepagas y obras sociales, que operan como custodios indirectos de esa información.

Más recientemente, la Ley 27.706, sancionada en 2023, creó el Programa Federal Único de Informatización y Digitalización de las Historias Clínicas, avanzando hacia un sistema unificado de registros electrónicos en todo el país. La norma establece condiciones estrictas de seguridad, integridad y autenticidad para el almacenamiento y uso de esos datos.

Incumplir este marco no solo expone a una organización a sanciones administrativas, sino que genera un daño reputacional difícil de revertir y abre la puerta a acciones legales por parte de los pacientes afectados.

Los tres vectores de riesgo que más afectan a las organizaciones de salud

Ataques a la cadena de suministro tecnológico

Como demostró la filtración de 2025, el riesgo no siempre viene del sistema propio. Cuando una organización terceriza la gestión de software médico o de imágenes diagnósticas, la seguridad de los datos clínicos queda parcialmente en manos del proveedor. Evaluá los protocolos de seguridad de tus proveedores tecnológicos con la misma rigurosidad que aplicás internamente.

Errores humanos y accesos no controlados

Buena parte de las brechas de seguridad en el sector salud no provienen de ataques externos sofisticados, sino de prácticas internas deficientes: contraseñas compartidas, accesos sin restricción por rol, falta de capacitación del personal administrativo. La ausencia de políticas de acceso basadas en jerarquía de necesidad es una vulnerabilidad subestimada y muy frecuente.

Sistemas desactualizados sin cifrado de datos

Según la Asociación por los Derechos Civiles (ADC), en Argentina la ciberseguridad no ha sido una prioridad en la agenda pública, y la regulación vigente no articula de manera efectiva la seguridad de la información con la protección de datos personales. Muchas instituciones aún operan con sistemas que no cifran los datos almacenados, lo que los hace especialmente vulnerables ante cualquier intrusión.

Qué podés hacer desde tu organización para reducir el riesgo

La gestión de datos clínicos no es exclusivamente un problema del área de IT: es una decisión de liderazgo que involucra a RR.HH., compliance, dirección médica y operaciones. Estas son las medidas que marcan la diferencia:

• Autenticación multifactor (MFA): Implementarla en todos los accesos a sistemas con información sensible reduce drásticamente el riesgo de intrusión por credenciales comprometidas.
• Auditorías periódicas de acceso: Revisá con frecuencia quién tiene acceso a qué información y revocá permisos de empleados que ya no los necesitan.
• Cifrado de datos en reposo y en tránsito: Los historiales clínicos y los datos de cobertura deben estar cifrados tanto cuando se almacenan como cuando se transmiten entre sistemas.
• Contratos con cláusulas de seguridad a proveedores: Incluí en todos los acuerdos con proveedores tecnológicos requisitos explícitos de protección de datos de pacientes y protocolos ante incidentes.
• Plan de respuesta ante brechas: Tener un protocolo definido antes de que ocurra un incidente reduce el impacto y cumple con las recomendaciones de la Agencia de Acceso a la Información Pública.

Si tu empresa gestiona programas de salud para empleados, la digitalización de esos servicios también implica responsabilidades sobre los datos generados. Plataformas de bienestar inteligente para empresas que operan bajo estándares de seguridad auditados pueden ser un punto de partida concreto para reducir la superficie de exposición.

El costo real de una fuga de datos en salud

La exposición de diagnósticos, enfermedades crónicas o tratamientos personales no solo viola derechos: puede habilitar situaciones de discriminación laboral, chantaje o fraude de identidad. Los datos de salud tienen un valor altísimo en mercados ilegales, precisamente porque contienen información que las personas no pueden cambiar: su historial médico, sus diagnósticos, su condición física.

Para una organización, el daño se mide también en términos de confianza institucional, que es mucho más difícil de recuperar que cualquier sistema informático. El paciente o empleado que ve comprometida su información no olvida qué institución fue responsable de custodiarla.

La gestión de datos clínicos como ventaja competitiva

Las organizaciones que tratan la seguridad de datos de pacientes como una prioridad estratégica, y no como un trámite de compliance, construyen una reputación diferencial en el mercado. En un contexto donde la adopción de herramientas de salud digital crece aceleradamente, la confianza se convierte en el activo más valioso.

Gestionar bien los datos clínicos no es solo protegerse de lo que puede salir mal. Es una declaración sobre el tipo de organización que querés ser.