Tu expediente ya está
bajo la ley de datos.
Desde noviembre de 2024 El Salvador tiene Ley de Protección de Datos Personales, y en agosto de 2026 Agencia de Ciberseguridad del Estado (ACE) publicó las reglas de detalle. Alcanza a cualquiera que trate datos personales: un consultorio de una persona queda tan obligado como un hospital.
Son unos papeles concretos y un par de costumbres nuevas. REMI trae los papeles ya redactados con los datos de tu clínica, y un curso de quince minutos para que sepas qué estás firmando.
Incluido en todos los planes, sin costo extra.
Seis cosas, y ninguna es un programa nuevo.
Un encargado de datos
Una persona designada por escrito que recibe las solicitudes de tus pacientes y es el contacto con la Agencia. Tiene que ser alguien distinto de quien decide sobre el expediente, así que no puedes ser tú. Sí puede ser alguien de tu equipo con título universitario, o un profesional externo.
Un aviso de privacidad publicado
Un documento que le diga a tu paciente qué guardas, para qué, dónde y a quién reclama. La ley acepta que se cumpla publicándolo en papel dentro de la clínica y en línea — no hace falta que cada paciente firme nada.
Responder en 20 días hábiles
Tu paciente puede pedirte ver su expediente, corregir un dato, llevarse una copia u oponerse a un uso. Hay plazo para contestar, y toda negativa va por escrito y explicada.
Avisar una filtración en 72 horas
Si se pierde, se altera o alguien accede indebidamente a datos de pacientes —aunque sea por accidente— hay 72 horas para notificarlo, contadas desde que te enteras.
Un registro de qué datos tratas
La lista de qué guarda tu clínica, para qué y por cuánto tiempo. Es de lo primero que pide una inspección, y la mayoría no lo tiene escrito.
Formar a tu equipo cada año
Capacitación continua del personal que toca datos personales, con constancia de que la recibió. Una vez al año basta.
¿Tengo que hacer firmar a cada paciente?
No. Llevar el expediente no necesita autorización: la ley permite tratar datos de salud cuando son necesarios para el diagnóstico o la atención y los trata un profesional sujeto al secreto profesional. Ese es tu caso.
Lo que sí tienes que hacer es informar, y la ley acepta que eso se cumpla publicando tu aviso de privacidad. Por eso REMI te da un cartel para la sala de espera con un código que abre tu aviso en el teléfono del paciente. Se imprime una vez y el código no cambia aunque actualices el texto.
Autorización expresa hace falta solo para lo que no es la atención en sí: abrirle cuenta en el portal, mandarle recordatorios por WhatsApp o que sus datos cuenten en estadísticas. Esas se piden aparte y se pueden retirar.
Los papeles, ya escritos.
01 · Entiendes qué te piden
Seis temas de dos minutos con casos prácticos: qué dice la ley, quién responde por el expediente, qué puede pedirte un paciente y qué hacer si algo se filtra. Al terminar sale tu constancia de capacitación.
02 · Nombras a tu encargado
Seis datos de una persona y salen las tres hojas firmables: el formulario de nombramiento, el acuerdo y la declaración jurada. Cambian solas según si tu clínica tiene sociedad inscrita o trabajas a tu nombre.
03 · Publicas tu aviso
Sale redactado con tus datos, tu encargado y tus proveedores. Un botón lo pone en línea y otro descarga el cartel de la sala de espera con su código.
04 · Respondes sin saber exportar
Las solicitudes de tus pacientes llegan a una bandeja con el plazo contándose solo. Nos la pasas, la preparamos y te la devolvemos: tú decides si la entregas.
Y si algo se filtra
Lo reportas desde el módulo con la hora en que te enteraste. REMI mide el alcance con la bitácora de accesos y te devuelve redactadas las tres notificaciones que la ley pide — a la Agencia, a la Fiscalía y a tus pacientes. Presentarlas te toca a ti, porque el responsable del expediente eres tú.
La ley reparte dos papeles.
Responsable del tratamiento
Decide qué se registra y para qué. Nombra al encargado, publica el aviso, responde a sus pacientes y presenta lo que la Agencia pida. Ante tu paciente y ante la autoridad, respondes tú. Ningún programa cambia eso, y desconfía del que diga lo contrario.
Encargado del tratamiento
Trata los datos por cuenta tuya y siguiendo tus instrucciones: seguridad, cifrado, respaldos, bitácora de accesos y el trabajo técnico cuando un paciente pide algo. Firmamos contigo un contrato de tratamiento de datos, y respondemos ante ti por nuestra parte.
Sobre la ley de datos.
¿Me aplica si atiendo solo, sin empleados?
Sí. La ley alcanza a toda persona natural o jurídica que trate datos personales, y no pone umbral por tamaño, por facturación ni por número de pacientes. Tampoco hace falta tener sociedad inscrita: si trabajas a tu nombre, el responsable eres tú.
¿Puedo ser yo mismo el encargado de datos?
No. La ley considera que hay conflicto de intereses cuando el encargado decide sobre los fines del tratamiento, y eso es justo lo que hace el dueño de la clínica. Puede serlo alguien de tu equipo que no tenga ese poder de decisión y cuente con título universitario, o un profesional o firma externa que contrates.
¿Hay una fecha límite?
la Agencia dejó sin efecto la fecha para comunicar el nombramiento y por ahora no exige enviarlo. Eso no quita la obligación: inspecciona cuando lo considera, y en esa visita pide los documentos firmados. Tenerlos listos es lo que resuelve la visita en diez minutos.
¿Un paciente puede pedirme que borre su expediente?
Puede pedirlo, y la respuesta es que no procede mientras corra el plazo de conservación del expediente clínico. Pero tienes que contestarle por escrito y explicárselo, no ignorarlo. Lo que sí procede es retirar su identidad del expediente, y REMI tiene ese camino.
¿Dónde se guardan los expedientes?
En servidores en Nueva York, Estados Unidos, cifrados en tránsito y en reposo. Como la ley pide avisar de los datos alojados fuera del país, REMI te genera ese oficio ya redactado. El detalle está en la página de seguridad y en el contrato de tratamiento de datos.
¿Usar REMI me deja en regla automáticamente?
No, y quien lo prometa te está mintiendo. REMI te da los documentos redactados, los plazos contándose solos y el registro de lo que vas cumpliendo. Firmar, archivar y presentar sigue siendo tuyo, porque la ley te nombra a ti como responsable. Lo que quitamos es el trabajo, no la responsabilidad.
¿De cuánto son las multas?
Entre uno y cuarenta salarios mínimos del sector comercio según la gravedad, y tratándose de datos de salud eso pesa en contra al graduarlas. La cifra exacta y el procedimiento están en el sitio de la Agencia, que es donde hay que verificarlos.
Esta página es nuestro resumen para que un médico entienda qué le piden, no asesoría legal. El texto oficial de la ley y de sus lineamientos vive en https://ace.gob.sv.
Los papeles ya están escritos.
Quince minutos de curso y una tarde de firmas. Incluido en todos los planes.