¿La Ley de Protección de Datos Personales aplica a un consultorio pequeño?
Sí. La ley alcanza a toda persona natural o jurídica que trate datos personales, sin umbral por tamaño, facturación ni número de pacientes. Un médico que atiende solo y trabaja a su nombre queda obligado igual que un hospital.
¿Mi clínica tiene que nombrar un Delegado de Protección de Datos?
La Asamblea Legislativa aprobó el 17 de septiembre de 2026 una reforma que deroga los artículos que obligaban a las empresas privadas, clínicas y consultorios incluidos, a nombrar un Delegado. Rige ocho días después de publicarse en el Diario Oficial. Las instituciones públicas lo siguen necesitando. El resto de la ley no cambia: aviso de privacidad, solicitudes de los pacientes y aviso de filtraciones.
¿Tengo que hacer firmar una autorización a cada paciente?
No para llevar el expediente. La ley permite tratar datos de salud sin autorización cuando son necesarios para el diagnóstico o la atención y los trata un profesional sujeto a secreto profesional. Lo obligatorio es informar, y la ley acepta que se cumpla publicando el aviso de privacidad en la clínica y en línea.
¿Qué puede pedir un paciente sobre sus datos?
Ver qué datos suyos se guardan, corregirlos, llevarse una copia, oponerse a un uso concreto o pedir que se limite su tratamiento. La ley los llama derechos ARCO-POL. La clínica tiene 20 días hábiles para responder, prorrogables 20 más con causa justificada, y toda negativa va por escrito y explicada.
¿Un paciente puede exigir que se borre su expediente clínico?
Puede pedirlo, pero no procede mientras corra el plazo legal de conservación del expediente. Hay que responderle por escrito y explicarle el motivo. Sí procede bloquear sus datos o retirar su identidad del expediente.
¿Qué hacer si hay una filtración de datos de pacientes?
Hay 72 horas desde que se tiene conocimiento para notificarla a la Agencia de Ciberseguridad del Estado, a la Fiscalía General de la República y a los pacientes afectados. Cuenta cualquier pérdida, alteración o acceso indebido, aunque sea accidental.
¿De cuánto son las multas?
Las infracciones se clasifican en leves (1 a 10 salarios mínimos), graves (11 a 25) y muy graves (26 a 40), en salarios mínimos mensuales del sector comercio. Tratar datos de salud es un agravante al graduar la multa. Con el salario mínimo del sector comercio vigente, eso va de $408.80 a $16,352 por infracción.
¿Guardar el expediente en la nube está permitido?
Sí. Cuando un proveedor guarda los datos por cuenta de la clínica y bajo contrato, la ley lo trata como encargado del tratamiento y no como un tercero. Si los servidores están fuera del país, la clínica debe poner ese flujo en conocimiento de la Agencia.
¿Usar un software deja a la clínica en regla automáticamente?
No. La ley nombra responsable a la clínica, y ningún programa cambia eso. Un buen sistema redacta los documentos, cuenta los plazos y guarda la evidencia, pero firmar, publicar y responder sigue siendo decisión de la clínica.
