El Gobierno publicó un reglamento para que los prestadores de servicios de salud públicos, privados y mixtos puedan intercambiar información de pacientes de forma segura y estandarizada, sin crear una base centralizada de expedientes clínicos. La incorporación será voluntaria y su implementación se realizará por etapas.
La norma establece el Modelo Nacional de Interoperabilidad en Salud: un marco para que los sistemas de información de distintos prestadores puedan comunicarse e intercambiar datos relevantes para la atención. Entre sus objetivos están favorecer la continuidad de los servicios y reducir la duplicación injustificada de registros, pruebas, procedimientos y trámites.
El Decreto Ejecutivo n.º 45960-S-MICITT apareció el viernes 16 de octubre en el Alcance n.º 139 a La Gaceta y rige desde esa fecha. Sin embargo, las obligaciones que requieran ajustes tecnológicos, organizativos u operativos se aplicarán conforme a un plan de implementación progresiva.
El Ministerio de Salud deberá desarrollar y publicar en un máximo de cinco meses las especificaciones técnicas iniciales del modelo y ese plan. El documento definirá las etapas, las categorías de prestadores participantes, los plazos y las condiciones necesarias para incorporarse.
No habrá un repositorio único de expedientes
El reglamento dispone que cada prestador mantendrá la administración de su infraestructura tecnológica y la custodia de los datos bajo su responsabilidad. El modelo funcionará mediante una arquitectura federada: los sistemas podrán intercambiar información sin concentrar los expedientes clínicos en un repositorio central.
“El Modelo Nacional de Interoperabilidad en Salud no se sustenta en un repositorio centralizado ni habilita su creación”, establece el artículo 10. La norma permite componentes compartidos para funciones como identificación, autenticación, localización de información y auditoría, siempre que no almacenen información clínica de forma persistente.
La participación voluntaria tampoco elimina las obligaciones legales de suministrar o notificar información que ya tengan los servicios de salud. Quienes cuenten con procesos de interoperabilidad anteriores al decreto deberán ajustarlos al nuevo modelo dentro del plazo que establezca el plan.
Cada prestador deberá financiar sus ajustes
El Ministerio de Salud ejercerá la rectoría del modelo, pero el decreto no le asigna la obligación de desarrollar, financiar, contratar, hospedar ni mantener la infraestructura que cada prestador necesite para participar.
Los servicios públicos, privados y mixtos que se incorporen deberán disponer de recursos tecnológicos, humanos, financieros y organizativos para cumplir sus obligaciones. Estas exigencias se aplicarán de manera proporcional a su capacidad, los riesgos del tratamiento de datos y su nivel de participación, sin eximirlos de los requisitos mínimos de seguridad y protección de información personal.
Entre sus responsabilidades estarán mantener los sistemas actualizados, garantizar la calidad y trazabilidad de los datos, controlar los accesos y contar con mecanismos de respaldo, recuperación y respuesta ante incidentes. También deberán velar por el cumplimiento de sus proveedores tecnológicos.
Los estándares se basarán en tecnologías abiertas o de amplia adopción cuyo uso no imponga barreras injustificadas de licenciamiento. Salud oficializará las especificaciones sanitarias y coordinará con el Ministerio de Ciencia, Innovación, Tecnología y Telecomunicaciones (Micitt) las materias de arquitectura digital, interoperabilidad tecnológica y ciberseguridad.
Conectar los sistemas no autoriza cualquier uso de los datos
El reglamento reconoce que las personas son titulares de sus datos de salud y establece una limitación expresa: la interoperabilidad no constituye, por sí misma, una autorización para acceder, utilizar, compartir o tratar esa información.
El tratamiento y el intercambio deberán contar con consentimiento informado o con otra base jurídica válida. La norma permite actuar sin consentimiento expreso únicamente en los supuestos previstos por la legislación, incluidas las obligaciones legales de suministrar datos.
Las personas podrán revocar su consentimiento de manera parcial o total. Esa revocación no tendrá efectos retroactivos sobre tratamientos realizados legítimamente ni impedirá aquellos sustentados en una base jurídica distinta e independiente.
En una emergencia, cuando el paciente no pueda manifestar su voluntad y la información sea necesaria para proteger su vida o salud, se permitirá el acceso estrictamente necesario y justificado. Ese acceso deberá quedar registrado para su revisión posterior.
El prestador que reciba información será responsable de su uso posterior y deberá respetar la finalidad para la cual se intercambió. La conexión entre sistemas no transfiere automáticamente a Salud o al Micitt la responsabilidad sobre las bases de datos de hospitales, clínicas u otros prestadores.
Contratos tecnológicos deberán precisar responsabilidades
La regulación también alcanza a proveedores que alojen, procesen, almacenen o transmitan datos por cuenta de los servicios de salud. Los contratos deberán definir las finalidades del tratamiento, las condiciones de acceso, los deberes de confidencialidad, las medidas de seguridad y las responsabilidades ante incidentes.
Cuando corresponda, deberán regular la subcontratación, la ubicación y transferencia de los datos, las auditorías y la devolución o migración de la información en un formato utilizable al terminar el servicio. Contratar a un tercero no libera al prestador de sus obligaciones de protección de datos.
Si un incidente compromete información personal de salud, el responsable deberá informar a las personas afectadas y, cuando corresponda, a la Agencia de Protección de Datos de los Habitantes (Prodhab), conforme a los términos y plazos de la normativa aplicable. Si puede afectar al modelo o a otros participantes, también deberá comunicarlo a Salud y al operador del componente compartido involucrado.
El decreto deroga el reglamento sobre uso de estándares para datos de salud de 2016. Su entrada en vigor no significa que todos los sistemas queden conectados de inmediato: las adecuaciones y su exigibilidad dependerán del plan progresivo y de las especificaciones técnicas que publique Salud.
