Con la publicación del nuevo Reglamento de Interoperabilidad e Intercambio Seguro de Datos de Salud, el 16 de octubre de 2026, Costa Rica ha dado un paso necesario. Esta norma crea el marco jurídico necesario para que hospitales, clínicas, laboratorios y consultorios públicos y privados puedan intercambiar información clínica de forma estandarizada y segura. Quien haya tenido que repetir exámenes por no tener a mano sus resultados, o haya llegado a una emergencia sin su historial, entiende su valor práctico.
Lo más destacable es el equilibrio del diseño. El reglamento opta por una arquitectura federada, y en vez de crear un repositorio central de expedientes, cada prestador conserva la custodia de sus datos. Se apoya en estándares internacionales como HL7 FHIR, consagra la neutralidad tecnológica y avanza de forma gradual, mediante un plan de implementación progresiva y guías técnicas sometidas a consulta. Además, reconoce a las personas como titulares de sus datos de salud y su derecho a obtenerlos en formato interoperable. Es una regulación que pone al paciente en el centro.
Para los prestadores de servicios de salud, sumarse al modelo es voluntario, pero quien decida interoperar queda obligado a cumplir el reglamento. El reglamento establece que estar conectado al sistema no da, por sí solo, permiso para consultar o compartir los datos de salud de un paciente; cada intercambio de datos necesita su consentimiento o una habilitación legal. Por eso conviene que prestadores, desarrolladores y proveedores tecnológicos tengan presentes cinco frentes de cumplimiento.
Primero, la base jurídica.
Los datos de salud son datos sensibles conforme a la Ley de Protección de Datos Personales. Cada flujo de intercambio debe sustentarse en el consentimiento informado del paciente, expreso, específico y verificable, o en una excepción legal, como la asistencia sanitaria prestada por profesionales sujetos a secreto. La carga de probar el consentimiento recae en el responsable, por lo que debe existir trazabilidad completa de quién lo otorgó, cuándo, para qué finalidad y si fue revocado. Documentar esa base y gestionar las revocaciones será tarea diaria.
Segundo, la gobernanza interna. Cada prestador debe designar formalmente a la persona o instancia que vele por el cumplimiento en materia de protección de datos, mantener evidencia de las medidas adoptadas y, cuando corresponda, inscribir sus bases de datos y protocolos de actuación ante la Agencia de Protección de Datos Personales.
Tercero, la ciberseguridad, que es el corazón de la confianza en el sistema. Los datos clínicos son de los más codiciados por los ciberdelincuentes y un ataque puede paralizar la atención de pacientes. El reglamento exige un enfoque basado en riesgos, con controles de acceso por roles, autenticación, cifrado, trazabilidad y auditoría de cada consulta, continuidad y respaldo. Ante una vulneración, el responsable debe informar a los afectados dentro del plazo de cinco días hábiles que fija el Reglamento a la Ley de Protección de Datos y, según el caso, a la Prodhab y al CSIRT-CR. Los planes de respuesta a incidentes deben estar listos antes de conectarse.
Cuarto, la cadena de proveedores. Quien contrata servicios de nube, software o integración sigue siendo responsable. Los contratos con estos proveedores deben fijar finalidades e instrucciones, confidencialidad, medidas de seguridad, subcontratación, ubicación de los datos, plazos de aviso de incidentes, derechos de auditoría y la devolución o migración de la información al terminar el servicio. Para los proveedores tecnológicos, esto significa revisar sus contratos estándar y estar listos para demostrar cumplimiento.
Quinto, la calidad, la finalidad y la custodia. Los datos intercambiados deben ser exactos y actualizados, y quien los recibe solo puede usarlos para el fin para el que se compartieron. Cuando se transformen o mapeen, debe conservarse su procedencia. Cada prestador mantiene la custodia de sus expedientes aunque los intercambie, y debe definir plazos de conservación de estos datos de acuerdo a la Ley de Protección de Datos y, si se destinan a investigación, a la Ley Reguladora de Investigación Biomédica.
Nada de esto debería verse como un obstáculo. Al contrario: un marco claro reduce la incertidumbre, ordena responsabilidades entre el Ministerio de Salud, el MICITT y la Agencia de Protección de Datos, y genera la confianza sin la cual ningún paciente aceptará que su información circule. Las organizaciones que integren la privacidad desde el diseño en sus proyectos de interoperabilidad no solo evitarán sanciones; estarán mejor posicionadas para liderar la salud digital del país.
---
El autor es abogado experto en derecho digital.
