Seguridad de datos de pacientes en tu clínica dental: qué exige la ley peruana

Por qué la historia clínica de tu paciente no es un dato cualquiera

Cuando un paciente se sienta en tu sillón, no solo te da su nombre y su número de teléfono. Te cuenta si es alérgico a algún anestésico, si toma medicamentos, qué tratamientos ha tenido y, en el odontograma, queda registrado el estado exacto de su boca. Toda esa información forma parte de su historia clínica, y bajo la legislación peruana se considera un dato sensible, con un nivel de protección más alto que el de un simple correo electrónico o una dirección.

Esto tiene una consecuencia práctica para tu consultorio o clínica: no basta con guardar los datos en algún lugar. La ley exige que sepas para qué los usas, quién puede verlos y cómo los proteges de accesos indebidos. Un cuaderno de citas dejado sobre el mostrador, una carpeta de fichas al alcance de cualquier visitante o un grupo de WhatsApp donde circulan radiografías son, en la práctica, brechas de seguridad, aunque nunca haya habido intención de causar daño.

La confianza del paciente depende en buena parte de esto. Alguien que se entera de que su historial de tratamientos circuló sin su permiso difícilmente vuelve a la clínica, y es probable que lo comente con otros pacientes.

Qué dice la Ley N° 29733 sobre los datos que maneja tu consultorio

La Ley de Protección de Datos Personales, Ley N° 29733, y su reglamento aprobado por Decreto Supremo N° 003-2013-JUS, establecen las reglas para cualquier organización que trate datos personales en el Perú, y una clínica dental entra directamente en ese grupo. La autoridad encargada de vigilar su cumplimiento es la Autoridad Nacional de Protección de Datos Personales, adscrita al Ministerio de Justicia.

La norma se apoya en varios principios que puedes aplicar sin necesidad de ser abogado: solo pedir los datos que realmente necesitas para atender al paciente, usarlos únicamente para esa finalidad, guardarlos con medidas de seguridad razonables y no conservarlos más tiempo del necesario. Los datos de salud, como el odontograma o el diagnóstico, están clasificados como datos sensibles, así que el estándar de cuidado que se te exige es mayor que con un dato común.

En la práctica, esto significa que el consultorio no puede tratar la ficha del paciente como algo secundario. Requiere un mínimo de orden: quién la abre, dónde se guarda y qué pasa con ella si el paciente deja de asistir.

Consentimiento informado y registro de tu base de pacientes

Antes de guardar los datos de un paciente, la ley pide que le informes con claridad para qué los vas a usar: atención clínica, recordatorios de citas, facturación, eventualmente comunicaciones sobre promociones si él lo acepta de forma separada. Esto suele resolverse con un formulario de admisión que el paciente firma en su primera visita, donde autoriza el tratamiento de sus datos, incluidos los de salud.

Si tu clínica maneja una base de datos automatizada, como un software de gestión con las fichas de todos tus pacientes, conviene revisar si corresponde inscribir ese banco de datos en el Registro Nacional de Protección de Datos Personales. No todas las clínicas pequeñas están obligadas, pero sí conviene consultarlo con un asesor legal en lugar de asumir que la norma no te aplica.

Un punto que muchas clínicas pasan por alto es el uso de WhatsApp para enviar recordatorios, resultados de exámenes o radiografías. No es que esté prohibido, pero el paciente debería saber por qué medio recibirá esa información y aceptar ese canal, porque una radiografía enviada al número equivocado es justamente el tipo de incidente que la ley busca prevenir.

Medidas de seguridad que puedes aplicar sin volverte experto en informática

La ley habla de medidas de seguridad técnicas y organizativas, y en un consultorio dental eso se traduce en cosas concretas: contraseñas individuales para cada persona que usa el sistema, en lugar de una clave compartida por toda la recepción; copias de respaldo periódicas de la información; y control sobre quién puede ver la historia clínica completa frente a quién solo necesita ver la agenda del día.

Aquí es donde un software de gestión bien pensado marca la diferencia frente al Excel compartido o la carpeta de papel. En Dently, por ejemplo, cada usuario entra con su propia cuenta y accede solo a lo que su rol requiere, la ficha del paciente y el odontograma digital quedan almacenados en la nube con respaldo automático, y la clínica evita depender de un archivo físico que cualquiera puede hojear o de un USB que se puede perder.

Lo mismo aplica a la facturación electrónica ante SUNAT: los comprobantes también contienen datos personales del paciente, así que el sistema que uses para emitirlos debería cuidar esa información con el mismo criterio que la historia clínica, y no dejarla suelta en hojas de cálculo sin control de acceso.

Qué arriesga tu clínica si no cumple

El incumplimiento de la Ley N° 29733 puede derivar en sanciones administrativas impuestas por la Autoridad Nacional de Protección de Datos Personales, con multas que dependen de la gravedad de la infracción. Pero más allá de la multa, hay una responsabilidad deontológica: el Colegio Odontológico del Perú exige confidencialidad sobre la información del paciente como parte del ejercicio profesional, y una filtración puede derivar en una queja ante el propio colegio.

A esto se suma el costo menos visible, que es el de la reputación. Un paciente que descubre que su información circuló sin cuidado no solo deja de volver, también advierte a familiares y amigos, y en un sector donde buena parte de los pacientes nuevos llega por recomendación, eso pesa más de lo que parece a primera vista.

Buenas prácticas para el día a día del consultorio

No hace falta un departamento de sistemas para cumplir con lo básico. Capacita a tu personal sobre qué información se puede compartir y con quién, evita enviar documentos clínicos desde números personales de WhatsApp, define contraseñas individuales y cámbialas cuando alguien deja de trabajar en la clínica, y ten a la mano un aviso de privacidad breve que el paciente firme junto con su ficha de admisión.

Revisa también los accesos de vez en cuando. Es común que un asistente que ya no trabaja en la clínica siga teniendo una cuenta activa en el sistema, y eso es exactamente el tipo de descuido que la ley busca que corrijas antes de que se convierta en un problema real.

Ninguna de estas prácticas exige una inversión grande. Exigen orden, y ese orden es más fácil de sostener cuando el software que usas para gestionar la clínica ya está pensado para eso, en lugar de depender de la memoria del equipo.

Preguntas frecuentes