La reciente decisión de la Sala Constitucional sobre el Reglamento de Receta Digital de Antimicrobianos debería leerse con cuidado. No solo como un fallo sobre una plataforma específica, ni únicamente como una victoria o derrota de un actor institucional, sino como una señal de fondo: Costa Rica necesita resolver con urgencia cómo gobernar, proteger e interoperar los datos de salud de las personas.
Según lo reportado públicamente, mediante el voto 2026-015323 la Sala Constitucional declaró inconstitucionales los incisos l), m) y n) del artículo 13 del Decreto Ejecutivo 44714-S, que exigían registrar en el formulario electrónico de receta digital información como el diagnóstico clínico, la fecha y resultado de frotis o cultivo, y las alergias medicamentosas del paciente. La acción fue promovida por el Colegio de Médicos y Cirujanos de Costa Rica y la Asociación Cámara Costarricense de Médicos y Cirujanos, bajo el argumento de que la obligatoriedad de registrar esos datos sensibles en una plataforma administrada por terceros vulneraba derechos fundamentales de los pacientes.
El punto crítico no es si los diagnósticos, alergias, resultados de laboratorio o antecedentes clínicos deben existir digitalmente. En salud, esos datos son esenciales. Sin ellos no hay continuidad asistencial, no hay trazabilidad clínica, no hay farmacovigilancia robusta, no hay vigilancia epidemiológica moderna y no hay interoperabilidad real. El problema es otro: bajo qué reglas, con qué finalidad, con qué base jurídica, con qué controles, por quiénes, durante cuánto tiempo y con qué capacidad de control por parte del paciente se tratan esos datos.
La Ley 8968 de Protección de la Persona frente al Tratamiento de sus Datos Personales reconoce los datos relativos a la salud como datos sensibles. Pero esa misma normativa no debe interpretarse como una prohibición absoluta para el uso de información clínica. De hecho, contempla excepciones cuando el tratamiento sea necesario para prevención, diagnóstico médico, asistencia sanitaria, tratamientos médicos o gestión de servicios de salud, siempre bajo condiciones de confidencialidad, finalidad legítima y deberes equivalentes de secreto profesional.
Ahí está el verdadero dilema país: no podemos construir salud digital moderna tratando los datos clínicos como si fueran intocables, pero tampoco podemos tratarlos como simples campos obligatorios dentro de una plataforma tecnológica. Los datos de salud no son propiedad operativa de una institución, de un proveedor tecnológico ni de una arquitectura nacional. Son información altamente sensible sobre personas, y su tratamiento debe estar subordinado a derechos, garantías, gobernanza y confianza.
Este fallo puede generar incertidumbre si se interpreta de forma aislada. Podría llevar a que actores públicos y privados teman capturar, almacenar o intercambiar datos clínicos necesarios para la atención. Pero también puede ser una oportunidad si se interpreta correctamente: la discusión no debería ser “dato clínico sí” o “dato clínico no”; la discusión debería ser consentimiento, gobernanza, proporcionalidad, seguridad, trazabilidad, auditoría y responsabilidad.
Costa Rica ya cuenta con una Estrategia Nacional de Salud Digital que plantea, entre sus objetivos, implementar una arquitectura nacional de intercambio de información en salud que facilite la interoperabilidad, la estandarización y la gobernanza de los datos conforme a buenas prácticas internacionales. Esa estrategia también reconoce líneas como estándares e interoperabilidad, regulación, cumplimiento, gobernanza de datos, identidad digital y sistemas seguros centrados en el paciente.
Además, la región avanza hacia iniciativas como la Ruta Panamericana de Salud Digital, donde la interoperabilidad busca que recetas electrónicas, historial clínico y otros datos puedan acompañar al paciente incluso entre países, para mejorar la continuidad asistencial y la calidad de la atención.
Por eso, el camino no puede ser cerrar los datos en bóvedas institucionales ni dejar que circulen sin control. El camino debe ser construir una capa nacional de confianza para el tratamiento de datos de salud.
Esa capa debería incluir, como mínimo, un modelo de consentimiento digital en salud, reglas claras de finalidad de uso, identificación robusta de pacientes y profesionales, trazabilidad de accesos, no repudio, auditoría, estándares de interoperabilidad y mecanismos para que el paciente pueda otorgar, limitar o revocar permisos de acceso según corresponda.
Esto no es algo que Costa Rica deba inventar desde cero. HL7 FHIR ya dispone del recurso Consent para representar acuerdos de consentimiento en salud, incluyendo condiciones sobre quién puede acceder, para qué propósito y bajo qué restricciones. IHE también ha desarrollado perfiles como Privacy Consent on FHIR, orientados a soportar consentimientos de privacidad y control de acceso en intercambios de información en salud basados en FHIR.
Mientras no resolvamos esto, seguiremos viendo prácticas de alto riesgo: resultados de laboratorio enviados por WhatsApp, epicrisis compartidas por correo sin verificación suficiente, capturas de pantalla con datos sensibles, plataformas clínicas sin certificación clara, accesos sin trazabilidad efectiva y terceros tecnológicos operando información clínica sin un marco suficientemente comprensible para pacientes, profesionales e instituciones.
Paradójicamente, muchas veces el riesgo no está en interoperar. El riesgo está en no interoperar bien.
Un país que no habilita canales seguros, auditables y consentidos para compartir información clínica termina empujando a los usuarios hacia canales informales e inseguros. Y eso también vulnera derechos.
La pregunta de fondo debería ser: ¿cómo garantizamos que cada persona tenga acceso oportuno y seguro a su historia clínica, sin que ese acceso se convierta en exposición indebida de su intimidad?
Para responderla, Costa Rica necesita avanzar en una agenda concreta:
- Definir una política nacional de consentimiento digital en salud.
- Establecer reglas diferenciadas para captura, almacenamiento, consulta, intercambio, uso secundario y análisis poblacional de datos clínicos.
- Certificar o acreditar plataformas digitales de salud que procesen datos sensibles.
- Exigir trazabilidad, auditoría, gestión de accesos y no repudio en los sistemas que manejen información clínica.
- Adoptar estándares internacionales como HL7 FHIR e IHE no solo para intercambiar datos, sino para gobernar permisos, consentimiento y privacidad.
- Crear una mesa de diálogo país donde participen el Ministerio de Salud, la CCSS, colegios profesionales, sector privado, academia, proveedores tecnológicos, especialistas en derecho digital, expertos en interoperabilidad y, sobre todo, pacientes.
El fallo de la Sala IV no debería convertirse en un freno a la transformación digital en salud. Debería ser el punto de partida para una discusión más madura: cómo proteger los derechos fundamentales de los pacientes sin renunciar a la posibilidad de una atención más segura, continua, interoperable y centrada en las personas.
Costa Rica tiene el recurso humano, los marcos de referencia y los estándares disponibles para hacerlo bien. Lo que falta es tomar la decisión país de pasar de la reacción normativa a una verdadera arquitectura de confianza para los datos de salud.
Porque el objetivo no es que los datos clínicos estén encerrados. El objetivo es que estén disponibles cuando salvan vidas, protegidos cuando exponen intimidad, y siempre bajo reglas claras, verificables y centradas en el paciente.