Protección de datos de salud
En pocas palabras
La protección de datos de salud es el conjunto de reglas y medidas que definen quién puede recopilar, usar y compartir la información sobre la salud de una persona, con qué base legal, con qué seguridad y con qué derechos para el paciente. El RGPD, la LGPD, la Ley 25.326 de Argentina y la APPI de Japón tratan los datos de salud como categoría especial o sensible; HIPAA, en Estados Unidos, es una ley específica para la información de salud. Las reglas varían por país, y varias de esas leyes prevén expresamente su uso para la atención.
- Tipo
- Concepto
- Responsable
- Sin responsable único: concepto o tecnología genérica
- Revisado
- 25 de octubre de 2026
Explicación
Qué es
Proteger los datos de salud no es prohibir su uso: es fijar condiciones. Cada jurisdicción responde a las mismas preguntas: qué cuenta como dato de salud, quién está obligado, con qué base se puede tratar, qué derechos tiene la persona, qué seguridad se exige y quién supervisa.
Dos modelos
- Ley general con categoría especial. Una ley cubre todos los sectores y da a los datos de salud un régimen reforzado: el RGPD en la Unión Europea, la LGPD en Brasil, la Ley 25.326 en Argentina y la APPI en Japón.
- Ley sectorial. HIPAA, en Estados Unidos, obliga solo a entidades cubiertas (planes de salud, cámaras de compensación y ciertos prestadores) y a sus socios comerciales. En Canadá, PIPEDA convive con leyes provinciales de información de salud.
Comparación
| Jurisdicción | Norma | Cómo trata los datos de salud |
|---|---|---|
| Unión Europea | RGPD, art. 9 | Categoría especial: tratamiento prohibido salvo excepciones, como el consentimiento explícito o la asistencia sanitaria |
| Estados Unidos | HIPAA, 45 CFR 164 | Información de salud protegida; uso para tratamiento, pago y operaciones sin autorización |
| Canadá | PIPEDA | Define la «información personal de salud»; órdenes de exención remiten a leyes provinciales, como la de Ontario |
| Brasil | LGPD, arts. 5 y 11 | Dato sensible: consentimiento específico y destacado o supuestos legales, como la tutela de la salud |
| Argentina | Ley 25.326, arts. 2, 7 y 8 | Dato sensible; establecimientos y profesionales de salud pueden tratar datos de sus pacientes respetando el secreto profesional |
| Japón | APPI, arts. 2 y 20 (versión de referencia: Ley N.º 37 de 2021, según la traducción oficial) | El historial médico es información personal sensible; su obtención requiere consentimiento previo, con excepciones |
Elementos que se repiten
- Bases legales distintas del consentimiento para la atención y la salud pública.
- Derecho de acceso del paciente: por ejemplo, 30 días prorrogables en HIPAA.
- Seguridad y notificación de brechas: 72 horas ante la autoridad en el RGPD, como regla general.
- Autoridad de supervisión: autoridades nacionales en la UE, la ANPD en Brasil, el Comisionado de Privacidad en Canadá y el HHS para HIPAA.
Errores frecuentes
- Confundir protección con prohibición. El RGPD (art. 9.2.h), HIPAA (§ 164.506) y la LGPD (art. 11.II.f) prevén el uso para la atención.
- Suponer que una ley lo cubre todo. HIPAA no alcanza a quien no es entidad cubierta ni socio comercial.
- Creer que anonimizar siempre saca los datos del ámbito de la ley. La LGPD considera personales los datos anonimizados si la anonimización puede revertirse con esfuerzos razonables (art. 12).
- Reducirla a la seguridad informática. La seguridad es un elemento; también cuentan la base legal, la finalidad y los derechos.
Ejemplos de uso
En la Unión Europea, un hospital trata datos de salud para diagnóstico y asistencia con base en el art. 9.2.h del RGPD, bajo secreto profesional.
En Brasil, las operadoras de planes de salud privados no pueden usar datos de salud para seleccionar riesgos (LGPD, art. 11 §5).
En Argentina, el art. 8 de la Ley 25.326 permite a establecimientos y profesionales de salud tratar los datos de sus pacientes, respetando el secreto profesional.
En Canadá, una orden de exención de PIPEDA remite a los custodios de información de salud de Ontario a la ley provincial.
En Japón, la APPI incluye el historial médico en la información personal sensible, cuya obtención requiere consentimiento previo salvo excepciones.
En el Caribe, Puerto Rico está incluido en la definición de «estado» de HIPAA (§ 160.103).
Relación con otros términos
Se apoya en0
Este término no se apoya en otros del glosario.
Dependen de este2
- Consentimiento para el tratamiento de datos de saludFuerte
El consentimiento es una de las bases legales que las leyes de protección de datos de salud regulan; sus requisitos dependen de esas leyes.
- Residencia y soberanía de datos de saludMediana
Las reglas de residencia y de transferencia internacional forman parte de las leyes de protección de datos, como el capítulo V del RGPD.
Fuentes
- EUR-Lex — Regulation (EU) 2016/679 (GDPR)eur-lex.europa.eu
- eCFR — 45 CFR Subchapter C, Administrative Data Standards and Related Requirements (HIPAA)ecfr.gov
- Justice Laws Website — Personal Information Protection and Electronic Documents Act (Canada)laws-lois.justice.gc.ca
- Planalto — Lei nº 13.709/2018 (LGPD), texto compiladoplanalto.gov.br
- Argentina.gob.ar — Ley 25.326 de Protección de los Datos Personalesargentina.gob.ar
- Japanese Law Translation — Act on the Protection of Personal Information (Act No. 57 of 2003)japaneselawtranslation.go.jp