Datos clínicos en la UCI: el punto ciego de la gobernanza

El 18 de diciembre de 2025, se informó públicamente de un ataque de ransomware atribuido al grupo “Devman” contra un prestador institucional de salud de alta complejidad, que habría culminado con la exfiltración de 250 GB de información altamente sensible. En los días posteriores, se reportó la publicación en la dark web de antecedentes que incluirían fichas clínicas, diagnósticos y resultados de exámenes —entre ellos, de VIH—, lo que motivó la intervención del SERNAC para recabar antecedentes y dimensionar el impacto en las personas afectadas. En paralelo, corresponde razonablemente suponer que la Agencia Nacional de Ciberseguridad se encuentra abordando las aristas técnicas y de coordinación que un evento de esta naturaleza impone.

Conviene calificar con precisión lo ocurrido: esto excede con creces un “incidente informático”. Estamos ante una brecha de seguridad que compromete el derecho fundamental a la protección de datos personales (art. 19 N°4 CPR) y que, por la naturaleza de la información involucrada —datos personales sensibles de salud—, presenta un potencial de daño particularmente elevado. Sus efectos pueden traducirse en discriminación, estigmatización y impactos en cobertura y condiciones de aseguramiento, además de afectaciones laborales y sociales para los pacientes. En lenguaje sanitario, no se trata de un cuadro leve: es un evento adverso mayor, con consecuencias transversales para los derechos de las personas y para la confianza en el sistema.

Un sector intensamente regulado… y aun así vulnerable

El caso inquieta, además, por una razón estructural: el sector salud chileno no opera en un “vacío normativo”. Al contrario, convive en un entramado regulatorio que, al menos en teoría, debiera elevar el umbral de cumplimiento, protección y resiliencia.

En primer lugar, la Ley N° 20.584 (Derechos y Deberes de los Pacientes), junto con su marco reglamentario, refuerza la confidencialidad, el acceso y la custodia de la información clínica, incorporando en años recientes —con rango legal— la telesalud y la ficha clínica electrónica. A ello se suman normas reglamentarias esenciales, como el Decreto N° 41, que regula el tratamiento y acceso a fichas clínicas, y el Decreto N° 6, que reglamenta prestaciones de salud realizadas a distancia mediante TIC, ambos dictados por el Minsal.

En segundo término, la Ley N° 21.459 sobre delitos informáticos actualiza el catálogo penal frente a conductas típicas del entorno digital —acceso ilícito, interceptación, afectación a la integridad de datos, falsificación informática, receptación y fraude informático—, varias de ellas particularmente pertinentes al contexto sanitario institucional.

En tercer lugar, la Ley N° 21.663 (Ley Marco de Ciberseguridad), vigente desde inicios de 2025, califica como servicios esenciales —entre otros— a los prestadores institucionales de salud (hospitales, clínicas, consultorios y centros médicos), precisamente por el impacto social que implica una indisponibilidad o compromiso severo de su infraestructura digital. En esa misma línea de criticidad, y conforme a la Resolución Exenta N°87 de la ANCI, de17 de diciembre de 2025, diversas instituciones privadas de salud han sido identificadas como operadores de importancia vital, categoría que eleva el estándar esperado de gestión y control en ciberseguridad.

Y, sin embargo, eventos de este tipo persisten.

Secuestro de datos clínicos: un objetivo preferente del cibercrimen

El sector salud es un objetivo estructuralmente atractivo para el ransomware por una combinación conocida: criticidad del servicio, sensibilidad del dato, urgencia operativa y presión reputacional. Reportes internacionales y análisis sectoriales han sido consistentes al mostrar que los ataques a organizaciones sanitarias son frecuentes y que la recuperación suele ser compleja y costosa, precisamente por la necesidad de continuidad asistencial y por la criticidad de los sistemas clínicos.

La implicancia es evidente: la amenaza es recurrente y la exposición es sistémica. En ese contexto, el cumplimiento meramente formal resulta insuficiente. La diferencia entre un sistema robusto y uno frágil no está en la cantidad de documentos, sino en la capacidad real de prevenir, detectar, contener y recuperar, con evidencia.

El cambio de paradigma: doble reporte, deber de informar a pacientes y accountability pública

Con la entrada en vigor plena de la nueva Ley de Protección de Datos Personales –Ley N° 19.628, modificada por la Ley N° 21.719– los incentivos y los costos del incumplimiento cambian de forma sustantiva. En términos simples: un episodio como éste ya no será solo materia de respuesta técnica y contención reputacional; será, además, un problema de cumplimiento demostrable.

Si un evento de esta naturaleza ocurriera bajo plena vigencia del nuevo régimen (a contar del 1 de diciembre de 2026), el “expediente” del incidente se volvería significativamente más exigente, al menos por cinco razones:

• Deber de reporte a la Autoridad: frente a vulneraciones a medidas de seguridad con riesgo razonable para derechos y libertades, se activa el deber de reportar a la Agencia de Protección de Datos Personales (art. 14 sexies, inc. 1°).

• Deber de comunicación a titulares/pacientes: tratándose de datos sensibles, se refuerza la obligación de informar a las personas afectadas —individualmente o mediante aviso masivo cuando no sea posible lo primero— en lenguaje claro, indicando datos comprometidos, consecuencias y medidas adoptadas (art. 14 sexies, inc. 3°).

• Régimen sancionatorio: vulnerar obligaciones de seguridad (art. 14 quinquies) configura infracción grave (art. 34 ter, letra j), con consecuencias económicas (hasta 10.000 UTM ) y reputacionales relevantes.

• Registro público: la inscripción de sanciones y cumplimiento en el Registro Nacional de Sanciones y Cumplimiento , administrado por la Agencia, incrementa el escrutinio de pacientes, aseguradoras, contrapartes y mercado.

• Responsabilidad civil: se habilita con mayor fuerza la vía de acciones civiles de indemnización de perjuicios por parte de las personas afectadas.

En paralelo, bajo la Ley Marco de Ciberseguridad ya existe una lógica robusta de reporte de incidentes al CSIRT/ANCI: el artículo 9° impone a las entidades obligadas el deber de reportar ciberataques e incidentes que puedan tener efectos significativos. La pregunta, entonces, no es solo si habrá reporte, sino si el sector está preparado para sostener un incidente bajo doble estándar regulatorio, con trazabilidad, evidencia y tiempos de respuesta consistentes.

Telesalud e interoperabilidad: la nueva frontera del riesgo clínico-digital

La salud digital avanza sin pausa: crece la telesalud, se profundiza la digitalización de procesos asistenciales y administrativos y, sobre todo, se instala el desafío —imprescindible, pero delicado— de la interoperabilidad de la ficha clínica. Este escenario amplía de manera significativa la superficie de exposición y multiplica los puntos vulnerables del ecosistema: integraciones con terceros y proveedores, gestión de identidades y credenciales, consumo de APIs, accesos remotos para soporte u operación, trazabilidad efectiva de accesos a registros clínicos y control estricto de privilegios.

Dicho en términos hospitalarios: si el sistema ya enfrenta dificultades para sostener estándares en entornos relativamente acotados, una interoperabilidad mal gobernada puede transformarse en un factor multiplicador del riesgo.

¿Qué está fallando?

En eventos como éste, rara vez “falla la tecnología” en abstracto; lo que falla es la gobernanza y, con ella, la protección de datos: roles y responsabilidades difusos; inventarios incompletos de tratamientos y activos; clasificación insuficiente; gestión débil de terceros (contratos, subencargos, accesos remotos y transferencias); controles deficientes de identidades, accesos y trazabilidad; ausencia de políticas efectivas de minimización y retención/eliminación; resiliencia frágil (respaldos no aislados, restauración no probada, continuidad operacional declarativa); falta de capacitación al personal, y una cultura de cumplimiento reactiva, más orientada a llenar el checklist que a operar seguro y demostrarlo con evidencia auditable.

La consecuencia es severa: una clínica u hospital puede exhibir políticas impecables y, aun así, terminar gestionando la exposición de la información clínica de miles de personas.

En el Día Internacional de la Protección de Datos Personales -fecha asociada al Convenio 108 del Consejo de Europa– la pregunta relevante no es si la digitalización en el sector sanitario avanza (ya está aquí), sino si la gobernanza de datos, la proactividad, la responsabilidad demostrable y, por cierto, el cuidado de la información de salud, avanzan al mismo ritmo. (Santiago, 28 de enero de 2026).

Ivonne Bueno****M. es abogada de la Universidad de Chile especializada en protección de datos personales, ciberseguridad y compliance. Dirige la consultora Habeas Data y preside la fundación Observatorio Ciudadan@ Digital. Posee un LL.M. en Derecho Comercial por la University of Edinburgh y un Master en Políticas Públicas por King’s College London.