Chile se ubicó en el quinto lugar mundial en volumen de imágenes médicas expuestas en internet, según un estudio de Xmartlab que detectó dos servidores nacionales sin contraseña ni verificación de identidad.
La investigación contabilizó 8.105.798 imágenes clínicas accesibles, equivalentes a 5,77 terabytes de información, que podrían involucrar a más de 250 mil pacientes. Los sistemas permitían revisar listados de pacientes y exámenes, además de visualizar y descargar imágenes.
Radiografía de tórax - imagen referencial
El doctor José Fernández, CEO de Rayen Salud, advirtió que el problema va más allá de la privacidad. "Una imagen médica nunca viaja sola. Se guarda con un encabezado que identifica a la persona", explicó a 24horas.cl.
El especialista alertó sobre posibles fraudes, extorsiones y discriminación si estos antecedentes llegan a manos equivocadas. Por ejemplo, alguien podría hacerse pasar por una clínica y exigir el pago de un examen que el paciente efectivamente se realizó.
Sin embargo, la exposición no significa que se haya confirmado la descarga de los datos por terceros. Según Fernández, para determinarlo es necesario revisar los registros de acceso a los servidores.
¿Quién responde por los datos expuestos?
El profesor de Derecho de la Universidad San Sebastián y presidente del Instituto Chileno de Derecho y Tecnologías, Carlos Reusser, recordó que los datos médicos ya cuentan con protección legal en Chile.
"Los hospitales, clínicas y centros de diagnóstico ya tienen obligaciones: no necesitan esperar la nueva ley para proteger los exámenes de sus pacientes", sostuvo.
El abogado explicó que las instituciones pueden enfrentar indemnizaciones si se acreditan daños y su relación con un incumplimiento. Además, advirtió que la Ley Marco de Ciberseguridad contempla multas de hasta 20.000 UTM por infracciones gravísimas, que pueden llegar a 40.000 UTM para operadores de importancia vital, siempre que se acrediten las infracciones correspondientes.
En cuanto a la nueva Ley de Protección de Datos Personales, precisó que las multas en el sector privado podrán alcanzar las 10.000 UTM por incumplimientos de las obligaciones de seguridad. Sin embargo, enfatizó que contratar a terceros para almacenar información no libera a los prestadores de salud de sus responsabilidades.
"El secreto médico no desaparece cuando la ficha clínica pasa del archivador al servidor", concluyó.
Postergación de la ley de datos personales
El Senado aprobó este miércoles, por 33 votos a favor y seis en contra, el proyecto que posterga hasta el 15 de octubre de 2027 la entrada en vigencia de la Ley 21.719 de Protección de Datos Personales. La iniciativa también aumenta de tres a cinco los integrantes del consejo directivo de la futura Agencia de Protección de Datos Personales y ahora debe ser revisada por la Cámara de Diputadas y Diputados.
La nueva legislación debía comenzar a regir el 1 de diciembre de 2026. Según el Ejecutivo, la postergación busca contar con las condiciones institucionales y operativas necesarias para implementarla. Sin embargo, Reusser advirtió que el aplazamiento prolongará las limitaciones de las herramientas actuales para proteger los datos personales y reclamar ante una vulneración.
Imagen referencial de un hacker en un ataque informático
"La postergación prolongaría las debilidades de las herramientas actuales y retrasaría el acceso a una autoridad especializada con mayores capacidades de fiscalización", sostuvo Reusser sobre los riesgos de aplazar la normativa.
El abogado explicó que una de las principales diferencias será la creación de una vía administrativa gratuita para reclamar ante la futura Agencia de Protección de Datos Personales. Además, destacó que "una persona vulnerada no tendrá que convertirse en perito informático para defender sus derechos", ya que la nueva ley establecerá obligaciones más claras para quienes tratan datos personales.
Desde el ámbito de la salud digital, Fernández también manifestó su preocupación por la demora. "Este año hemos estado en permanente ciberataque, y salud es el más afectado en estos espacios, porque son los datos más sensibles", advirtió.
El médico agregó que la postergación mantiene por más tiempo las limitaciones del sistema actual y llamó a reforzar la seguridad de los antecedentes clínicos. "El deber no tiene que ver sólo con el cumplimiento legal, tiene que ver con un cumplimiento ético de quienes prestamos servicios en salud digital", afirmó.
Fernández también planteó la importancia de informar a las personas cuando sus antecedentes hayan quedado expuestos. "Si yo fuera uno de esos pacientes, me gustaría que me avisaran, por supuesto. Pero ya no por un tema legal, sino por un tema ético", señaló. Y enfatizó: "No son los sistemas, no son las clínicas, son las personas que ven expuestos sus datos sensibles a la red".
