Una clínica privada maneja el tipo de información que la ley protege con más fuerza: expedientes, diagnósticos, resultados de laboratorio, datos de contacto y de pago de sus pacientes. Desde noviembre de 2024, la Ley de Protección de Datos Personales (LPDP) convirtió ese manejo cotidiano en un conjunto de obligaciones formales para toda entidad de salud privada en El Salvador, tenga dos consultorios o una red de sucursales. Esta guía explica qué exige la ley a una clínica, un laboratorio o un hospital privado, y qué conviene tener en orden antes de que lo pregunte un paciente, un auditor o un incidente.
El dato de salud es dato sensible: la categoría con más protección
La LPDP no trata todos los datos igual. La información de salud pertenece a la categoría de datos sensibles, la que la ley resguarda con mayor exigencia y sanciona con más severidad cuando se descuida. En la práctica, esto significa que un expediente clínico digital, una hoja de resultados o incluso la agenda de citas con motivo de consulta no pueden tratarse como un archivo administrativo más: requieren consentimiento informado del paciente, acceso restringido al personal que de verdad lo necesita y medidas de seguridad que se puedan demostrar.
Las seis obligaciones que una clínica debe tener resueltas
- Consentimiento informado del paciente. El paciente debe saber qué datos se recogen, para qué se usan y con quién se comparten (laboratorios de referencia, aseguradoras, proveedores del expediente electrónico), y aceptarlo de forma verificable.
- Política y aviso de privacidad. Un documento público y comprensible, visible en recepción y en el sitio web, que explique el tratamiento. Las plantillas genéricas copiadas de otro país no describen su operación real y no protegen a nadie.
- Medidas de seguridad demostrables. Control de accesos por rol (la recepcionista no ve lo mismo que el médico tratante), cifrado de los equipos que salen de la clínica, respaldos probados del expediente y bitácora de quién accedió a qué. La intención no basta: la ley pide poder demostrarlo.
- Delegado de protección de datos. Una persona designada como responsable del tema. En una clínica mediana no exige contratar a alguien nuevo, pero sí nombrar formalmente a quien responde, con funciones definidas.
- Respuesta a los derechos del paciente. Los derechos ARCO-POL (acceso, rectificación, cancelación, oposición, portabilidad y olvido) obligan a responder en los plazos legales cuando un paciente pide su expediente, corrige un dato o solicita que se elimine información. Sin un procedimiento definido, cada solicitud se vuelve una crisis interna.
- Notificación de brechas en 72 horas. Si el expediente electrónico es comprometido, una laptop con datos de pacientes se pierde o un ransomware cifra los sistemas, la ley establece un plazo de 72 horas desde la detección para notificar la brecha. Ese reloj solo se cumple si existe, de antemano, un plan de respuesta que diga quién detecta, quién decide y quién notifica.
Los tres escenarios donde una clínica descubre que no estaba lista
El expediente sin control de acceso. El sistema clínico tiene un usuario compartido, o todo el personal ve todo. El día que un dato de un paciente aparece donde no debía, no hay bitácora que permita saber quién lo consultó, y la clínica no puede demostrar que aplicaba medidas de seguridad.
El ransomware en el sistema de citas o resultados. La atención se detiene y, a la vez, corre el plazo de notificación porque hay datos sensibles comprometidos. Sin respaldos probados, la clínica enfrenta dos crisis simultáneas: la operativa y la legal.
El paciente que ejerce sus derechos. Alguien pide copia íntegra de su expediente o exige que se elimine su información de la base de mercadeo. Sin procedimiento ni responsable, la solicitud rebota entre recepción, administración y el médico, y el plazo legal se consume en el camino.
Por dónde empezar: cuatro pasos concretos
- Inventaríe sus datos. Qué información de pacientes maneja, en qué sistemas vive, quién accede y con qué terceros se comparte. Sin ese mapa, todo lo demás es adivinanza.
- Cierre los accesos. Usuarios individuales, permisos por rol, bajas el mismo día y cifrado en los equipos portátiles. Es el control con mejor relación esfuerzo y resultado.
- Escriba y designe. Aviso de privacidad que describa su operación real, consentimiento incorporado a la admisión del paciente y delegado de protección de datos nombrado.
- Prepare la respuesta a incidentes. Respaldos del expediente probados con restauración real y un plan de respuesta que contemple el plazo de notificación. Ensáyelo una vez: un plan que nunca se ensayó no funciona el día del incidente.
Preguntas frecuentes
¿La LPDP aplica a una clínica pequeña con pocos empleados?
Sí. La ley aplica a toda persona natural o jurídica que trate datos personales, sin mínimo de tamaño, y los datos de salud son sensibles, la categoría más protegida. Una clínica de dos consultorios con expedientes y agenda de pacientes ya es sujeto obligado.
¿Necesito contratar un delegado de protección de datos?
Necesita designarlo formalmente, con funciones definidas; en clínicas pequeñas y medianas suele ser alguien del equipo administrativo o de dirección con apoyo externo. Lo que no funciona es que nadie responda: la designación es una de las obligaciones centrales de la ley.
¿Qué pasa si sufrimos una fuga de datos de pacientes?
La ley establece un plazo de 72 horas desde la detección para notificar la brecha, además del deber de contener el incidente y proteger a los afectados. Cumplirlo exige tener antes un plan de respuesta con responsables definidos y respaldos que permitan recuperar la operación.
¿Cumplir con la LPDP me sirve también para otras exigencias?
Sí. El control de accesos, los respaldos probados y la evidencia documentada que pide la LPDP son la misma base que exigen la Ley de Ciberseguridad, los estándares como ISO 27001 y los cuestionarios de aseguradoras o clientes corporativos. Es un solo esfuerzo con varios frentes cubiertos.
El siguiente paso
Si su clínica ya enfrenta una revisión, un cuestionario de una aseguradora o simplemente quiere saber qué evidencia le van a pedir, solicite el dossier de cumplimiento: un expediente con las obligaciones que aplican a su entidad y las respuestas listas para quien las pregunte. Y para el panorama completo del marco legal, lea la guía de cumplimiento LPDP y Ley de Ciberseguridad en El Salvador o nuestra guía completa de ciberseguridad para empresas.
Nota: este artículo es informativo y refleja el estado de la normativa a julio de 2026. No constituye asesoría legal; para dictámenes sobre su situación específica consulte a su asesor jurídico y las publicaciones oficiales de la ACE.