Salud:
datos sensibles, regulación múltiple.
Hospitales, clínicas y redes de salud gestionan datos de salud —los más sensibles que existen— y son OIV bajo la Ley 21.663. AlerceGRC integra la ANCI, la Ley 21.719, la Ley 20.584 y el DS 41 del MINSAL en un solo sistema.
Los servicios de salud son infraestructura crítica nacional. La ANCI designa a los establecimientos hospitalarios como Operadores de Importancia Vital (OIV).
Las normas que rigen al sector salud en Chile.
Ley 21.663 · Marco de Ciberseguridad
Los establecimientos de salud son OIV por la criticidad de sus sistemas clínicos e infraestructura de red. Las obligaciones incluyen:
- Programa de ciberseguridad con CISO designado
- Notificación de incidentes al CSIRT Nacional con plazos estrictos
- Protección de sistemas de información clínica (HIS, RIS, PACS)
- Continuidad operacional crítica para servicios de urgencia y UCI
Ley 21.719 · Protección de Datos
Los datos de salud son datos sensibles con protección reforzada bajo la Ley 21.719:
- Base de legitimación especial para tratamiento de datos de salud (Art. 16)
- RAT público y designación obligatoria de DPO en establecimientos de escala
- PIA/DPIA para sistemas de telemedicina y registros electrónicos
- Plazos reducidos para notificación de brechas que involucren datos de salud
Multas hasta 20.000 UTM o 4 % de ingresos en reincidencia gravísima.
Ley 20.584 · Derechos del Paciente
Establece los derechos de los pacientes en materia de privacidad y confidencialidad de su información clínica:
- Confidencialidad de la ficha clínica (Art. 12): acceso restringido al personal autorizado
- Derecho del paciente a acceder a su ficha clínica (Art. 13)
- Custodia de la ficha clínica por el prestador (Art. 12): 15 años mínimo
- Consentimiento informado documentado para procedimientos
DS 41/2012 MINSAL · Ficha Clínica
Decreto del Ministerio de Salud que regula el registro, custodia y confidencialidad de las fichas clínicas:
- Seguridad de los sistemas de ficha clínica electrónica
- Controles de acceso y registro de auditoría en sistemas clínicos
- Respaldo y recuperación de datos clínicos
- Destrucción segura de fichas al vencimiento del plazo de custodia
NIST CSF 2.0 · Marco de Ciberseguridad
Referente para estructurar el programa de ciberseguridad OIV en establecimientos de salud:
- Inventario de activos clínicos críticos (HIS, dispositivos médicos conectados)
- Detección de amenazas en redes hospitalarias
- Plan de respuesta y recuperación ante ransomware y ataques dirigidos
ISO/IEC 27001:2022 · SGSI
Sistema de gestión de seguridad de la información aplicable a infraestructura clínica y administrativa:
- Gestión de activos, control de acceso y criptografía de datos clínicos
- SoA (Declaración de Aplicabilidad) con firma digital y sello de tiempo
- Crosswalk ISO 27001 → Ley 21.663 OIV disponible en AlerceGRC
La privacidad y la ciberseguridad clínica, integradas.
Datos de salud con protección reforzada
El módulo de privacidad diferencia entre datos comunes y datos de salud (Art. 16 Ley 21.719), con flujos de aprobación y bases de legitimación documentadas para cada tratamiento.
Incidentes con reloj OIV hospitalario
Un ataque de ransomware en un hospital puede interrumpir cirugías. El módulo de incidentes calcula los plazos exactos de la Ley 21.663 y centraliza la coordinación de respuesta.
Ficha clínica y Ley 20.584
Los controles del marco chl-minsal-salud de AlerceGRC cubren la confidencialidad, custodia y acceso de la ficha clínica, con evidencia verificable para inspecciones de la SEREMI de Salud.
¿Tu establecimiento está preparado para la Ley 21.663 como OIV?
Te mostramos el marco chl-minsal-salud, los plazos de incidentes y el módulo de datos de salud en una demo de 45 minutos.
o escríbenos a [email protected]