Después de una noche inquieta descargas una app de seguimiento del sueño, conectas tu dispositivo ponible y tocas «Permitir» en una serie de pantallas de permisos. A la mañana siguiente ves un panel ordenado con las fases del sueño, los patrones de frecuencia cardiaca y datos sobre tu recuperación. Lo que quizá no ves es el recorrido que hay detrás de ese panel: qué información se queda en tu teléfono, qué datos llegan a los servidores de la app y si socios externos de analítica o publicidad pueden recibirlos.
Esa incertidumbre es el problema central de la privacidad de los datos de salud. Un portal hospitalario y una app de bienestar independiente pueden mostrar ambos la frecuencia cardiaca o los síntomas, pero pueden regirse por leyes, contratos, sistemas técnicos y modelos de negocio diferentes. Esta guía explica esas capas con un lenguaje sencillo, para que puedas distinguir una garantía de privacidad real de una frase tranquilizadora en la ficha de una app.
Por qué la privacidad de los datos de salud importa más de lo que crees
Una app de sueño puede convertir mediciones corrientes en un perfil íntimo. La variabilidad de la frecuencia cardiaca puede sugerir estrés o recuperación. Los despertares nocturnos repetidos pueden revelar patrones de insomnio. Las notas sobre síntomas pueden dejar al descubierto una enfermedad crónica, una rutina de medicación, una preocupación de salud reproductiva o un problema de salud mental. La información se vuelve más sensible cuando una app la combina con la ubicación, los identificadores del dispositivo, la edad, la actividad de navegación o los hábitos de compra.
Este flujo puede ser difícil de ver. Un dispositivo ponible registra una señal, el teléfono la importa, la app la analiza y los kits de desarrollo de software pueden enviar datos de uso o de medición a servicios remotos. Esos servicios pueden servir para informes de fallos, analítica del producto, personalización, publicidad u otras funciones descritas en una política de privacidad. Puede que hayas aprobado la conexión inicial sin darte cuenta de que son los socios comerciales de la app, y no su interfaz, quienes determinan adónde va parte de la información.
Por qué esta información es especialmente difícil de sustituir
Una contraseña se puede cambiar después de una filtración. Un historial del ritmo cardiaco, una cronología de síntomas o un registro de salud reproductiva no se pueden sustituir tan fácilmente. Incluso cuando un conjunto de datos no incluye tu nombre, las combinaciones de marcas de tiempo, ubicaciones, datos del dispositivo y comportamiento pueden hacer que una persona sea reconocible.
La magnitud de la exposición explica por qué importa la arquitectura. Una revisión revisada por pares registró 2.216 filtraciones en el sector sanitario en 65 países en 2018 e informó de que 249,09 millones de personas se vieron afectadas entre 2005 y 2019, incluidos 157,40 millones en los últimos cinco años de ese periodo. La misma revisión identificó 3.912 incidentes de filtración en el sector sanitario en su conjunto de datos más amplio de 2005 a 2019. Estas cifras proceden de la revisión revisada por pares sobre filtraciones en el sector sanitario.
Regla práctica: trata un flujo de datos de frecuencia cardiaca, un diario de síntomas o un historial de sueño como información sensible aunque la app se presente como de «bienestar».
El límite de la privacidad que muchos usuarios pasan por alto
Las normas tradicionales de privacidad sanitaria pueden proteger la información que guarda un hospital, una clínica, una aseguradora o su proveedor de servicios contratado. No acompañan automáticamente a los datos cuando los copias en una app de consumo, conectas un dispositivo ponible o exportas un informe a otro servicio.
Esta distinción no significa que todas las apps de consumo sean inseguras. Significa que tienes que hacer preguntas más precisas: ¿Quién recibe los datos? ¿Dónde se procesan? ¿Se almacena la información sin procesar? ¿Puedes eliminarla? ¿Usa la app analítica de terceros? Cuando puedes responder a esas preguntas, la privacidad se convierte en algo que puedes evaluar en lugar de algo que tienes que dar por supuesto.
Las protecciones de HIPAA y del RGPD
HIPAA establece una base importante en EE. UU., pero no es una etiqueta universal asociada a todos los productos relacionados con la salud. La era moderna de la privacidad suele situarse en la promulgación de HIPAA, el 21 de agosto de 1996. La Norma de Privacidad se publicó en diciembre de 2000, entró en vigor el 14 de abril de 2001 y la mayoría de los proveedores y planes de salud sujetos a ella tuvieron que cumplirla antes de abril de 2003, según la cronología de HIPAA de los CDC.
HIPAA se aplica en general a las entidades cubiertas, como hospitales, clínicas, planes de salud y centros de intercambio de información sanitaria, así como a los socios comerciales que gestionan información protegida en su nombre. Por eso, un portal del paciente vinculado a un hospital puede estar sujeto a las obligaciones de HIPAA. Una app independiente de meditación, ejercicio o síntomas puede no estarlo, aunque recopile información que parezca claramente médica.
Qué buscar en el lenguaje de una app
«Cumple con HIPAA» debería llevarte a hacer una pregunta práctica, no a dar por terminada la conversación. Si una app trabaja para una organización sanitaria cubierta, pregunta si la relación se rige por un acuerdo de socio comercial (Business Associate Agreement), que establece las responsabilidades en el manejo de la información sanitaria protegida. «Alineada con HIPAA» o «preparada para HIPAA» pueden describir un enfoque de diseño, pero esas expresiones por sí solas no demuestran una cobertura legal.
El RGPD funciona de otra manera. Puede aplicarse cuando una organización trata datos personales relacionados con personas del Espacio Económico Europeo, según las circunstancias. La información de salud se considera una categoría especial de datos personales, que recibe una protección más estricta y requiere una base jurídica y una condición aplicables para su tratamiento. El RGPD también puede otorgar derechos como el acceso, la supresión y la portabilidad de los datos, aunque esos derechos pueden tener límites.
| Aspecto | HIPAA (EE. UU.) | RGPD (UE/EEE) |
|---|---|---|
| Ámbito principal | Entidades sanitarias cubiertas y sus socios comerciales | Organizaciones que tratan datos personales de las personas protegidas en las circunstancias aplicables |
| Información de salud | Información sanitaria protegida en poder de entidades cubiertas y socios pertinentes | Los datos de salud son una categoría especial que requiere protección adicional |
| Consentimiento | Las normas de privacidad regulan los usos y divulgaciones permitidos, y el consentimiento es relevante en situaciones concretas | El consentimiento puede ser una base jurídica, pero las organizaciones pueden basarse en otros fundamentos legales cuando esté permitido |
| Controles del usuario | Los derechos de acceso y rectificación se aplican dentro del marco de HIPAA | Pueden aplicarse los derechos de acceso, supresión, portabilidad y otros, con ciertos límites |
| Apps de consumo | A menudo quedan fuera de HIPAA salvo que estén vinculadas a una entidad cubierta | Pueden entrar en el ámbito del RGPD cuando se aplican sus normas territoriales y de tratamiento |
Una política de privacidad puede ayudarte a entender la posición de una app, pero el cumplimiento legal es solo el mínimo. El diseño técnico decide si los registros sin procesar se guardan en un servidor, si los empleados pueden acceder a ellos y si los recibe código externo. Puedes consultar la política de privacidad de Cardiogram como ejemplo del nivel de detalle sobre arquitectura y manejo de datos que deberías buscar.
Cómo funcionan los modelos técnicos de privacidad
La arquitectura de privacidad determina cuánta información tiene que salir de tu dispositivo. Piensa en dos apps de salud que calculan la tendencia de la frecuencia cardiaca en reposo. Una envía las lecturas sin procesar a un servidor para analizarlas. La otra calcula la tendencia en el teléfono y guarda el resultado en local o en una copia de seguridad personal protegida. Las pantallas pueden parecer similares, pero los registros pasan por sistemas distintos y crean vías de exposición diferentes.
El lugar del procesamiento cambia el riesgo
El procesamiento en el dispositivo mantiene los datos de los sensores dentro del propio teléfono. El teléfono lee la señal, hace el cálculo y muestra el resultado sin enviar los datos de entrada sin procesar al servidor de una empresa. Esto reduce el número de sistemas que reciben y deben proteger el registro original. No elimina todos los riesgos. Un dispositivo comprometido, una captura de pantalla, una exportación o una integración conectada pueden seguir exponiendo la información.
Apple afirma que los datos de Salud y de HealthKit están cifrados en el dispositivo y solo son accesibles cuando el dispositivo se desbloquea con un código, Touch ID o Face ID. Con la autenticación de doble factor y una versión de iOS compatible, los datos de Salud que se sincronizan a través de iCloud reciben cifrado de extremo a extremo, lo que significa que Apple no puede leerlos, según se describe en la información de Apple sobre la seguridad de los datos de Salud.
Los permisos son otra barrera. Los marcos de datos de salud pueden permitir que una app solicite categorías concretas, como los pasos o la frecuencia cardiaca, separando el acceso de lectura del de escritura. Compara cada solicitud con la finalidad declarada de la app. Una herramienta que analiza la frecuencia cardiaca puede necesitar las lecturas, pero no debería recibir automáticamente tus contactos, un historial de ubicaciones sin relación con su función ni permiso para modificar tu registro de salud.
El cifrado protege momentos distintos
El cifrado en tránsito protege la información mientras se desplaza por una red. Puede impedir que terceros lean la transmisión, pero el servicio que la recibe puede seguir siendo capaz de abrir y procesar los datos. El cifrado en reposo protege la información almacenada en un dispositivo o servidor, igual que una caja fuerte protege su contenido una vez entregado.
El cifrado de extremo a extremo va más allá. El remitente cifra la información, el dispositivo del usuario destinatario tiene la capacidad de descifrarla y el proveedor del servicio no puede ver el contenido. Eso limita lo que el proveedor puede hacer con los datos. El diseño de la recuperación de la cuenta y de las copias de seguridad sigue siendo importante, porque puede influir en quién tiene acceso en última instancia.
Apple también indica que algunas métricas de Salud, como las tendencias, los aspectos destacados, la frecuencia cardiaca en reposo y las predicciones del seguimiento del ciclo, se calculan en el dispositivo. Su documento técnico sobre la privacidad de Salud ilustra la diferencia entre mantener las señales sin procesar en local y enviarlas a un servicio en la nube para que haga inferencias.
Prueba de arquitectura: pregunta si el proveedor necesita tus registros sin procesar para ofrecer la función. Si no los necesita, el procesamiento local y la recopilación mínima suelen crear una superficie de exposición menor.
La privacidad diferencial puede añadir otra capa al introducir un ruido controlado en los resultados agregados. Así, las organizaciones pueden estudiar patrones generales sin publicar ningún registro individual. No es una goma de borrar mágica. La implementación, la configuración, los controles de acceso y la conservación de los datos siguen determinando el resultado práctico.
Busca pruebas, no adjetivos. Las auditorías de seguridad independientes, las pruebas de penetración, una documentación técnica clara y los componentes de código abierto que se pueden inspeccionar ofrecen más confianza que una expresión como «de nivel militar» por sí sola.
Procesamiento en el dispositivo frente a sincronización en la nube
El procesamiento local mantiene las mediciones dentro del teléfono. La sincronización en la nube las transmite a la infraestructura de un proveedor. Ambos enfoques pueden ofrecer funciones de salud útiles, pero crean riesgos de privacidad diferentes para las lecturas de frecuencia cardiaca, las notas de síntomas y los datos de los dispositivos ponibles.
La ruta de los datos importa más que la etiqueta. Una app puede calcular un resultado en el dispositivo, copiar los registros mediante un servicio de copia de seguridad personal o subir la información sin procesar a sus propios servidores. Cada ruta cambia quién puede almacenar los datos, recuperarlos, analizarlos o atender una solicitud de soporte.
El modelo local
El procesamiento local puede ser adecuado para información que no quieres que guarde una empresa de apps, como la variabilidad de la frecuencia cardiaca, los patrones de sueño detallados o las notas de síntomas. El teléfono puede calcular un patrón sin enviar las mediciones subyacentes a un sistema remoto. Esto puede reducir las bases de datos en servidores, los flujos de analítica y el acceso de empleados, y la función puede seguir funcionando sin una conexión constante.
El inconveniente es la continuidad. Si el dispositivo falla y no hay una copia de seguridad protegida, la información almacenada en local puede ser difícil o imposible de recuperar. Las apps locales también pueden ofrecer un acceso limitado desde varios dispositivos. Puede que tengas que gestionar tú mismo una exportación antes de compartir un informe con tu médico.
Un ajuste de permisos no demuestra por sí solo que el procesamiento se quede en local. Comprueba si la app recibe solo un resultado, como una tendencia, o si también sube las lecturas sin procesar que se usan para obtenerlo. La diferencia de privacidad es parecida a recibir un cálculo terminado en lugar de entregar todas las hojas de trabajo.
El modelo en la nube
La sincronización en la nube facilita la recuperación y el acceso. Puedes restaurar un historial después de cambiar de teléfono, usar más de un dispositivo y mantener una copia de seguridad sin exportar archivos manualmente. Esas comodidades crean más lugares que proteger, como los servidores de la aplicación, los sistemas de copia de seguridad, los registros, los sistemas de soporte y las integraciones.
La pregunta práctica es en qué nube se almacena la información. Comprueba qué cifrado se aplica, quién controla las claves y si el proveedor puede leer el contenido. Una copia de seguridad personal en la nube con cifrado de extremo a extremo sigue una ruta de privacidad distinta a la de un almacenamiento de terceros en el que la empresa de la app guarda copias legibles. Un dispositivo ponible puede enviar datos de frecuencia cardiaca al teléfono, el teléfono puede sincronizar registros seleccionados con una cuenta personal y la app puede subir por separado los síntomas a sus propios servidores.
Las protecciones de privacidad que se aplican a los proveedores sanitarios no acompañan automáticamente a los datos del consumidor en todas las apps. Un servicio vinculado a un hospital puede manejar los registros dentro de una relación regulada, mientras que una app de bienestar independiente puede funcionar con su propia política. Revisa la ruta y la organización responsable en lugar de suponer que todos los datos relacionados con la salud reciben la misma protección.
| Pregunta | Diseño en el dispositivo | Diseño con sincronización en la nube |
|---|---|---|
| Ubicación de los datos sin procesar | Permanecen principalmente en el dispositivo | Pueden transmitirse a la infraestructura del proveedor |
| Recuperación | Depende del dispositivo y de la copia de seguridad disponible | Suele permitir la restauración a través de la cuenta |
| Superficie de exposición | Menor presencia en servidores | Más sistemas e integraciones que proteger |
| Uso en varios dispositivos | Puede ser limitado | Suele ser más cómodo |
| Complejidad de la eliminación | Se centra en el dispositivo y las copias de seguridad personales | Debe tener en cuenta servidores, copias de seguridad, exportaciones y socios |
Ningún modelo es seguro de forma automática. Una app local puede exponer datos por permisos excesivos o exportaciones poco seguras. Una app en la nube puede proteger la información con controles de acceso sólidos y cifrado de extremo a extremo, y aun así conservar más copias y crear más puntos de acceso. Ajusta la arquitectura a la sensibilidad de los datos y a la finalidad de la función. Esta visión general de las soluciones de salud digital ofrece más contexto sobre cómo el diseño del software influye en los procesos sanitarios.
Cómo evaluar lo que dicen las apps de salud sobre privacidad
Lee las afirmaciones sobre privacidad como si estuvieras inspeccionando la ruta de los datos, no leyendo un texto de marketing. Antes de introducir síntomas o conectar un dispositivo ponible, repasa las preguntas siguientes.
Empieza por la relación legal
Averigua la identidad legal del desarrollador y si la app está vinculada a un hospital, una clínica, una aseguradora u otra organización sanitaria cubierta. Si la app afirma estar cubierta por HIPAA, busca una explicación de la relación cubierta y de las responsabilidades correspondientes como socio comercial. Si no lo afirma, da por hecho que HIPAA puede no regir el servicio dirigido al consumidor, salvo que el desarrollador explique lo contrario.
Esto no es un juicio sobre la calidad. Te indica qué protecciones puedes esperar de la ley y cuáles tienen que venir de la propia política y arquitectura de la app.
Lee con atención el apartado sobre compartir datos
Busca términos como analítica, publicidad, socios, intermediarios de datos, proveedores de servicios, investigación y datos desidentificados. «Socios de confianza» es menos útil que una categoría concreta, una finalidad declarada y una explicación clara de qué campos salen de la app.
Presta atención a las combinaciones. Una app puede decir que no vende datos de salud y, al mismo tiempo, permitir que un tercero reciba identificadores, datos de eventos o información del dispositivo con fines publicitarios o de medición. Esos detalles pueden ser importantes aunque la política evite la palabra «vender».
Compara los permisos con la función
Una solicitud de permiso debería tener una relación clara con la función de la app. Una app de meditación que pide acceso a los contactos merece un examen atento. Una app de seguimiento de la menstruación que pide acceso a la ubicación sin relación con su función necesita una explicación. Una herramienta de análisis de la frecuencia cardiaca que solicita acceso de solo lectura a la frecuencia cardiaca es más fácil de justificar que otra que pide un amplio acceso de escritura a todo tu registro de salud.
Usa los controles de permisos del sistema operativo para denegar las categorías que la función no necesita. Vuelve a revisar esos permisos después de las actualizaciones, porque el acceso que solicita una app puede cambiar.
Pon a prueba la promesa tú mismo
Antes de confiar en una app, comprueba si ofrece:
- Exportación de datos: ¿puedes obtener una copia utilizable de tus registros sin contactar con el soporte?
- Eliminación de la cuenta: ¿se explica qué ocurre con los registros activos, las copias de seguridad, los registros del sistema y la información que se conserva por obligación legal?
- Controles de consentimiento: ¿puedes revocar un permiso sin perder funciones que no tienen relación con él?
- Detalles del procesamiento: ¿indica el centro de ayuda si el análisis se realiza en el dispositivo o en servidores remotos?
- Pruebas de seguridad: ¿describe el desarrollador las auditorías, las pruebas de penetración, el cifrado y los controles de acceso con suficiente detalle para evaluarlos?
Una señal de alerta útil: las referencias vagas a «proveedores de servicios» no son necesariamente inadecuadas, pero deberían llevarte a preguntar qué reciben esos proveedores, por qué lo reciben y durante cuánto tiempo lo conservan.
Una app con privacidad desde el diseño suele minimizar la recopilación por defecto, separar los permisos, evitar el software de terceros innecesario y explicar el ciclo de vida de sus datos. Esas decisiones no garantizan una protección perfecta, pero son una prueba más sólida que un distintivo o un eslogan.
Cómo crear tu propio marco de privacidad
La privacidad de los datos de salud no es cuestión de todo o nada. Es una serie de decisiones basadas en la sensibilidad de la información, el beneficio de la función y las consecuencias si el registro llega a manos de otra persona.
Empieza por los datos de alta sensibilidad, como notas detalladas de salud mental, información de salud reproductiva o registros relacionados con una enfermedad crónica. Prioriza el análisis en el dispositivo, el acceso de solo lectura cuando sea posible, las exportaciones limitadas y evitar copias innecesarias en la nube. Si usas la sincronización, verifica el modelo de cifrado y entiende quién controla las claves de descifrado.
Los datos de sensibilidad media pueden incluir el seguimiento del sueño, el historial de ejercicio y las métricas generales de actividad física. La sincronización cifrada en la nube puede ser una opción razonable cuando importan la recuperación y el acceso desde varios dispositivos, pero revisa la política de intercambio de datos del proveedor y elimina las integraciones antiguas que ya no uses.
En el caso de los datos de bienestar de menor sensibilidad, es razonable que la comodidad tenga más peso. Aun así, concede solo los permisos necesarios para la función, protege el teléfono con un código seguro y evita introducir datos identificativos cuando la app no los necesite.
Superpón los controles
Usa tres capas en lugar de fiarte de una sola etiqueta:
- Capa normativa: identifica si el tratamiento se rige por una relación sanitaria cubierta o por una ley de protección de datos aplicable.
- Capa técnica: comprueba el cifrado del dispositivo, los permisos de la app, el procesamiento local, el cifrado de extremo a extremo y la conservación en servidores.
- Capa de comportamiento: audita los permisos, revisa los cambios de la política, exporta los registros importantes y presenta solicitudes de eliminación cuando proceda.
Un modelo de amenazas personal hace que esas capas sean prácticas. Alguien que gestiona un diagnóstico delicado puede dar prioridad a minimizar las copias por encima de un acceso cómodo. Alguien que registra su actividad general puede aceptar una copia de seguridad de confianza a cambio de continuidad. Ninguna de las dos opciones es correcta para todo el mundo.
Principio de decisión: comparte la información menos sensible que siga ofreciéndote la función que necesitas, y revisa esa decisión cuando cambien la app, el dispositivo, tu situación de salud o la política.
Si necesitas informes estructurados o resúmenes configurables, revisa en esta guía de personalización de informes cómo influye la personalización en los datos que se recopilan y exportan. Se aplica el mismo marco: entiende los datos de entrada, dónde se procesan, quién los recibe y las copias que se generan.
Ideas erróneas habituales sobre el consentimiento en los datos de salud
Tocar «Acepto» no te da un control permanente sobre todos los usos futuros de tu información. En las apps de consumo, el consentimiento puede autorizar la recopilación inicial, mientras que otras cláusulas de la política regulan la analítica, los proveedores de servicios, la investigación, la publicidad o cambios posteriores. Deberías tratar el consentimiento como el comienzo de una revisión, no como un escudo de privacidad.
Eliminar una app tampoco es lo mismo que eliminar los datos. Quitar la interfaz de tu teléfono puede dejar registros en servidores, copias de seguridad sincronizadas, exportaciones, registros del sistema o información ya compartida con otra organización. Pregunta al desarrollador qué abarca la eliminación y si la información agregada o conservada por obligación legal sigue un proceso distinto.
Lo «anónimo» merece la misma cautela. Un registro sin tu nombre puede seguir conteniendo fechas, ubicaciones, datos del dispositivo y patrones característicos que hagan posible volver a identificarte al combinarlo con otro conjunto de datos. La privacidad de los datos de salud depende del contexto completo, no solo de si se ha eliminado un identificador directo.
El consentimiento tampoco es la única base jurídica posible en el RGPD. En algunas situaciones, una organización puede tratar la información con otra base legal, como el interés legítimo, si se cumplen los requisitos correspondientes. Por eso una pantalla de permisos no puede contarte toda la historia.
Un hábito mejor es revisar periódicamente los permisos, los ajustes de uso compartido, los servicios conectados y los compromisos de conservación de datos. Los datos que compartes hoy pueden seguir disponibles, copiarse o reutilizarse con condiciones que no has vuelto a revisar personalmente.
Cardiogram analiza en el dispositivo los datos de frecuencia cardiaca de Salud de Apple con acceso de solo lectura a HealthKit y después sincroniza los datos de la app a través del ecosistema de iCloud del usuario, en lugar de mantener cuentas de usuario en sus servidores. Si esa arquitectura se ajusta a lo que necesitas, visita Cardiogram para ver cómo convierte los patrones de frecuencia cardiaca, los síntomas y las tendencias en resúmenes listos para tu médico sin perder de vista la privacidad.
