Mientras la conversación sobre interoperabilidad en salud se concentra en la Ley 21.668, hay otra norma que avanza en paralelo y que tiene un impacto directo sobre cómo las instituciones de salud deben manejar la información de sus pacientes: la Ley 21.719, de protección de datos personales.
Los datos de salud son, por definición legal, datos sensibles. Eso significa que su tratamiento exige estándares más altos de protección que otro tipo de información: consentimiento informado, medidas de seguridad reforzadas, trazabilidad sobre quién accede a los datos y para qué, y responsabilidad clara frente a filtraciones o usos indebidos. La Ley 21.719 establece este marco general, y las instituciones de salud —públicas y privadas— deben cumplirlo de forma simultánea con la Ley 20.584 y la Ley 21.668.
Esto genera una tensión que muchas instituciones aún no han resuelto del todo; por un lado, la interoperabilidad exige compartir información clínica entre prestadores para garantizar continuidad de la atención; por otro, la protección de datos exige limitar y controlar estrictamente ese mismo flujo de información. La solución no está en elegir entre una ley y otra, sino en construir sistemas y procesos que permitan cumplir ambas al mismo tiempo: compartir lo necesario, con quien corresponde, dejando registro completo de cada acceso.
Para los equipos de TI y gestión de instituciones de salud, esto implica revisar hoy varios frentes: cómo se registra el consentimiento de los pacientes, qué tan robusta es la trazabilidad de accesos a la ficha clínica, y si los contratos con proveedores tecnológicos contemplan cláusulas claras de protección de datos. Adelantarse a esta exigencia, en lugar de esperar la fiscalización, es la diferencia entre una institución preparada y una expuesta a riesgos legales y reputacionales evitables.