Por Canuto  

La ICO recibió más de 300 denuncias por consultas indebidas de historiales entre enero y mediados de octubre de 2026, y pidió a más de 200 dirigentes sanitarios que expliquen cómo protegen los datos de los pacientes.
***

  • Las más de 300 denuncias evaluadas por la ICO no equivalen a infracciones confirmadas y excluyen los casos todavía pendientes de revisión.
  • Los directivos tienen hasta el 27 de noviembre para responder sobre controles de acceso, supervisión y sanciones internas.
  • La ICO ha procesado a 16 trabajadores sanitarios por fisgonear en historiales durante la última década, y advierte que también puede actuar contra organizaciones.

El regulador de privacidad del Reino Unido pidió a más de 200 altos dirigentes sanitarios que demuestren que sus organizaciones impiden el acceso injustificado a los historiales médicos. La Oficina del Comisionado de Información (ICO) recibió y evaluó más de 300 denuncias de fisgoneo entre enero y mediados de octubre de 2026, una cifra que, según aclaró, no representa infracciones confirmadas y deja fuera los casos aún pendientes de evaluación.

Las situaciones reportadas incluyen consultas de expedientes de personas conocidas, búsquedas motivadas por curiosidad y divulgaciones de información a terceros que no debían verla. En una carta dirigida a los ejecutivos, el director ejecutivo de la ICO, Paul Arnold, pidió garantías personales sobre la eficacia de las salvaguardas y advirtió que confiar únicamente en la buena conducta del personal no basta para proteger la privacidad ni la confianza pública.

La responsabilidad de controlar quién consulta los expedientes

La carta de tres páginas plantea preguntas concretas sobre la administración cotidiana de los historiales: quién tiene permiso para entrar en ellos, si la organización supervisa qué registros consulta cada empleado y qué medidas aplica cuando detecta un acceso improcedente. La exigencia pone el foco en los controles internos, porque en muchos centros sanitarios el personal sí necesita consultar información médica para cumplir sus funciones.

El problema, por tanto, no consiste necesariamente en que alguien haya vulnerado el sistema desde fuera o pirateado una cuenta. Puede surgir cuando una persona con acceso legítimo aprovecha sus permisos para buscar información de alguien a quien no atiende, como un vecino, una expareja o una persona cuyo nombre aparece en las noticias. La diferencia entre el uso laboral y la curiosidad puede depender del motivo y del contexto de cada consulta.

Arnold afirmó que acceder a los historiales de salud sin una razón legítima no es una curiosidad inocua, pues puede causar un sufrimiento considerable y poner en riesgo la confianza que los pacientes depositan en el servicio de salud. La ICO quiere que los responsables expliquen qué barreras funcionan en la práctica, en lugar de limitarse a confiar en que sus equipos respetarán las reglas sin supervisión.

La respuesta institucional también debe incluir una investigación rápida de las presuntas infracciones, la evaluación de si corresponde informar a los pacientes y medidas contra quienes accedan a registros que no deberían consultar. Así, la solicitud no se limita a revisar permisos tecnológicos: exige que cada organización pueda explicar cómo detecta los casos, cómo determina su gravedad y qué consecuencias aplica cuando confirma una conducta indebida.

Plazos para responder y corregir las salvaguardas

Los ejecutivos contactados tienen hasta el 27 de noviembre para responder a la ICO. Quienes no hayan revisado sus medidas de protección durante los seis meses anteriores, o no queden satisfechos con los resultados de esa revisión, dispondrán de otros tres meses para corregir las deficiencias detectadas y poner en orden sus controles.

La ICO dirigió su advertencia a responsables sanitarios de todo el Reino Unido, con el objetivo de que la responsabilidad no recaiga exclusivamente en los empleados que consultan los expedientes. Arnold también advirtió que el regulador podría tomar medidas de ejecución contra las organizaciones cuyas protecciones no estén a la altura, aunque la información difundida no precisa qué sanciones aplicaría en cada supuesto.

El plazo para responder convierte la revisión en una tarea inmediata para los directivos, que deben conocer las capacidades reales de vigilancia de sus instituciones y no solo las políticas escritas. La carta busca que puedan dar cuenta de las herramientas para limitar y supervisar el acceso, además de los procedimientos internos para actuar cuando una consulta parece carecer de justificación.

La cifra de denuncias requiere una lectura cuidadosa: corresponde a reportes recibidos y evaluados por la ICO, no a casos en los que el regulador haya confirmado una infracción. La exclusión de expedientes pendientes también significa que el número no incorpora todas las notificaciones recibidas, por lo que no debe presentarse como un recuento definitivo del problema en 2026.

Advertencias previas y herramientas de vigilancia

La petición de la ICO llega después de medidas anunciadas en julio por NHS England, que advirtió a sus empleados que consultar registros sin un motivo legítimo podría costarles el puesto e incluso llevarlos a prisión. Esa advertencia siguió a incidentes en los que trabajadores accedieron a expedientes de víctimas de delitos de gran repercusión, entre ellos los ataques de Nottingham.

NHS England también publicó orientaciones para alentar a las organizaciones a utilizar controles de acceso y sistemas de auditoría que ayuden a identificar consultas improcedentes. Algunos sistemas electrónicos de historiales más recientes pueden señalar accesos sospechosos en tiempo real, pero las capacidades de supervisión varían según la tecnología que cada organización tenga instalada.

La variación tecnológica importa porque una norma interna por sí sola no necesariamente permite advertir a tiempo que alguien revisó un expediente sin relación con su trabajo. Las herramientas de auditoría y los controles de acceso pueden ayudar a detectar y examinar esas consultas, aunque la fuente no afirma que todas las instituciones cuenten con sistemas capaces de alertar en tiempo real.

En un reporte al Parlamento divulgado en julio, el Gobierno británico indicó que entre 2019 y 2025 se notificaron a la ICO 1.445 casos de acceso inapropiado. Ese antecedente muestra que las denuncias actuales se inscriben en una preocupación sostenida durante varios años, aunque no permite concluir por sí solo que todos los reportes correspondan a infracciones confirmadas.

Consecuencias para los empleados y las organizaciones

La ICO ha procesado a 16 trabajadores sanitarios por fisgonear en historiales médicos durante la última década. El acceso no autorizado a información personal puede constituir un delito bajo la Ley de Protección de Datos de 2018, por lo que las consecuencias de una consulta indebida pueden ir más allá de una sanción laboral.

La advertencia distingue, en la práctica, entre el acceso necesario para prestar atención y el uso de esos permisos para satisfacer la curiosidad o compartir datos con personas no autorizadas. Las organizaciones deben investigar los casos con rapidez y valorar si el paciente afectado debe recibir una notificación, además de decidir qué medidas corresponden frente al empleado implicado.

Para los pacientes, el riesgo descrito no se limita a una exposición abstracta de datos: la consulta o divulgación de información médica puede provocar sufrimiento y debilitar la confianza en los servicios de salud. Arnold sostuvo que proteger esa confianza requiere salvaguardas que funcionen de manera efectiva y que las instituciones corrijan cuando una revisión revele fallas.

El siguiente paso inmediato será que los directivos respondan antes del 27 de noviembre y expliquen quién puede consultar los historiales, cómo se supervisan esos accesos y qué sucede cuando detectan una irregularidad. La ICO espera que las instituciones revisen sus medidas y, cuando no sean suficientes, las fortalezcan dentro del plazo adicional de tres meses previsto para las organizaciones que necesiten corregirlas.

Imagen original de DiarioBitcoin, creada con inteligencia artificial, de uso libre, licenciada bajo Dominio Público.

Este artículo fue escrito por un redactor de contenido de IA y revisado por un editor humano para garantizar calidad y precisión.


ADVERTENCIA: DiarioBitcoin ofrece contenido informativo y educativo sobre diversos temas, incluyendo criptomonedas, IA, tecnología y regulaciones. No brindamos asesoramiento financiero. Las inversiones en criptoactivos son de alto riesgo y pueden no ser adecuadas para todos. Investigue, consulte a un experto y verifique la legislación aplicable antes de invertir. Podría perder todo su capital.

Suscríbete a nuestro boletín

Artículos Relacionados