Guía educativa
Los datos de salud son información sensible por ley. Esta guía explica qué debería exigirle a cualquier sistema donde guarde historias clínicas, qué prácticas dependen de usted y su equipo, qué dice la normativa colombiana y qué hace Doctia al respecto, sin promesas que no se puedan verificar.
9 días gratis, sin tarjeta · luego $350.000 al mes, sin permanencia
La Ley 1581 de 2012 clasifica los datos de salud como datos sensibles, con un tratamiento más estricto que otro tipo de información personal: requieren autorización previa, expresa e informada del paciente, y su tratamiento lo vigila la Superintendencia de Industria y Comercio. El Decreto 1377 de 2013 desarrolla esas obligaciones.
La historia clínica, además, es un documento privado sometido a reserva según la Ley 23 de 1981: solo deberían acceder a ella el paciente, el equipo tratante y los terceros autorizados por el paciente o por la ley. Una filtración no es solo un problema técnico; es una falta a esa reserva.
No hace falta que sea complejo, pero sí que estén presentes ciertos mínimos técnicos, y que el proveedor pueda explicarlos con palabras concretas. Si la respuesta a cada pregunta es «sí, es seguro», sin detalle, desconfíe. Pida ejemplos de cómo funciona cada control en la práctica.
Fíjese en especial en el control de acceso: un sistema donde toda la clínica entra con la misma clave no tiene forma de saber quién vio qué. El acceso por usuario y rol es la base de todo lo demás, porque permite dar a cada persona solo lo que necesita para su trabajo.
Puede tener su primera historia clínica firmada esta misma tarde: la cuenta se crea en dos minutos y no pide tarjeta.
Crear mi cuenta gratisBuena parte de los incidentes con datos clínicos no ocurre en el servidor sino en el consultorio: una pantalla abierta en la recepción, una contraseña pegada en el monitor, una historia enviada por chat al celular personal, una carpeta de papel olvidada en el mostrador. Ningún software corrige eso por sí solo.
Establezca reglas sencillas y aplíquelas igual para todos. Cada persona con su usuario, la sesión cerrada al levantarse del puesto, nada de datos clínicos por canales personales y una revisión periódica de quién sigue teniendo acceso, en especial cuando alguien deja de trabajar en el consultorio.
Antes de confiar sus historias clínicas a un sistema, pregunte quién dentro del proveedor puede acceder a los datos, cómo se controla el acceso por usuario, si se hacen copias de seguridad y qué pasa con su información si decide dejar de usar el servicio o si deja de pagar.
Pida también saber si puede exportar todas sus historias en un formato legible y cuánto tarda. Un proveedor serio responde estas preguntas sin rodeos; el que evita responder o remite a un folleto le está diciendo algo. Guarde las respuestas por escrito junto con el contrato.
Una página que dice «datos encriptados» sin más detalle no es garantía de nada por sí sola. Pida que le expliquen las prácticas concretas (cifrado de contraseñas, control por roles, copias de seguridad) en vez de quedarse con una frase de mercadeo que cualquiera puede escribir.
Desconfíe también de las promesas absolutas: ningún sistema puede garantizar seguridad total, y quien lo afirme no ha pensado en el error humano. Lo verificable es el conjunto de controles y la claridad con que el proveedor los describe, no el adjetivo con que los vende.
La Resolución 1995 de 1999 asigna al prestador la custodia de la historia clínica y regula su apertura, identificación y componentes; la Resolución 839 de 2017 fija su conservación mínima en 15 años desde la última atención, cinco en archivo de gestión y diez en archivo central, con plazos mayores en casos de violaciones de derechos humanos.
La Ley 2015 de 2020 creó la historia clínica electrónica interoperable y declara sensibles sus datos; la Resolución 866 de 2021 define el conjunto de datos clínicos relevantes para esa interoperabilidad. Cualquier sistema que elija debe permitirle cumplir la custodia y la conservación, incluso si deja de ser cliente.
Si una historia se envió al paciente equivocado, un equipo se perdió o alguien accedió sin autorización, lo primero es contener: cambiar contraseñas, retirar accesos y recuperar lo que se pueda. Luego, documentar qué pasó, cuándo, qué datos y de cuántos pacientes se trata.
Como responsable del tratamiento de datos, el consultorio debe evaluar la situación, informar a los pacientes afectados cuando el incidente pueda perjudicarlos y revisar si corresponde reportarlo a la Superintendencia de Industria y Comercio. Tener registro de quién firmó cada nota facilita reconstruir lo ocurrido y demostrar diligencia.
En Doctia los datos son accesibles solo para los usuarios del propio consultorio, con acceso por usuario y rol: cada persona entra con su cuenta y ve lo que su rol permite. Cada nota queda firmada por quien la cerró, con fecha y hora, y bloqueada, de modo que siempre se sabe quién registró qué.
La conexión del sitio es cifrada (HTTPS); el contenido de la historia clínica, las notas, las firmas, los consentimientos y los archivos adjuntos se guardan cifrados con AES-256-GCM y una clave que no está en la base de datos; las contraseñas se almacenan cifradas, las sesiones expiran y las copias de seguridad diarias también van cifradas. Si decide no continuar, sus historias no se borran: puede seguir consultándolas y exportarlas en PDF durante el plazo de conservación. Doctia no cuenta con certificaciones formales de seguridad; lo que ofrece son estas prácticas, verificables en la propia aplicación.
Sí. La conexión del sitio es HTTPS, así que lo que viaja entre su navegador y el servidor va cifrado, y en el servidor el contenido clínico (texto de la historia, notas, firmas, consentimientos, adjuntos y audios del dictado) se guarda cifrado con AES-256-GCM, con una clave aparte de la base de datos y de las copias de seguridad. Quedan sin cifrar el nombre, el documento y el contacto del paciente, las fechas y los códigos CIE-10 y CUPS, que hacen falta para buscar, agendar y generar el RIPS. El acceso a cada cuenta se controla con sesiones que expiran y con usuarios y roles por persona, de modo que nadie fuera de su consultorio ve sus historias.
En Doctia, solo los usuarios del propio consultorio, según su rol: el propietario, los profesionales y el personal administrativo ven lo que su rol permite. Cada nota queda identificada con el profesional que la firmó, y el paciente puede pedir su historial completo exportado en PDF.
Sí, se realizan copias de seguridad periódicas de la información almacenada, como práctica estándar de cualquier sistema que guarda datos clínicos. Aun así, le recomendamos exportar periódicamente en PDF el historial de sus pacientes activos, para tener un respaldo propio que no dependa de ningún proveedor.
No. Doctia no cuenta con certificaciones formales de seguridad ni con avales de entidades públicas, y no lo afirma. Lo que ofrece son prácticas concretas: conexión HTTPS, contraseñas cifradas, sesiones con expiración, acceso por usuario y rol y registro de quién firmó cada nota, todas verificables desde la propia aplicación.
La Ley 1581 de 2012 exige autorización previa, expresa e informada para tratar datos sensibles como los de salud, sin importar si el soporte es papel o digital. Recójala al abrir la ficha, indicando para qué se usarán los datos y quién los tratará, y consérvela junto con la historia.
El paciente tiene derecho a su historia. Si la envía por correo, verifique la dirección letra por letra, envíe solo lo solicitado y deje constancia de la entrega en el expediente. Evite los chats personales del equipo y nunca envíe historias de terceros; la reserva de la Ley 23 de 1981 sigue aplicando en digital.
Pregúntelo antes de contratar. En Doctia, si no continúa, sus historias no se borran: puede seguir consultándolas y exportar el historial completo de cada paciente en PDF, aunque no crear nuevas. Eso le permite cumplir la conservación mínima de 15 años que fija la Resolución 839 de 2017.
Cree su cuenta con el respaldo de acceso por roles y conexión cifrada. 9 días de prueba.
9 días gratis, sin tarjeta · luego $350.000 al mes, sin permanencia
¿Dudas? Escríbanos por WhatsApp · ¿Ya tiene cuenta? Ingresar