Mandar historias clínicas por WhatsApp: los riesgos reales

"Doctor, ¿me manda los resultados por WhatsApp?". En consultorios, laboratorios e IPS de toda la región, esta es una petición de todos los días. Y se entiende: es rápido, el paciente lo agradece y no hay que imprimir nada. Pero detrás de esa comodidad hay riesgos que vale la pena conocer.

Lo que dice la norma

• La historia clínica es un documento privado, sometido a reserva, que sólo pueden conocer el paciente, el equipo de salud que lo atiende, las autoridades en los casos previstos por la ley y las demás personas que determine la ley (Resolución 1995 de 1999).
• Los datos relativos a la salud son datos sensibles según la Ley 1581 de 2012 de protección de datos personales, y su tratamiento exige cuidados especiales.
• Los profesionales de la salud tienen, además, el deber del secreto profesional.

La norma no prohíbe expresamente usar mensajería, pero el prestador responde por la confidencialidad de la información, sin importar el canal que use.

Qué puede salir mal

• Un número equivocado. Un dígito mal escrito y el resultado de laboratorio de un paciente le llega a un desconocido.
• El celular personal. Las historias quedan en la galería del teléfono del profesional, mezcladas con las fotos familiares, y se copian solas a la nube.
• La pérdida o el robo del teléfono, sobre todo si no tiene bloqueo de pantalla.
• Grupos de WhatsApp donde se comentan casos con nombres y fotos.
• El empleado que se va y se lleva en su celular las conversaciones con los pacientes.
• La suplantación: alguien se hace pasar por el paciente o por un familiar para pedir información.

Cómo hacerlo de forma más segura

No se trata de prohibirlo todo, sino de poner orden:

1. Un número institucional. Usa una cuenta de WhatsApp Business del consultorio o de la IPS, en un equipo de la empresa, y no el celular personal de cada profesional.
2. Autorización del paciente. Pídele por escrito, dentro de tu autorización de tratamiento de datos, que acepte recibir información por ese medio, y confirma su número.
3. Verifica la identidad antes de enviar: el número debe ser el que registró el paciente.
4. Prefiere enlaces seguros o documentos protegidos. Si tu software tiene un portal de pacientes o permite enviar por correo documentos con contraseña, úsalo para los resultados y las historias.
5. Nada de grupos con datos de pacientes. Si el equipo necesita comentar un caso, que sea sin datos que identifiquen al paciente, o por un canal institucional.
6. Bloqueo y limpieza. Bloqueo de pantalla con clave, el guardado automático de archivos en la galería desactivado, y borrar lo que ya no se necesita.
7. Una política escrita que diga qué se puede enviar, por qué medio y quién lo autoriza. Y capacitar al equipo en ella.

¿Y si ya pasó?

Si enviaste información a la persona equivocada o se perdió un teléfono con datos de pacientes, actúa rápido: pide que se borre el mensaje, documenta el incidente y evalúa el riesgo para los pacientes afectados. La Ley 1581 obliga a informar a la Superintendencia de Industria y Comercio cuando se presentan violaciones a los códigos de seguridad y hay riesgo para la información de las personas, así que revisa si tu caso debe reportarse.

Proteger los datos de tus pacientes también es calidad en la atención. Te ayudamos a definir tu política de seguridad de la información y a ponerla en práctica sin frenar el servicio. Si estás cambiando de software, lee también qué preguntarle a tu proveedor.