Telemedicina en el IESS: por qué los psicólogos deben auditar la seguridad antes de digitalizarse

IESS implementa telemedicina: estos pacientes podrán acceder a consultas virtuales desde hospitales

La nota no detalla proveedor, infraestructura ni protocolo de cifrado, una opacidad que cualquier psicólogo en consulta privada debe leer como advertencia, no como referencia a copiar.

El hueco informativo del IESS

El comunicado no especifica cuatro datos críticos: jurisdicción del servidor, tipo de cifrado aplicado a las sesiones, política de retención y eliminación de historiales, y posibilidad de grabación. En la misma semana, el Ministerio de Salud del Perú ha confirmado que el Hospital Santa Rosa de Pueblo Libre ha incorporado el Formato Único de Atención (FUA) electrónico y sistemas RIS/PACS, herramientas de radiología y gestión hospitalaria, no de consulta ambulatoria psicológica. Replicar un modelo institucional sin adaptarlo multiplica los puntos de fallo y la superficie de auditoría que deberás asumir.

Auditoría mínima antes de contratar telemedicina

Verifica y documenta por escrito estos cinco requisitos:

• Cifrado: TLS 1.3 en tránsito y AES-256 en reposo. Sin ambos, el proveedor no supera una auditoría RGPD ni las normas ecuatorianas y peruanas de datos sanitarios.
• Identificación del paciente: autenticación de doble factor (2FA) por app o SMS. La contraseña única no es aceptable para historia clínica.
• Jurisdicción y encargo de tratamiento: confirma el país del hosting. Si está fuera del Espacio Económico Europeo, exige evaluación de transferencia internacional y contrato de encargo de tratamiento firmado.
• Consentimiento informado digital: registra fecha, hora, IP, versión del documento y firma criptográfica del paciente. Conserva copia inmutable durante el plazo legal aplicable.
• Grabación de sesiones: si la plataforma la permite, el consentimiento debe cubrirla expresamente, detallar finalidad y describir el ciclo de vida del archivo, incluido el borrado verificable.

Solicita también, por escrito, la política de notificación de brechas y la última auditoría externa del proveedor. Si no aporta ambos documentos, el sistema no está listo para tratar datos clínicos.

Tu responsabilidad no se externaliza

El responsable del tratamiento de los datos de tus pacientes eres tú, no el proveedor de software ni el hospital que inspire tu modelo. El RGPD y las legislaciones latinoamericanas de protección de datos sanitarios atribuyen la obligación de custodia, notificación de incidentes y conservación de la historia clínica al profesional o entidad que determina los fines del tratamiento. Un despliegue institucional como el del IESS no exime de responsabilidad ante un incidente en tu consulta. Documenta cada decisión en un registro de actividades de tratamiento (art. 30 RGPD o equivalente local), con fecha, proveedor evaluado, parámetros verificados y motivo de la elección: esa trazabilidad es la única defensa válida ante una inspección de la AEPD o de su homólogo latinoamericano.