En la actualidad, los datos personales, diagnósticos, tratamientos y antecedentes médicos están en circulación entre hospitales, aseguradoras, plataformas digitales y organismos públicos. Esta corriente constante de información optimiza procesos, mejora la coordinación de la atención y robustece el proceso decisional. No obstante, también ha aumentado los peligros relacionados con la pérdida, el uso inapropiado o la filtración de datos.

La violación de información clínica puede tener un impacto en la dignidad, la privacidad y los derechos esenciales de los pacientes, más allá de ser un problema tecnológico. Por lo tanto, el debate acerca de la seguridad digital dejó de ser únicamente un asunto de expertos en tecnología e ingenieros para pasar a ser un tema central en la agenda de seguridad y calidad en salud.

La Organización Mundial de la Salud (OMS) enfatiza que, con respecto a lo mencionado anteriormente, la rendición de cuentas, la transparencia y la privacidad tienen que ser pilares fundamentales de la salud digital. La confianza en las tecnologías sanitarias solo se puede lograr si hay procedimientos explícitos para salvaguardar la información y determinar responsabilidades ante eventuales infracciones.

Un activo cada vez más valioso

Actualmente, la digitalización ha transformado la información clínica en un recurso estratégico para el funcionamiento de los sistemas de salud, al permitir identificar riesgos, monitorear resultados clínicos, planificar servicios y orientar decisiones de política pública. Sin embargo, este mayor valor de la información también incrementa la exposición a amenazas digitales.

Frente a esta situación, la OMS advirtió en 2025 que los sistemas de información en salud enfrentan crecientes riesgos de ciberseguridad, entre ellos ataques de ransomware contra hospitales, en un contexto de creciente dependencia de tecnologías digitales para la prestación de servicios.

En distintos países, los ataques informáticos han obligado a suspender cirugías, retrasar tratamientos, limitar el acceso a historias clínicas e, incluso, han afectado la continuidad de la atención. La preocupación tampoco es ajena a Colombia. En marzo de 2026, la Superintendencia Nacional de Salud informó la activación de protocolos de verificación tras la detección de un ataque cibernético contra sus sistemas. En ese momento, la entidad indicó que adelantaba análisis técnicos para determinar el alcance del incidente y establecer si existió exposición de información.

Aunque el hecho fue reportado hace algunos meses, el caso sigue siendo relevante en el contexto del sector salud, debido al incremento de la digitalización de los sistemas de información y al uso intensivo de bases de datos clínicas, administrativas y financieras. Este tipo de incidentes evidencia la exposición creciente de las entidades del sistema a riesgos de ciberseguridad, especialmente en lo relacionado con la protección de datos sensibles de los pacientes.

De este episodio surgió una pregunta: ¿qué ocurre cuando la información de los pacientes resulta comprometida y quién debe responder?

La ciberseguridad, una tarea pendiente

Varios líderes del sector coincidieron en que la digitalización requiere mucho más que nuevas plataformas tecnológicas. También demanda infraestructura, conectividad, talento humano y modelos sólidos de gobernanza.

Olga Lucía Zuluaga Rodríguez, directora ejecutiva de la Asociación Colombiana de Empresas Sociales del Estado y Hospitales Públicos (ACESI), señaló que el primer paso para avanzar sigue siendo garantizar condiciones básicas de conectividad.

Desde otra perspectiva, Juan Fernando Mesa Valencia, coordinador del Hospital Digital de la Universidad de Antioquia, planteó que el principal reto no es tecnológico, sino cultural. “A veces no es tener la tecnología más de punta, sino lograr unos estándares, plantearse unos objetivos; es trazarse una visión, saber a dónde se quiere llegar y cómo se puede trabajar con las personas para lograrlo”.

Aunque sus enfoques son distintos, ambos coinciden en que la transformación digital exige capacidades institucionales capaces de sostener los cambios más allá de la adquisición de herramientas tecnológicas.

Las amenazas, sin embargo, crecen al mismo ritmo que la digitalización. En el sector salud se han identificado brechas importantes en materia de ciberseguridad, especialmente en capacidades de prevención, monitoreo y respuesta frente a incidentes informáticos, lo que evidencia la necesidad de fortalecer la madurez digital de las instituciones.

La preocupación también es compartida por las autoridades. El capitán José Alejandro Reyes Duque, del Centro Cibernético Policial de la Policía Nacional, alertó que el ransomware continúa siendo uno de los principales mecanismos utilizados por los ciberdelincuentes para afectar organizaciones públicas y privadas.

Además, destacó que la información clínica tiene un alto valor en los mercados ilegales debido a la cantidad de datos personales que contiene, al punto de que los historiales médicos pueden llegar a cotizarse más que los datos financieros.

Por su parte, la ingeniera Ángela Janeth Cortés Hernández, asesora del Ministerio TIC y representante del ColCERT, hizo un llamado a que las instituciones realicen una “gestión juiciosa de su nivel de exposición” para identificar riesgos y adoptar controles adecuados.

¿De quién es la responsabilidad?

En Colombia, los pacientes tienen derechos y deberes frente a la información contenida en su historia clínica, respaldados por la Constitución y por normas como la Ley 1581 de 2012 y la Ley 2015 de 2020.

Entre sus principales derechos están acceder a su historia clínica, conocer diagnósticos, tratamientos y resultados de exámenes; exigir la confidencialidad de sus datos; solicitar la corrección de información errónea, y otorgar o negar su consentimiento informado antes de procedimientos médicos. La información en salud, por ser un dato sensible, solo puede compartirse con autorización del paciente o por mandato legal.

En el marco del sistema de salud, los pacientes son titulares de derechos sobre su información clínica, como el acceso, la confidencialidad y la protección de sus datos sensibles. Estos principios están respaldados por normas como la Ley 1581 de 2012 y la Ley 2015 de 2020.

Sin embargo, la responsabilidad principal sobre la seguridad, custodia y tratamiento de esta información recae en las entidades del sistema de salud, que deben garantizar condiciones técnicas, administrativas y de seguridad para evitar accesos no autorizados o vulneraciones de datos.

La Ley 1581 de 2012 establece las reglas para la protección de los datos personales y obliga a que la información en salud sea tratada de manera segura y respetando la privacidad de los ciudadanos. Su adecuado manejo protege la intimidad de los pacientes, previene accesos no autorizados, favorece la continuidad de la atención y garantiza el cumplimiento de las obligaciones legales.

Por su parte, la Ley 2015 de 2020 impulsó la interoperabilidad de la historia clínica electrónica, permitiendo que diferentes sistemas de salud intercambien información clínica de manera segura y eficiente. Esta interoperabilidad mejora la coordinación de la atención, reduce errores, facilita el acceso oportuno a la información y fortalece la calidad de los servicios de salud, aunque también exige mayores estándares de seguridad para proteger los datos de los pacientes.

El Estado busca asumir un papel más activo

En este contexto, el Ministerio de Salud avanzó en la creación del Computer Security Incident Response Team ( CSIRT) Salud, un equipo sectorial especializado en prevenir, detectar, analizar y responder a incidentes de ciberseguridad que afecten a entidades públicas del sistema sanitario.

La iniciativa busca articular capacidades de monitoreo, gestión de vulnerabilidades, análisis forense y respuesta ante incidentes. Entre las entidades cobijadas se encuentran el Ministerio de Salud y Protección Social, el Instituto Nacional de Salud (INS), el Invima, la ADRES y la Superintendencia Nacional de Salud.

No obstante, el proyecto también plantea interrogantes importantes pendientes por responder.

¿Será suficiente fortalecer la capacidad de respuesta frente a los incidentes? ¿Deben existir esquemas más estrictos de responsabilidad para quienes administran información sensible? ¿Cómo garantizar la reparación de los ciudadanos cuando una vulneración genera daños concretos?