Sector · Servicios de salud
Ley 29733 para clínicas, policlínicos y centros médicos
Un centro de salud trata datos sensibles todos los días: historias clínicas, diagnósticos, resultados e imágenes. Es el sector que la ANPD mira con más atención y uno de los primeros obligados a designar un Oficial de Datos Personales.
Manejas datos de salud (datos sensibles): necesitas autorización por escrito de cada paciente. Te damos el formato listo en Documentos.
Riesgos que vemos en clínicas y centros médicos
- Resultados enviados por WhatsApp al número equivocado.
- Personal administrativo con acceso a historias clínicas.
- Fotos clínicas guardadas en celulares personales.
- Acceso de personal no asistencial a historias clínicas
- Resultados enviados a un número de WhatsApp equivocado
- Fotografías clínicas guardadas en celulares personales
Bancos de datos que normalmente debes inscribir
Inscripción gratuita en el SIPDP. Guía paso a paso para inscribirlos.
Colaboradores y postulantesDatos sensibles
Contratos, planilla, CVs de postulantes, descansos médicos.
Conservación: Mientras dure el vínculo laboral y hasta 5 años tras el cese por exigencia laboral y tributaria.
Pacientes e historias de atenciónDatos sensibles
Historias clínicas, fichas de evaluación, recetas, fotos clínicas.
Conservación: Según la Norma Técnica de Salud para la Gestión de la Historia Clínica (MINSA).
Libro de Reclamaciones
Hojas de reclamo físicas o virtuales exigidas por INDECOPI.
Conservación: Mínimo 2 años desde la fecha del reclamo, conforme al Reglamento del Libro de Reclamaciones.
Videovigilancia y seguridad del local
Cámaras en tu local, oficina, almacén o en la entrada.
Conservación: Entre 30 y 60 días calendario (Directiva de Videovigilancia de la ANPD); luego las grabaciones se eliminan, salvo requerimiento de autoridad.
Proveedores y prestadores de servicios
Proveedores con RUC 10, técnicos o freelancers a los que pagas.
Conservación: 5 años desde el último pago o fin del contrato (normativa tributaria SUNAT).
Normas que aplican a tu sector
- Ley General de Salud (Ley N.° 26842): el acto médico y la historia clínica son reservados; Ley N.° 29414 (derechos de los usuarios de servicios de salud, incluido el consentimiento informado y el acceso a la historia clínica).
- NTS N.° 139-MINSA/2018/DGAIN (RM N.° 214-2018/MINSA): gestión, custodia, archivo activo/pasivo y eliminación de historias clínicas. Ley N.° 30024 (Registro Nacional de Historias Clínicas Electrónicas) si usas historia electrónica.
- Los datos de salud son sensibles: consentimiento por escrito, firma manuscrita, digital o electrónica (art. 8 del DS N.° 016-2024-JUS). Tu actividad principal trata datos sensibles, por lo que el Oficial de Datos Personales es obligatorio en el calendario del art. 37 y la Disposición Complementaria Final Primera.
- Telesalud y teleconsulta (D. Leg. N.° 1490): el consentimiento y la seguridad de la plataforma de videollamada son parte del tratamiento.
- Salud mental: reserva reforzada (Ley N.° 30947, Ley de Salud Mental). No compartas notas de sesión con terceros, ni con el empleador o familiares sin autorización expresa.
Cuánto tiempo conservar cada dato
| Dato | Plazo | Fundamento |
|---|---|---|
| Historias clínicas | Según la NTS N.° 139-MINSA/2018/DGAIN (archivo activo y pasivo). No se purgan con la regla general | Norma técnica de salud; la política de privacidad remite a ella |
| Comprobantes y registros de ventas | 5 años desde la operación | Prescripción tributaria (Código Tributario) más un año de margen |
| Hojas del Libro de Reclamaciones | Mínimo 2 años desde el reclamo | Reglamento del Libro de Reclamaciones (DS N.° 011-2011-PCM) |
Documentos que necesitas
- Política de privacidad publicada en tu web
- Documento de seguridad y política de retención
- Aviso y consentimiento para trabajadores
- Confidencialidad para el personal y cláusulas de encargo con proveedores
- Procedimiento para solicitudes ARCO
- Consentimiento por escrito para datos sensibles
- Consentimiento de padres o tutores para menores de edad
- Autorización de uso de imagen
- Libro de Reclamaciones
- Evaluación de impacto (EIPD), si tratas datos a gran escala
Medidas de seguridad clave
- Historias clínicas físicas en archivo con llave y registro de quién las retira; historias electrónicas con usuario individual y registro de accesos (art. 46 del DS N.° 016-2024-JUS).
- Los resultados de laboratorio se entregan solo al paciente o a quien él autorice por escrito; no por grupos de WhatsApp.
- Equipos de diagnóstico por imágenes y estaciones de trabajo con borrado seguro antes de su baja o reparación (art. 50.1.5).
Contenido informativo basado en la Ley 29733, el DS 016-2024-JUS y la normativa sectorial citada. Cada empresa debe declarar solo los bancos que realmente tiene.