De todas las actividades alcanzadas por la Ley N° 7593/2025 de Protección de Datos Personales, el sector salud es el que arranca en la posición más exigente. No por una regla especial que se aplique solo a las clínicas, sino por una consecuencia directa de qué información manejan: los datos de salud caen dentro de las categorías especiales, y ahí el régimen de sanciones sube de manera considerable.
Esta guía es para clínicas, consultorios, centros de diagnóstico y profesionales independientes de Paraguay que quieren entender qué tienen que revisar del lado técnico. No es asesoría legal ni un dictamen sobre secreto profesional: para eso está su abogado. Acá hablamos de sistemas, accesos y del canal por el que hoy entra la mayoría de los turnos.
Por qué el sector salud está en otra categoría
El régimen sancionatorio de la ley distingue entre infracciones leves, graves y muy graves, con multas que en el caso general van de 20 a 2.500 jornales mínimos. Cuando hay datos sensibles involucrados el techo sube hasta 5.000 jornales, y cuando se trata de datos sensibles de niños, niñas y adolescentes llega hasta 10.000 — más de mil millones de guaraníes por infracción. La autoridad de protección de datos puede aplicar sanciones y medidas correctivas por vía administrativa.
Traducido a la operación de un centro médico: prácticamente todo lo que maneja está en el tramo alto. Una clínica pediátrica está, por definición, en el más alto de todos. Esto no significa que haya que entrar en pánico —el plazo de adecuación llega a fines de 2027— pero sí que conviene estar entre los que empiezan temprano y no entre los que improvisan al final.
¿Su centro maneja datos de salud y no sabe por dónde arrancar?
En 30 minutos revisamos dónde están hoy esos datos, quién accede y qué se puede ordenar sin frenar la atención. Concreto y sin tecnicismos.
Los cinco puntos que más aparecen en un centro médico
1. WhatsApp: el lugar donde se acumula lo más delicado
Es el punto número uno por lejos. En la mayoría de las clínicas paraguayas los turnos se piden por WhatsApp, y en esas conversaciones los pacientes cuentan mucho más de lo que se les pregunta: síntomas, diagnósticos previos, medicación, resultados de estudios, fotos de análisis y de lesiones. Nadie pidió esa información, pero queda toda guardada.
Y con frecuencia queda guardada en el teléfono personal de la persona de recepción, un dispositivo que la clínica no controla y que se va con esa persona el día que cambia de trabajo. Migrar a un número institucional con la API de WhatsApp Business, con acceso separado por rol y una regla clara sobre qué se hace con la información clínica que llega sin pedirse, es probablemente el cambio individual que más reduce el riesgo. Lo desarrollamos en la guía sobre bots, WhatsApp y datos personales.
2. Quién puede abrir una historia clínica
En muchos sistemas de gestión médica, cualquier usuario con acceso puede buscar a cualquier paciente y ver todo su historial, sin importar si participa o no de esa atención. Para el personal administrativo eso rara vez es necesario: recepción precisa saber si hay turno disponible y quién viene, no qué le diagnosticaron.
Separar permisos por rol —administrativo, profesional tratante, dirección— es una configuración que suele estar disponible y sin usar. Cuando el sistema no la trae, es una de las razones más habituales para evaluar un desarrollo o una integración.
3. Registro de quién consultó qué
Distinto de lo anterior: no se trata de impedir el acceso, sino de que quede rastro. Si mañana hay que responder quién abrió la ficha de un paciente y cuándo, hace falta un registro. Muchos sistemas lo tienen desactivado por defecto o lo guardan por pocos días. Revisarlo cuesta poco y cambia bastante la capacidad de respuesta ante un reclamo.
4. Estudios, imágenes y archivos sueltos
Los resultados de laboratorio y las imágenes rara vez viven solo en el sistema. Suelen estar además en una carpeta compartida, en el correo de quien los envió, en el equipo del consultorio y en el celular donde se le mandaron al paciente. Cada una de esas copias es una base de datos con información de salud, y casi ninguna aparece en los planes de adecuación. El inventario de bases de datos es la forma ordenada de encontrarlas.
5. Pacientes menores de edad
Es donde el techo sancionatorio es más alto, así que merece tratamiento propio. Si atiende pediatría, obstetricia o cualquier especialidad con pacientes menores, esas fichas deberían tener el acceso más restringido de todo el sistema, el registro más completo y la política de conservación más clara. Si tuviera que ordenar un solo grupo de datos antes que el resto, empiece por este.
| Área | Situación habitual | Hacia dónde conviene ir |
|---|---|---|
| Turnos por WhatsApp | Celular personal de recepción | Número institucional con accesos por rol |
| Historia clínica | Todos ven todo | Acceso según participación en la atención |
| Trazabilidad | Sin registro o de pocos días | Registro de consultas y cambios |
| Estudios e imágenes | Copias dispersas sin control | Un lugar definido, el resto depurado |
| Pacientes menores | Igual que el resto | El nivel más estricto del sistema |
Ordenar los turnos y ordenar los datos es el mismo trabajo
Automatizar la agenda con un número institucional resuelve a la vez la carga de recepción y el desorden de los datos. Le mostramos cómo quedaría en su centro.
Lo que no cambia: el secreto profesional
Conviene decirlo con claridad porque genera confusión: la obligación de confidencialidad del profesional de la salud no nace con esta ley ni se reemplaza por ella. Lo que la Ley 7593 agrega es un marco general de tratamiento de datos personales, con derechos concretos para las personas y una autoridad con capacidad de fiscalizar y sancionar.
Cómo se articulan ambas cosas en su caso puntual —qué se puede compartir, con quién, durante cuánto tiempo, qué pasa con los pedidos de eliminación frente a las obligaciones de conservación de la historia clínica— es una pregunta legal, y de las importantes. Llévela a su asesor con el inventario ya hecho: la respuesta va a ser mucho más útil.
Preguntas frecuentes
¿Puedo seguir agendando turnos por WhatsApp?
Sí. El canal no es el problema: el problema es cómo está montado. Atender desde el celular personal de un colaborador implica que datos de salud de sus pacientes viven en un dispositivo que la clínica no controla, sin gestión de accesos y sin posibilidad de responder qué información existe si alguien la reclama. La alternativa no es dejar WhatsApp —sería ir contra la costumbre de todo el país— sino usar un número institucional con la API de WhatsApp Business, donde el historial queda en un sistema de la clínica, los permisos se asignan por rol y las conversaciones se conservan según un criterio definido. Además de ordenar los datos, permite automatizar confirmaciones y recordatorios de turno.
¿Un paciente puede pedir que borre su historia clínica?
Es una de las preguntas donde más conviene no improvisar. La ley reconoce derechos de acceso, rectificación y supresión, pero existen obligaciones de conservación de documentación clínica que pueden convivir con esos derechos, y la articulación entre ambas cosas es materia legal, no técnica. Lo que sí corresponde preparar del lado de los sistemas es la capacidad de responder: poder buscar a una persona, ver toda la información que existe sobre ella en los distintos sistemas del centro, exportarla y, cuando corresponda, eliminar lo que se determine. Si hoy responder eso implica que tres personas revisen cinco lugares a mano, esa es la función que falta construir.
¿Qué pasa con los grupos de WhatsApp del equipo médico?
Es una práctica muy extendida y de las más difíciles de ordenar, porque resuelve un problema real de coordinación. En esos grupos circulan nombres de pacientes, fotos de estudios y consultas clínicas, y quedan almacenados en el teléfono de cada integrante, incluidos los que ya no trabajan en el centro. Lo mínimo razonable es que exista una regla escrita sobre qué se puede compartir ahí y qué no, y que la información clínica que necesita quedar registrada viva en el sistema y no en el chat. Cuando la coordinación es intensa, suele convenir un canal interno dentro del propio sistema de gestión, que deja rastro y no depende de dispositivos personales.
Soy profesional independiente, no una clínica. ¿También me alcanza?
La ley alcanza a entidades públicas y privadas que traten datos personales, sin que el tamaño sea por sí solo un criterio de exclusión, y un consultorio individual trata datos de salud todos los días. Lo que cambia es la escala de lo que hay que implementar, no si corresponde hacerlo. Para un profesional independiente, el trabajo suele reducirse a unos pocos frentes: dónde guarda las fichas y con qué respaldo, quién más tiene acceso a ese dispositivo o esa carpeta, cómo maneja el canal por el que le escriben los pacientes y qué hace con estudios y fotos recibidas. Es un trabajo de días, no de meses, y conviene hacerlo antes de que el volumen crezca.
¿Usar inteligencia artificial en una clínica complica el cumplimiento?
No de por sí, pero suma preguntas que hay que responder antes de implementar: qué datos concretos procesa la herramienta, dónde se procesan, qué proveedor interviene y qué dice el contrato con ese proveedor sobre el manejo de esa información. Un asistente que solo agenda turnos y responde consultas administrativas toca muchos menos datos sensibles que uno que lee historias clínicas, y esa distinción debería tomarse en el diseño y no después. Paraguay todavía no tiene una ley específica de inteligencia artificial —hay un anteproyecto en el Senado sin aprobar—, así que hoy lo que rige es la normativa de datos personales, y con eso alcanza para definir bien el alcance de cualquier implementación.
¿Por dónde empiezo si tengo poco tiempo?
Por tres cosas, en este orden. Primero, saque los datos de pacientes de los dispositivos personales: es lo que más riesgo concentra y lo que más rápido se resuelve. Segundo, revise quién puede abrir historias clínicas dentro de su sistema y ajuste los permisos, empezando por las fichas de pacientes menores de edad. Tercero, haga la lista de dónde hay copias de estudios e imágenes fuera del sistema. Con esos tres frentes cubiertos, la conversación con su abogado va a ser mucho más concreta y el resto de la adecuación va a tener un orden claro en vez de ser una lista de tareas inabarcable.
Siguiente paso
Un centro de salud no necesita cambiar todos sus sistemas para adecuarse: necesita saber dónde están los datos, quién los ve y qué pasa con el canal por donde entra la mayoría de la información. Ese trabajo se puede empezar esta semana, y tiene el efecto colateral de ordenar la operación aunque la normativa no existiera. Si quiere ver cómo se combina con la automatización de turnos y consultas, está desarrollado en IA para clínicas y salud.
Este artículo es informativo y no constituye asesoramiento legal ni una interpretación de las obligaciones de confidencialidad profesional. Consulte a un abogado para su caso concreto.
Agende su consultoría gratuita de 30 minutos →
IA para clínicas · adecuación a la Ley 7593 · automatización de WhatsApp · contacto.
Más del blog Cercai Paraguay: Ley 7593 y sus sistemas · Inventario de bases de datos · Bots y datos personales · Chatbot con IA · Ver blog.