El litigio de Veradigm destaca los riesgos regulatorios de privacidad de datos de salud digital.

Demanda por seguimiento en portales de pacientes: La advertencia de Veradigm para la industria de salud digital

Introducción

La privacidad de datos en el ámbito de la salud digital vuelve a estar en el punto de mira. En abril de 2025, la empresa estadounidense de tecnología sanitaria Veradigm (antes Allscripts) no logró que se desestimara una demanda colectiva en su contra. Los demandantes alegan que, a través de su portal de pacientes, transmitió sin autorización datos personales de salud a terceros, incluido Meta (empresa matriz de Facebook), violando leyes de privacidad federales y estatales. Esta decisión no solo expone a Veradigm a posibles indemnizaciones, sino que envía una fuerte señal a toda la industria de tecnología médica: las prácticas de intercambio de datos de pacientes están siendo sometidas a un escrutinio judicial y regulatorio cada vez más estricto.

Contexto de la industria

Los portales de pacientes se han convertido en un componente central de la infraestructura de salud digital. Según datos de la Asociación de Hospitales de Estados Unidos, más del 90% de los hospitales ofrecen a los pacientes portales en línea para consultar historiales clínicos, pedir citas, pagar facturas y comunicarse con los médicos. Sin embargo, estas plataformas suelen incorporar tecnologías de seguimiento de terceros, como Meta Pixel o Google Analytics, para analizar el comportamiento del usuario o dirigir publicidad. En este proceso, las empresas de tecnología sanitaria han ido difuminando la frontera entre "mejora operativa" y "explotación comercial".

La Ley de Portabilidad y Responsabilidad de Seguros de Salud (HIPAA) de Estados Unidos establece normas estrictas para la divulgación de información de salud protegida (PHI), pero la omnipresencia de códigos de seguimiento de terceros genera controversias de cumplimiento. Ya en 2022, el Departamento de Salud y Servicios Humanos (HHS) emitió directrices que prohíben explícitamente compartir PHI mediante tecnologías de seguimiento sin autorización del paciente. Sin embargo, la inercia del sector ha hecho que muchos proveedores no reevalúen sus cadenas de datos hasta que estallan las demandas.

Principales acontecimientos

El núcleo de la controversia en el caso Veradigm radica en si los códigos de seguimiento integrados en el portal de pacientes enviaron a terceros como Meta datos de navegación relacionados con la salud (por ejemplo, nombres de médicos, motivos de las citas) sin conocimiento del usuario. Los demandantes sostienen que la conducta de Veradigm constituye una "violación intencionada o temeraria de HIPAA" y contraviene las leyes estatales contra la competencia desleal.

Aunque Veradigm argumentó que el intercambio de datos se ajustaba a la excepción de "fines operativos" y destacó que los usuarios habían aceptado la política de cookies, un tribunal federal de Illinois dictaminó en abril de 2025 que las alegaciones de los demandantes eran "suficientes para proceder a la fase de descubrimiento de pruebas". Esto significa que el tribunal examinará en profundidad la brecha entre los acuerdos de intercambio de datos de Veradigm y el comportamiento real de sus códigos.Casos similares se han extendido en el sector de la tecnología médica. En 2023, Meta enfrentó múltiples demandas por rastrear datos de pacientes a través de sitios web hospitalarios. En 2024, la plataforma de telemedicina BetterHelp llegó a un acuerdo de 7,8 millones de dólares con la FTC por compartir datos de usuarios sin consentimiento. La evolución continua del caso Veradigm indica que las fuerzas regulatorias y la conciencia de los derechos de los pacientes se están uniendo.

Implicaciones para el Mercado

Para los proveedores de portales de pacientes y las empresas de salud digital en general, las posibles consecuencias de la demanda de Veradigm no deben pasarse por alto:

• Aumento de los costos de cumplimiento: Las empresas podrían necesitar reevaluar todos los códigos de seguimiento de terceros, o incluso eliminar por completo los módulos innecesarios de intercambio de datos. Un socio del bufete de abogados Foley & Lardner señaló que este caso podría desencadenar un "efecto vacuna", impulsando a las empresas de TI sanitaria a realizar evaluaciones proactivas del impacto en la privacidad.
• Impacto en los modelos de negocio: Muchas empresas de tecnología médica dependen de los conocimientos generados por la agregación de datos anonimizados para respaldar sus modelos de rentabilidad. Si se bloquean las vías de intercambio de datos, los ingresos publicitarios basados en el comportamiento de navegación de los pacientes o los conjuntos de datos para el entrenamiento de aprendizaje automático se verán afectados.
• Aceleración de la diferenciación del mercado: Las empresas con políticas de privacidad transparentes y capacidad de cumplimiento técnico podrían obtener una ventaja competitiva. Por ejemplo, los proveedores de portales que han construido sus propias plataformas de análisis, como Epic Systems, pueden evitar riesgos más fácilmente que las pequeñas empresas emergentes que dependen del seguimiento de terceros.

Al mismo tiempo, las aseguradoras de salud, las instituciones médicas y las empresas farmacéuticas, como consumidores finales de los datos de los pacientes, también enfrentarán mayores obligaciones de diligencia debida: necesitan asegurarse de que sus proveedores de tecnología hayan eliminado todos los códigos de seguimiento no autorizados.

Desafíos y Riesgos

La regulación actual de la privacidad de datos en el ámbito de la salud digital enfrenta tres contradicciones estructurales principales:

1. El marco legal va por detrás de la evolución tecnológica: HIPAA se centra principalmente en el intercambio de registros médicos tradicionales, pero los datos de comportamiento en los portales de pacientes (como clics, palabras clave de búsqueda) siguen en una zona gris sobre si constituyen PHI. El caso Veradigm podría impulsar a los tribunales a aclarar si las "señales de salud a nivel del navegador" están protegidas por HIPAA. 2. Desajuste entre las expectativas del usuario y la realidad comercial: Los pacientes generalmente creen que el portal se utiliza solo para gestionar la salud, mientras que las empresas lo ven como una extensión del canal. Las encuestas muestran que el 87% de los pacientes no desea que su comportamiento de navegación en el portal se utilice para publicidad, pero más del 40% de los sitios web hospitalarios aún tienen herramientas de seguimiento configuradas. 3. Fragmentación regulatoria global: Estados Unidos carece de un marco legal de privacidad unificado como el GDPR de la UE, y las leyes estatales (como la CCPA de California, la BIPA de Illinois) se entrelazan con HIPAA, lo que expone a las empresas nacionales a riesgos regionales de cumplimiento.

Perspectivas Futuras

• En los próximos 3 a 5 años, surgirán tres tendencias significativas en el ámbito del intercambio de datos de salud digital:- Las normas regulatorias se detallan aún más: HHS podría revisar las reglas de HIPAA, prohibiendo explícitamente el uso de datos del portal de pacientes para fines no terapéuticos sin consentimiento explícito. La Comisión Federal de Comercio (FTC) de EE. UU. también anunció en 2024 que aumentará la aplicación de la ley contra el abuso de datos de salud.
• Surgen soluciones tecnológicas: Surgirán portales de pacientes empresariales "privacidad nativa", que adoptan tecnologías como análisis localizados y privacidad diferencial, cortando el flujo de datos sin procesar a terceros mientras mantienen la eficiencia operativa.
• Evolución de las cláusulas de seguros y contratos: Los errores en la privacidad de datos de las empresas de tecnología médica desencadenarán nuevos productos de seguros (como seguros de responsabilidad por privacidad adjuntos a los seguros de ciberseguridad), y los contratos entre hospitales y proveedores agregarán cláusulas obligatorias de auditoría de intercambio de datos.