Tengo una app que trata datos de salud y no sé cumplir la ley

¿Tienes razón?

Lo que define si tu app está obligada a cumplir reglas más estrictas son cuatro puntos: 1) el tipo de dato que procesás —datos sobre salud, diagnósticos, historiales clínicos o información que permita inferir el estado de salud se consideran sensibles; 2) la finalidad del tratamiento: si se usa para diagnóstico, monitoreo o recomendaciones médicas, la obligación es mucho mayor; 3) la relación con profesionales sanitarios o instituciones: si conectás con hospitales o profesionales, esas entidades tienen obligaciones propias que te alcanzan; y 4) la jurisdicción y los usuarios: servicios dirigidos a residentes en Argentina se rigen por normas locales y, en ciertos casos, por regulaciones sectoriales.

No depende solo de que reclames en la app que "no almacenás datos"; importa qué datos realmente pasan por tus servidores, los SDKs que integrás y los servicios en la nube que utilizás. Por ejemplo, telemetría, registros de actividad, geolocalización y metadatos pueden permitir reconstruir perfiles de salud. Identificar si la información es de salud o no es un paso técnico y legal que conviene documentar con pruebas.

Cómo se soluciona

1) Mapeo de datos: hacé un inventario completo de qué datos recogés, dónde se almacenan, quién accede a ellos, con qué finalidad y durante cuánto tiempo. Exportá flujos de datos desde la app, listá las APIs y los servicios externos (proveedores de analytics, almacenamiento, notificaciones) y documentá si usan servidores en el país o fuera.

2) Evaluá la base legal: para datos sensibles necesitás consentimiento explícito e informado —no basta un checkbox genérico. Redactá un texto claro que explique qué datos se recogen, con qué finalidad, quiénes acceden y cómo se puede revocar el consentimiento. Conservá registros firmes de ese consentimiento.

3) Contratos con terceros: firmá acuerdos de tratamiento con cualquier proveedor que acceda a datos. Esos contratos deben disciplinar seguridad, subcontratación, cesión internacional de datos y obligaciones frente a incidentes. Asegurate de que los proveedores ofrezcan garantías técnicas y registren accesos.

4) Medidas de seguridad técnicas y organizativas: aplicá cifrado en tránsito y en reposo, control de accesos, registros de auditoría, gestión de claves y pruebas de penetración periódicas. Implementá procesos para la eliminación segura de datos cuando ya no sean necesarios.

5) Evaluación de impacto y riesgos: si tu app puede implicar alto riesgo para los derechos de las personas, documentá una evaluación de impacto que describa los riesgos y las medidas adoptadas para mitigarlos.

6) Procedimiento de notificación de incidentes: definí un plan para detectar, contener y notificar brechas de seguridad a usuarios y autoridades competentes cuando corresponda. Practicá simulacros y mantené plantillas preparadas.

7) Documentación y transparencia: publicá una política de privacidad accesible, un registro de actividades de tratamiento y un canal de contacto para consultas y pedidos de acceso o supresión. Conservá registros que prueben tus decisiones técnicas y legales.

8) Formación y gobernanza: capacitá al equipo en manejo de datos sensibles, designá responsables de seguridad y de privacidad y mantené revisiones periódicas.

Si ya te están auditando o hubo un incidente, las acciones prioritarias son contener la brecha, preservar evidencia, notificar a las partes afectadas según la normativa aplicable y pedir asistencia legal.

Qué puede pasar

1) Se arregla con ajustes y compromisos: muchas incidencias se resuelven cambiando configuraciones, actualizando contratos y corrigiendo textos de consentimiento. Un plan de remediación bien documentado suele convencer a socios e incluso a autoridades si actuás con transparencia.

2) Acuerdo con autoridades o usuarios: puede proponerse un plan de cumplimiento supervisado, con obligaciones de auditoría y medidas correctivas. Aceptar un plan puede ser preferible a litigar, porque reduce incertidumbre y permite continuar con el servicio.

3) Procedimiento administrativo o judicial: si la infracción es grave o hubo daño efectivo, puede iniciarse una causa administrativa o civil. Si perdés, podrías enfrentar sanciones, órdenes de cese y obligaciones de reparación. Si la contraparte es insolvente, una condena no garantiza reparación económica.

Recodá: la realidad práctica es que muchas soluciones pasan por combinar mejoras técnicas rápidas con acuerdos escritos que limiten futuros riesgos.

Errores que arruinan el caso

• Decir en políticas que "no se guarda nada" mientras integrás SDKs que transmiten datos: la contradicción se usa en tu contra.

• No registrar consentimientos o eliminarlos: sin registro no podés probar que obtuviste un consentimiento válido.

• Subcontratar sin controles: dejar que un tercero maneje datos sensibles sin contrato es un riesgo crítico.

• No cifrar datos sensibles ni gestionar accesos: facilita brechas y agrava la responsabilidad.

• Borrar logs tras un incidente: elimina la posibilidad de demostrar mitigación y puede ser interpretado como ocultamiento.