Si tu clínica está en España y tu proveedor de software está en España, esta pregunta es sencilla. En cuanto una de las dos cosas cruza una frontera, deja de serlo.
Este artículo resume, país por país, qué se exige de verdad a agosto de 2026. Con una conclusión que sorprende a mucha gente: ninguno de estos países obliga a guardar los datos de salud dentro de sus fronteras. Lo que cambia no es dónde se alojan, sino qué hay que firmar y qué hay que decirle al paciente.
España y Unión Europea
Los datos de una cita son datos del artículo 9 del RGPD. La base para tratarlos es normalmente el artículo 9.2.h, asistencia sanitaria, con la clínica como responsable y el proveedor tecnológico como encargado.
Lo que hay que tener: contrato de encargado del artículo 28 con cada proveedor, evaluación de impacto, y delegado de protección de datos, que para los centros sanitarios es obligatorio por el artículo 34.1 de la LOPDGDD.
Y lo que se rompe siempre: la cadena de subencargados. Tu proveedor de voz usa un proveedor de transcripción, que usa un proveedor de nube, que puede estar en Estados Unidos. Cada eslabón necesita su instrumento de transferencia. El desarrollo completo está aquí.
México: la ley cambió entera en 2025
La nueva Ley Federal de Protección de Datos Personales en Posesión de los Particulares se publicó el 20 de marzo de 2025 y derogó la de 2010. El INAI fue extinguido y la vigilancia pasó a la Secretaría Anticorrupción y Buen Gobierno.
El punto crítico es el artículo 8: para tratar datos sensibles hace falta consentimiento expreso y por escrito, mediante firma autógrafa, firma electrónica o un mecanismo de autenticación. Obtener eso por teléfono es, como mínimo, discutible. Y el reglamento que debía definir qué cuenta como «mecanismo de autenticación» seguía sin publicarse a mediados de 2026.
La solución de diseño es la misma que la de seguridad clínica: que el sistema no capture datos de salud. Nombre, teléfono, profesional, fecha y hora no son datos sensibles. En cuanto el paciente empieza a contar síntomas, se deriva a una persona y el artículo 8 no llega a activarse.
Sobre transferencias, el artículo 36 permite transferir sin consentimiento cuando sea necesario para la gestión de servicios de salud o para la ejecución de un contrato. Alojar en Europa cabe ahí. Y el artículo 16 admite expresamente el aviso de privacidad en formato sonoro, lo que encaja perfectamente con una locución al inicio de la llamada.
Colombia: el más fácil de los cuatro
Rige la Ley 1581 de 2012, con la Superintendencia de Industria y Comercio como autoridad. Los datos de salud son sensibles, y al recabarlos hay que informar de que lo son y de que el titular no está obligado a autorizar su tratamiento.
La buena noticia está en las transferencias: la Circular Externa 005 de 2017 publica la lista de países con nivel adecuado de protección, y España está en ella. También Estados Unidos y México. Eso significa que alojar los datos de pacientes colombianos en un servidor europeo es una transferencia libre, sin cláusulas ni autorización adicional.
Detalle operativo que se olvida: la clínica con activos superiores a 100.000 UVT debe registrar sus bases de datos en el Registro Nacional de Bases de Datos, y actualizarlo entre el 2 de enero y el 31 de marzo de cada año. Eso lo hace la clínica, no el proveedor, pero el proveedor tiene que darle la información.
Hay una reforma en trámite desde agosto de 2025 que acercaría la ley al RGPD. No está aprobada.
Chile: el reloj corre
La Ley 21.719 se publicó el 13 de diciembre de 2024 y entra en vigor el 1 de diciembre de 2026. Crea la primera Agencia de Protección de Datos Personales que ha tenido el país.
Hasta esa fecha rige la Ley 19.628, mucho más laxa y sin autoridad de control. A partir de esa fecha, las sanciones llegan a 20.000 UTM o el 4 % de los ingresos anuales globales, la mayor de las dos.
Para transferencias habrá tres vías: países declarados adecuados por la Agencia, garantías contractuales, o consentimiento explícito informando del riesgo. Como la Agencia todavía no existe, no hay lista de países adecuados, así que quien empiece antes de diciembre tendrá que apoyarse en cláusulas contractuales.
Si vendes en Chile, esta fecha es un argumento comercial: las clínicas van a necesitar poner orden y muchas todavía no lo saben.
Brasil: el que más ha mejorado
Rige la LGPD, con la ANPD como autoridad, y los datos de salud son sensibles. Pero ocurrió algo relevante en enero de 2026: la Unión Europea y Brasil se reconocieron mutuamente nivel adecuado de protección. La resolución brasileña es de 26 de enero de 2026 y la decisión europea de la misma fecha.
Consecuencia práctica: desde 2026, Brasil es el país de Latinoamérica más sencillo de servir desde infraestructura europea. Flujo bidireccional libre, sin cláusulas contractuales ni evaluación de transferencia.
Argentina
Sigue vigente la Ley 25.326 del año 2000. El proyecto de reforma se remitió al Congreso en 2023 y no ha sido aprobado.
Argentina tiene decisión de adecuación de la Unión Europea desde 2003, confirmada en la revisión de enero de 2024. Uruguay también. Son los dos únicos países latinoamericanos con adecuación anterior a la de Brasil.
Estados Unidos: aquí cambia el modelo entero
Bajo HIPAA, un asistente de voz que escucha al paciente, lo identifica y escribe en su agenda crea, recibe y mantiene información sanitaria protegida. Es un business associate, no un mero transportista, y la excepción de mero canal de transmisión no aplica.
Eso obliga a un acuerdo de asociado comercial firmado con cada clínica, y a acuerdos equivalentes en cascada con cada proveedor de la cadena: voz, transcripción, modelo de lenguaje, telefonía, alojamiento. Si uno de ellos no firma, no se puede usar en el flujo estadounidense. Esto hay que verificarlo proveedor por proveedor antes de vender, no después.
Tres cosas más que sorprenden a los europeos:
- HIPAA no exige que los datos estén en Estados Unidos. Lo que exige son las salvaguardas del Security Rule. La restricción de alojamiento local suele venir por contrato de los grandes clientes institucionales, no por ley.
- Doce estados exigen consentimiento de todas las partes para grabar una llamada, entre ellos California, Florida, Illinois, Massachusetts, Pensilvania y Washington. En llamadas entre estados la regla segura es aplicar siempre la más estricta, así que el aviso de grabación tiene que ser universal.
- Texas te convierte directamente en entidad cubierta, no en simple asociado, si tratas datos de residentes de Texas, con independencia de dónde esté tu empresa. Y California y Washington permiten que el paciente demande directamente.
La actualización del Security Rule propuesta en enero de 2025, que haría obligatorios el cifrado y la autenticación multifactor, sigue sin aprobarse y se ha aplazado a 2027. Pero es la dirección de viaje: construirlo ahora es barato, retrofitarlo no.
Y la pregunta que va a hacer el DPO de un hospital español
Una que no aparece en ninguna tabla: ¿bajo qué jurisdicción está la empresa con la que firmo?
Una sociedad estadounidense está sujeta a la jurisdicción de Estados Unidos, incluido el CLOUD Act, con independencia de dónde aloje los datos. Eso debilita cualquier evaluación de transferencia. Para vender datos de salud a clínicas europeas, tener una entidad contratante establecida en la Unión Europea no es una decisión fiscal: es una decisión de producto.
Resumen
| País | ¿Exige alojamiento local? | Lo que sí te obliga |
|---|---|---|
| España / UE | No | Contrato art. 28, EIPD, DPO, cadena de subencargados |
| México | No | Consentimiento escrito para datos sensibles: evita capturarlos |
| Colombia | No | Autorización informada; España está en la lista de países adecuados |
| Chile | No | Prepararse para el 1 de diciembre de 2026 |
| Brasil | No | Nada especial desde la adecuación mutua de enero de 2026 |
| EE. UU. | No por ley, sí por contrato a veces | Acuerdos de asociado comercial en cascada; aviso de grabación universal |
Aquí está nuestra arquitectura y la lista de subencargados, y aquí los países en los que damos servicio.