Etiqueta: Normativa

Costa Rica formalizó una hoja de ruta de 36 meses para implementar gobernanza de datos en su sistema de salud pública, según se informó a principios de septiembre de 2025. La iniciativa posiciona al país como uno de los pocos en América Central con un plan estructurado de data governance sectorial, y su diseño —centrado en calidad del dato, interoperabilidad y roles de ownership— ofrece una referencia concreta para la región.

El plan costarricense articula tres horizontes temporales: el primero enfocado en diagnóstico de madurez y definición de roles (data stewards, data owners); el segundo en implementación de un catálogo de datos clínico-administrativos y mecanismos de calidad; y el tercero en interoperabilidad con sistemas externos y medición de impacto. La secuencia sigue una lógica reconocible para cualquier practicante del DAMA-DMBOK: primero se establece el who antes del how, evitando el error frecuente de implementar herramientas sin estructuras de accountability previas.

Qué implica una hoja de ruta sectorial en salud: roles, calidad y catálogo en 36 meses

El sector salud es, en términos de gobernanza de datos, uno de los más complejos: combina datos clínicos sensibles, sistemas heredados de décadas, múltiples actores (hospitales, clínicas, laboratorios, aseguradoras) y marcos regulatorios de privacidad que restringen el flujo de información. Diseñar un roadmap para ese entorno en solo 36 meses es ambicioso. La clave estará en si Costa Rica logra asignar data stewards con autoridad real sobre dominios específicos —historia clínica electrónica, facturación, epidemiología— o si los roles quedan como títulos formales sin capacidad de decisión sobre el dato.

Según se informó, el plan contempla también la definición de métricas de calidad del dato aplicadas a los registros hospitalarios, un área donde los sistemas latinoamericanos suelen acumular deuda técnica significativa: duplicación de pacientes, campos vacíos en registros críticos, inconsistencias entre sistemas de admisión y facturación. Sin una baseline de calidad documentada, cualquier iniciativa de analítica o interoperabilidad queda sobre arena.

Brasil, Colombia y Chile: tres modelos de gobernanza en salud pública con distinto grado de avance

Costa Rica no parte de cero en el contexto regional. Brasil opera desde 2020 la Rede Nacional de Dados em Saúde (RNDS), impulsada por el Ministerio de Salud, que establece estándares de interoperabilidad basados en HL7 FHIR y exige a los establecimientos adherirse a un modelo de datos federado. La LGPD (Lei 13.709/2018) actúa como piso normativo para el tratamiento de datos sensibles de salud, clasificados en el artículo 11 como categoría especial con restricciones específicas de base legal. Brasil es hoy el caso de mayor escala en la región, aunque la heterogeneidad entre estados federales genera inconsistencias de implementación.

Colombia avanzó con la Política Nacional de Datos de Salud del Ministerio de Salud y Protección Social, apoyada en la Resolución 866 de 2021, que establece estándares técnicos para la interoperabilidad del sector. La Ley 1581 de 2012 (régimen general de protección de datos) y su decreto reglamentario 1074 de 2015 proveen el marco para el tratamiento de datos sensibles, aunque persisten vacíos en la aplicación sectorial específica para salud. Chile, por su parte, avanza con el proyecto de nueva Ley de Protección de Datos Personales —ya aprobada en el Congreso y en proceso de implementación reglamentaria— que incorpora un régimen reforzado para datos de salud, y con el Plan Nacional de Salud Digital 2030 que contempla componentes de interoperabilidad, sin que se haya formalizado aún un marco de gobernanza de datos con la especificidad del costarricense.

En ese mapa, el diferencial de Costa Rica no es el tamaño ni el presupuesto —la Caja Costarricense de Seguro Social (CCSS) opera en un país de cinco millones de habitantes— sino la existencia de una hoja de ruta documentada, con fases, entregables y, según se informó, mecanismos de seguimiento. Esa granularidad es exactamente lo que suele faltar en los planes regionales de transformación digital en salud, donde las declaraciones de intención superan ampliamente a los planes de ejecución.

El modelo CDMC del EDM Council como referencia para medir madurez en salud

Para los equipos de gobernanza que quieran benchmarkear el plan costarricense —o diseñar uno propio—, el Cloud Data Management Capabilities (CDMC) del EDM Council ofrece una estructura de 14 capabilities distribuidas en seis categorías, varias de ellas directamente aplicables al sector salud: control de acceso a datos sensibles, linaje, calidad y catalogación. El CDMC fue diseñado inicialmente para el sector financiero, pero su adopción en salud crece porque permite demostrar compliance con reguladores sin necesidad de reconstruir el marco desde cero. Alternativamente, el Marco de Referencia de Gobernanza de Datos de DAMA International (DMBOK2, 2017) provee las once áreas de conocimiento que cualquier roadmap sectorial debería mapear antes de fijar cronogramas.

Un error frecuente en iniciativas similares en la región es saltear el diagnóstico de madurez —usando, por ejemplo, el Data Management Maturity (DMM) del CMMI Institute— y pasar directamente a la adquisición de herramientas de catalogación o calidad. El resultado es predecible: plataformas sin adopción, data stewards sin autoridad y presupuestos consumidos sin baseline medible.

Qué monitorear en los próximos 12 meses del plan costarricense

Los primeros 12 meses de cualquier roadmap de gobernanza son el filtro real entre iniciativa y programa sostenible. Para Costa Rica, los hitos críticos que valdría observar son: la formalización de los roles de data ownership en la CCSS con mandatos documentados; la publicación del inventario o catálogo de dominios de datos del sistema de salud; y la definición de métricas de calidad con valores baseline para al menos tres dominios críticos (identidad del paciente, diagnóstico, prestación). Si esos tres entregables existen al término del primer año, el plan tiene sustancia operativa. Si no, el riesgo de que el roadmap quede como documento de política sin implementación es alto, un patrón que la región conoce bien.

Para organizaciones de salud en otros países que observen este caso, la señal más valiosa no es el cronograma en sí sino la decisión de hacer explícito el modelo de accountability: quién es dueño de cada dominio de datos, con qué autoridad y medido con qué indicadores. Esa claridad conceptual, plasmada en un documento oficial, es más rara en el sector público latinoamericano de lo que debería.

Nuestro análisis

El plan costarricense merece atención regional no por su escala, sino por su método. En un sector donde “transformación digital en salud” suele significar comprar un ERP o migrar a la nube, formalizar un roadmap de gobernanza con fases, roles y métricas es una decisión de madurez institucional infrecuente en América Central. La pregunta que determinará si este plan es referencia o anécdota es una sola: ¿la CCSS asignó data stewards con poder de veto sobre decisiones de calidad y acceso, o solo creó un comité asesor? La diferencia entre ambos modelos no es semántica; es la distancia entre gobernanza operativa y gobernanza decorativa. Equipos en Argentina, Colombia o Perú que estén diseñando iniciativas similares en el sector público deberían pedir acceso al marco de roles antes de replicar el cronograma.

Un roadmap de 36 meses en salud pública es una promesa institucional: su valor real se mide en los primeros 12, cuando los roles pasan de organigramas a decisiones reales sobre el dato.

La gobernanza de datos sigue perdiendo la batalla presupuestaria frente a infraestructura, ciberseguridad e inteligencia artificial en la mayoría de las organizaciones de la región. El argumento ya no puede ser solo técnico: quien conduce datos necesita hablar el idioma del CFO.

Durante años, la gobernanza de datos fue tratada como un proyecto de cumplimiento o, en el mejor caso, como un habilitador silencioso de otros proyectos más visibles. El resultado es predecible: los presupuestos de TI se asignan a lo que tiene un caso de negocio claro y urgente, y la gobernanza rara vez llega con uno. Eso está cambiando, aunque despacio, y la presión viene de dos frentes simultáneos: los reguladores que exigen trazabilidad sobre datos personales y activos de IA, y los propios equipos de datos que no pueden escalar sin estructuras formales de ownership y calidad.

Por qué la gobernanza de datos pierde frente a proyectos más visibles

El problema central es de narrativa, no de relevancia. Un proyecto de migración a la nube tiene un costo visible, un plazo y un entregable. Un programa de gobernanza de datos entrega reducción de riesgo, consistencia en reportes y habilitación de analítica confiable, beneficios que son difíciles de monetizar en una sola línea de presupuesto. Según el marco DAMA-DMBOK, la gobernanza de datos es la función que define autoridad, responsabilidades y toma de decisiones sobre los activos de datos de una organización. Ese mandato abarca desde la definición de data stewards —responsables operativos del dato— hasta los procesos de data lineage (trazabilidad del origen, transformación y consumo de cada dataset), pasando por catálogos, políticas de calidad y gestión del ciclo de vida del dato. Ninguna de esas capacidades aparece sola en un dashboard de KPIs de negocio.

El EDM Council, a través de su marco DCAM (Data Capability Assessment Model), propone cuantificar la madurez de governance en capabilities medibles y vincularlas a pérdidas económicas concretas: decisiones tomadas sobre datos duplicados, reportes regulatorios con errores que generan observaciones, o proyectos de machine learning que fracasan por falta de datos etiquetados y confiables. Ese lenguaje —pérdida evitable, costo de retrabajo, riesgo regulatorio con multa asociada— es el que abre conversaciones en comités de presupuesto.

Cuándo aplica / cuándo NO

Invertir en un programa formal de gobernanza de datos tiene sentido cuando la organización opera con múltiples fuentes de datos que alimentan decisiones críticas, cuando hay obligaciones regulatorias de reportar datos con trazabilidad —como las exigidas por la Comisión Nacional Bancaria y de Valores en México, el Banco Central de la República Argentina bajo la Comunicación A 7724 o la Comisión de Valores de Brasil—, o cuando los proyectos de IA generativa están frenados por falta de confianza en los datos de entrenamiento. No es la solución correcta para organizaciones en etapa temprana con un único sistema de registro y menos de diez personas consumiendo datos: en ese caso, el esfuerzo de governance supera el beneficio. La gobernanza escala con la complejidad; no es una capacidad que se instala de una vez, sino que crece con el volumen de actores, sistemas y decisiones que dependen del dato.

El argumento regulatorio en América Latina ya es concreto

En la región, la presión regulatoria está construyendo el caso de negocio que los equipos de datos no lograron construir solos. Brasil exige bajo la Lei Geral de Proteção de Dados (LGPD) que las organizaciones sean capaces de demostrar el ciclo de vida de los datos personales que tratan, lo que requiere capacidades equivalentes a data lineage y catálogo de activos. Argentina, a través de la Agencia de Acceso a la Información Pública (AAIP), ha intensificado la revisión de medidas de seguridad en tratamientos de datos personales amparados por la Ley 25.326. Colombia avanza en la implementación de su régimen de protección de datos bajo la Ley 1581 con inspecciones de la Superintendencia de Industria y Comercio. En todos esos contextos, la gobernanza de datos deja de ser una iniciativa opcional para convertirse en un requisito de operación.

El CDO o Data Lead que lleva este argumento al comité de presupuesto tiene que presentar tres números: el costo potencial de una multa regulatoria por incapacidad de demostrar tratamiento lícito de datos, el costo de retrabajo en reportes por inconsistencias en datos maestros, y la estimación de proyectos de analítica o IA que no pudieron lanzarse por falta de datos confiables. Con esos tres números sobre la mesa, la conversación cambia. El paso siguiente es mapear cuáles de las diez capabilities del CDMC (Data Management Capability Assessment) ya existen informalmente en la organización y cuáles requieren inversión incremental: frecuentemente el 40% de la capacidad ya está presente, aunque sin formalizar ni medir.

Governance sin presupuesto propio: el modelo no invasivo como punto de entrada

Bob Seiner, referente del enfoque Non-Invasive Data Governance, sostiene que la gobernanza más efectiva formaliza lo que la organización ya hace, en lugar de imponer procesos nuevos desde cero. Ese enfoque es especialmente útil en contextos de presupuesto limitado: identificar quiénes ya toman decisiones sobre datos críticos, documentar esas responsabilidades como data stewardship formal, y construir desde ahí hacia políticas y catálogos. Es una entrada de bajo costo que genera evidencia de valor antes de pedir una línea presupuestaria propia. En empresas medianas de Brasil, Argentina o México, ese modelo ha permitido avanzar en madurez de governance sin requerir la creación de un equipo dedicado desde el día uno.

Para profundizar en los marcos de referencia mencionados, el DAMA-DMBOK está disponible en dama.org y el modelo CDMC del EDM Council puede consultarse en edmcouncil.org; ambos ofrecen guías de autoevaluación que pueden servir como base para el caso de inversión ante la dirección.

Una renuncia de alto perfil en el sector salud volvió a poner sobre la mesa una pregunta incómoda: ¿quién responde cuando los datos clínicos se gestionan sin accountability real? El caso, identificado como “la renuncia Clifford” en medios especializados, no es un episodio aislado — es un síntoma de un problema estructural en la gobernanza de datos de salud que la región no puede ignorar.

Los datos de salud ocupan la categoría más sensible en prácticamente todos los marcos legales de protección de datos personales vigentes. Son inmutables en su núcleo —un diagnóstico no se puede cambiar como una contraseña—, se generan de forma continua a lo largo de la vida de una persona, y su exposición o mal uso tiene consecuencias que van desde la discriminación laboral hasta la denegación de cobertura de seguros. Esa asimetría de riesgo exige un nivel de madurez en gobernanza de datos que pocas organizaciones de salud han alcanzado.

Qué revela una renuncia sobre el ownership del dato clínico

Cuando un ejecutivo o funcionario de alto rango abandona una organización de salud citando —implícita o explícitamente— desacuerdos sobre cómo se gestionan los datos, el problema raramente es técnico. Según se informó en relación con el caso Clifford, la tensión de fondo involucra decisiones sobre acceso, uso secundario y control de datos clínicos tomadas sin los controles de gobernanza adecuados. En términos de DAMA-DMBOK, esto apunta a una falla en dos capacidades críticas: data ownership y data stewardship. Sin un data steward designado con autoridad real sobre los datos clínicos —no solo responsabilidad nominal—, las decisiones sobre quién accede, con qué propósito y bajo qué retención quedan en un vacío organizacional que tarde o temprano produce una crisis.

El EDM Council, a través de su marco CDMC (Cloud Data Management Capabilities), identifica la trazabilidad del dato sensible como una capability no negociable para organizaciones que procesan información de salud en entornos cloud. La ausencia de data lineage documentado —es decir, el registro auditable de cómo se originó un dato, cómo fue transformado y a dónde fue entregado— es precisamente lo que permite que decisiones cuestionables queden sin registro formal y, por lo tanto, sin consecuencia.

Cuándo aplica este riesgo de gobernanza — y cuándo NO

Este tipo de riesgo aplica cuando una organización de salud centraliza datos clínicos de múltiples fuentes (historias clínicas electrónicas, laboratorios, wearables, aseguradoras) sin un marco de gobernanza que defina ownership por dominio, políticas de acceso diferenciadas por sensibilidad, y un proceso de change management que registre quién aprobó qué decisión sobre el dato. No aplica —o aplica con menor urgencia— en organizaciones que operan con datos completamente anonimizados bajo estándares auditables, o en sistemas de salud pública con marcos de acceso restringido y control parlamentario. La distinción importa porque el error más frecuente es aplicar controles de gobernanza uniformes sin distinguir entre datos clínicos identificables, datos pseudonimizados con llave de reidentificación, y datos efectivamente anonimizados.

El marco legal en LATAM: LGPD, Ley 25.326 y el silencio de los reglamentos sectoriales

En Brasil, la Lei Geral de Proteção de Dados (LGPD, Lei 13.709/2018) clasifica los datos de salud como datos sensibles en su artículo 11 y establece condiciones de tratamiento más restrictivas, incluyendo la obligación de realizar evaluación de impacto cuando el tratamiento pueda generar riesgo significativo. La Autoridade Nacional de Proteção de Dados (ANPD) ha señalado el sector salud como prioritario en su agenda de fiscalización para 2025-2026. En Argentina, la Ley 25.326 protege los datos de salud como categoría especial desde el año 2000, pero su reglamentación en el sector sanitario sigue fragmentada entre el Ministerio de Salud, las obras sociales reguladas por la Superintendencia de Servicios de Salud, y las clínicas privadas que operan sin auditorías sistemáticas de gobernanza de datos. México, por su parte, cuenta con la LFPDPPP y normas técnicas específicas del sector salud, pero la articulación entre el INAI y la Secretaría de Salud en materia de supervisión de datos clínicos continúa siendo débil en la práctica.

Lo que el caso Clifford hace visible es la brecha entre el marco legal —que en la mayoría de los países de la región existe y es razonablemente robusto para datos sensibles— y la madurez operativa de las organizaciones de salud para implementarlo. Tener una política de protección de datos no equivale a tener gobernanza de datos. La política dice qué se debe hacer; la gobernanza define quién lo hace, cómo se audita, y qué pasa cuando alguien toma una decisión equivocada.

Tres acciones concretas para CDOs en organizaciones de salud

• Mapear el inventario de datos clínicos por nivel de sensibilidad y asignar un data steward con nombre, no con cargo genérico. Si hoy no podés responder en menos de 24 horas “quién aprobó el acceso de este sistema a estos datos”, hay un gap de ownership que necesita resolverse antes de la próxima auditoría.
• Revisar si el data lineage cubre los flujos desde el sistema de origen clínico hasta cualquier plataforma analítica o de inteligencia artificial que consuma esos datos. El CDMC del EDM Council establece esto como capability de nivel 2; muchas organizaciones de salud en LATAM operan aún en nivel 0 o 1.
• Establecer un proceso documentado de decisiones de gobernanza —quién puede autorizar un uso secundario de datos clínicos, con qué criterios, y con qué registro auditable. Este proceso debe sobrevivir la salida de cualquier ejecutivo, incluido el CDO.

Las renuncias de alto perfil en organizaciones de salud no son el problema — son el aviso de que el problema ya existe. Para quienes gestionan datos clínicos en la región, el texto de referencia para construir ese proceso desde la base sigue siendo la Guía de Implementación de la LGPD para el sector salud publicada por la ANPD, disponible en el sitio oficial de la autoridad brasileña.