La Oficina de Derechos Civiles del Departamento de Salud de Estados Unidos (OCR/HHS) cerró un acuerdo de resolución con Ambry Genetics Corporation por presuntas violaciones a la Security Rule de HIPAA. El caso pone en foco los estándares de seguridad para datos de salud genética —un tipo de dato cuya sensibilidad y consecuencias para terceros no tiene equivalente en ningún otro sector— y llega en un momento en que varios países de América Latina están revisando sus marcos de protección para datos biométricos y de salud.
Ambry Genetics, con sede en Aliso Viejo, California, es una empresa dedicada a pruebas genéticas diagnósticas y está clasificada como “covered entity” bajo HIPAA. La Security Rule de esa ley establece salvaguardas administrativas, físicas y técnicas que las entidades cubiertas deben implementar para proteger la información de salud electrónica protegida (ePHI). Según informó OCR, la investigación detectó incumplimientos en esas salvaguardas, aunque al cierre de esta nota el monto del acuerdo y el detalle técnico de las fallas no habían sido publicados en su totalidad por HHS.
La Security Rule de HIPAA: qué exige y dónde suelen fallar las empresas de genómica
La Security Rule de HIPAA no es una norma de ciberseguridad genérica: exige análisis de riesgo documentado, gestión de riesgos continua, controles de acceso, auditoría de sistemas y planes de contingencia, entre otros requerimientos. Las empresas de pruebas genéticas son un blanco de escrutinio particular porque manejan datos que identifican no solo al paciente sino también a sus familiares biológicos, lo que amplifica el potencial de daño en caso de brecha. OCR ha incrementado su actividad de enforcement en los últimos años, con énfasis en organizaciones de salud que procesan datos genómicos y de laboratorio clínico.
El patrón de falla más frecuente en casos resueltos por OCR incluye análisis de riesgo incompletos o no actualizados, ausencia de procedimientos de revisión de actividad en sistemas críticos y controles de acceso insuficientes para usuarios con privilegios elevados. Aunque el expediente de Ambry no detalla públicamente cuál de esas fallas fue determinante, el solo hecho de que OCR haya iniciado investigación y llegado a un acuerdo indica que al menos uno de esos pilares estuvo comprometido.
Datos genéticos en LATAM: Argentina, Brasil y México ante un vacío regulatorio específico
El caso Ambry Genetics es relevante para la región porque ningún país de América Latina cuenta aún con un régimen de seguridad técnica tan detallado como HIPAA para datos de salud genética, aunque los tres marcos principales de la región los clasifican como datos sensibles con protección reforzada. En Argentina, la Ley 25.326 de Protección de Datos Personales los incluye en la categoría de datos sensibles cuyo tratamiento está sujeto a requisitos de consentimiento expreso y medidas de seguridad adicionales; sin embargo, la normativa no especifica controles técnicos mínimos equivalentes a la Security Rule. La Autoridad de Aplicación (AAIP) tiene facultades de investigación, pero el enforcement en el sector salud ha sido históricamente reactivo.
En Brasil, la Lei Geral de Proteção de Dados (LGPD, Lei 13.709/2018) clasifica los datos genéticos como datos sensibles en su artículo 5, inciso II, y exige que su tratamiento tenga base legal específica. La Autoridade Nacional de Proteção de Dados (ANPD) publicó en 2023 su regulación de seguridad de la información (Resolução CD/ANPD nº 2/2022), que establece obligaciones de gestión de incidentes y medidas de seguridad proporcionales al riesgo, pero aún sin la granularidad sectorial que tiene HIPAA para salud. En México, la Ley Federal de Protección de Datos Personales en Posesión de los Particulares (LFPDPPP) y sus Lineamientos del Aviso de Privacidad también reconocen los datos de salud como sensibles, pero el INAI no ha emitido estándares técnicos sectoriales específicos para laboratorios genéticos o empresas de genomics.
Chile presenta un caso distinto: la nueva Ley 21.719 de Protección de Datos Personales, publicada en 2024 y con plazo de adecuación en curso, eleva significativamente el estándar de protección para datos sensibles e incorpora obligaciones de evaluación de impacto (EIPD) para tratamientos de alto riesgo. Los datos genéticos quedan comprendidos en esa categoría, lo que en la práctica obliga a clínicas, laboratorios y empresas de biotecnología con operación en Chile a hacer análisis de riesgo documentados, el mismo punto donde HIPAA exige más y donde Ambry Genetics aparentemente falló.
Por qué el modelo de enforcement de OCR importa más allá de EE.UU.
Los acuerdos de OCR funcionan como señales de precio para el mercado: fijan el costo esperado del incumplimiento y —cuando incluyen planes de acción correctiva— establecen un estándar de facto para el sector. Las empresas latinoamericanas de biotecnología o salud digital que operan en EE.UU. o procesan datos de ciudadanos estadounidenses están directamente alcanzadas por HIPAA. Pero más allá de la jurisdicción directa, el patrón de enforcement de OCR alimenta las decisiones de autoridades locales sobre qué controles exigir y cómo graduarlos por sector. La ANPD brasileña, que ya citó al GDPR europeo como referencia para su regulación de seguridad, tiene incentivos para mirar también el modelo HIPAA cuando diseñe guías sectoriales para datos de salud.
Qué monitorear: adecuación chilena, guías sectoriales de ANPD y reforma argentina en 2026
Tres hitos regulatorios de corto plazo merecen seguimiento directo a partir de este caso. Primero, el proceso de adecuación a la Ley 21.719 en Chile, cuyo plazo vence en 2026 para la mayoría de los obligados: los laboratorios y empresas de diagnóstico genético deberían estar cerrando sus EIPD ahora. Segundo, cualquier guía sectorial que emita la ANPD para el sector salud en Brasil —un documento esperado pero aún no publicado— podría incorporar exigencias de análisis de riesgo similares a las que activaron el caso Ambry. Tercero, Argentina tiene en trámite legislativo un proyecto de reforma a la Ley 25.326; si ese proyecto avanza hacia estándares técnicos más específicos para datos sensibles, el precedente de OCR será una referencia útil para los redactores del reglamento.
Nuestro análisis
El enforcement de HIPAA sobre empresas de genómica no es una curiosidad del sistema de salud estadounidense: es el anticipo de dónde van a terminar los reguladores latinoamericanos cuando el sector de biotecnología y diagnóstico genético escale en la región. La combinación de datos de altísima sensibilidad, cadena de custodia compleja y empresas con estructuras de compliance todavía débiles es exactamente el escenario que activa investigaciones como la de Ambry Genetics. Las autoridades de la región tienen las herramientas legales —datos sensibles con protección reforzada— pero les falta el complemento: estándares técnicos sectoriales con dientes. Mientras ese complemento no llegue, las empresas que operen en ambos mercados estarán respondiendo a HIPAA con más detalle del que exigen sus reguladores locales. Esa asimetría es una ventaja temporal, no una situación sostenible.
La pregunta que deberían hacerse los laboratorios y empresas de salud digital en Argentina, Brasil, Chile y México no es si sus datos genéticos están protegidos por ley —lo están— sino si sus controles técnicos documentados resistirían el escrutinio de un regulador que, como OCR, pide ver el análisis de riesgo actualizado antes de cualquier otra cosa.
