Los fiscales generales de Nueva York y Connecticut obtuvieron USD 2,7 millones de Boston Children’s Health Physicians (BCHP) y su proveedor de tecnología XTIUM por una brecha de datos ocurrida en 2024 que comprometió información sensible de pacientes pediátricos. El acuerdo establece además un plan de acción correctiva en materia de seguridad.
La fiscal general de Nueva York, Letitia James, y su par de Connecticut, William Tong, anunciaron el 17 de octubre de 2026 el cierre del caso contra BCHP y XTIUM, el proveedor de servicios de TI que gestionaba la infraestructura del sistema de salud. El punto central del acuerdo es la responsabilidad compartida: ambas entidades —la organización de salud y su contratista tecnológico— fueron consideradas legalmente responsables por las deficiencias que permitieron el incidente, según se informó.
Proveedor externo como vector: el dato que cambia la ecuación
La decisión de extender la responsabilidad a XTIUM marca un precedente relevante en la cadena de custodia de datos sensibles. No es habitual que una fiscalía estatal imponga obligaciones formales —y parte de la sanción económica— sobre un proveedor de TI tercerizado, en lugar de limitarse al titular del dato. El acuerdo implica que XTIUM deberá cumplir con el plan correctivo junto a BCHP, lo que convierte al contratista en un actor regulado de facto, según se informó.
Datos confirmados
- Monto total del acuerdo: USD 2,7 millones
- Entidades sancionadas: Boston Children’s Health Physicians (BCHP) y XTIUM (proveedor de TI)
- Fiscalías intervinientes: Nueva York (AG Letitia James) y Connecticut (AG William Tong)
- Año del incidente: 2024
- Acuerdo incluye: plan de acción correctiva para mejorar la seguridad de datos
- Fecha del anuncio: 17 de octubre de 2026
Qué se sabe y qué falta confirmar
Se confirmó que el incidente involucró datos de pacientes pediátricos y que derivó en una acción coordinada entre dos fiscalías estatales. No se han divulgado públicamente el volumen exacto de registros comprometidos, el vector técnico específico del ataque ni el desglose de la multa entre BCHP y XTIUM. Tampoco está claro si el plan correctivo exige certificación externa o auditorías periódicas, según se informó.
Para organizaciones de salud en América Latina, el caso enciende una señal de alerta directa. En Argentina, la Ley 25.326 de Protección de Datos Personales —actualmente en proceso de reforma legislativa— no establece expresamente la responsabilidad solidaria de proveedores TI, una laguna que el proyecto de actualización busca cerrar siguiendo el modelo del GDPR europeo. En Brasil, la LGPD (Lei 13.709/2018) ya contempla la figura del “operador” con obligaciones propias, lo que coloca a los proveedores de servicios en una posición jurídica más cercana al escenario que acaban de enfrentar BCHP y XTIUM en EE.UU. Hospitales, clínicas y redes de salud de la región que tercerizan su infraestructura de datos sin cláusulas contractuales de responsabilidad compartida operan hoy con un riesgo legal subvaluado.
El próximo hito a seguir es la publicación del plan de acción correctiva acordado entre BCHP, XTIUM y las fiscalías, que definirá los estándares técnicos y plazos de cumplimiento que podrían convertirse en referencia para reguladores de la región.
