El sitio Chequeado detectó que la obra social estatal nacional de los jubilados publicó – en el buscador de compras de sus Unidades de Gestión Local -expedientes con información privada de sus afiliados de forma abierta en internet.
Entre los documentos expuestos, hay historias clínicas completas, resultados de estudios, certificados de discapacidad y copias de DNI. Se trata de, al menos, 40 casos registrados.
Especialistas advierten que la difusión de esta información vulnera la Ley de Protección de Datos Personales, que considera los datos de salud como sensibles, y la Ley de Derechos del Paciente, que prohíbe su divulgación sin consentimiento.
El PAMI – la obra social estatal de los jubilados – comparte de forma abierta en su web información sensible de sus afiliados, lo que vulnera la Ley de Derechos del Paciente -que garantiza la confidencialidad de los datos médicos– y la Ley de Protección de Datos Personales, según especialistas consultados por Chequeado.
El medio porteño detectó decenas de archivos que contienen el nombre y apellido, DNI y el diagnóstico médico de afiliados que solicitaron acceso a determinadas prácticas o insumos médicos. Incluso, en algunos casos, se hallaron historias clínicas completas de los pacientes, fotocopias de DNI y certificados de discapacidad, sin ninguna tachadura para impedir que se filtren datos personales.
Esta información se encuentra disponible públicamente y sin restricciones en el buscador de compras de las Unidades de Gestión Local (UGL) de la obra social que atiende a más de 5,7 millones de jubilados y pensionados. Cada unidad local carga la información de forma independiente al sistema.
Desde el área de Prensa del PAMI reconocieron ante la consulta de Chequeado que esto “constituye una anomalía grave y absolutamente contraria a los protocolos y estándares de protección de datos vigentes”.
Qué datos de sus afiliados muestra el PAMI públicamente
Si bien resulta difícil cuantificar la cantidad de expedientes con información sensible (dado que se trata de decenas de miles de archivos en PDF), un análisis realizado sobre las compulsas abreviadas (procesos simplificados de compra para la adquisición de bienes y servicios de forma rápida) de los primeros 2 meses de 2026 detectó al menos 40 casos en los que se expone información de los pacientes.
Los casos más graves se vieron en la UGL de Jujuy. Por ejemplo, una afiliada de esa provincia solicitó una trombectomía (un proceso para la eliminación de coágulos sanguíneos), y PAMI subió al sistema todos sus datos personales (incluido su domicilio) y su historia clínica completa, con detalles de su cuadro clínico e informes pormenorizados de los estudios realizados.
En Jujuy, PAMI subió al sistema los datos personales e historia clínica completa de una afiliada que solicitó una trombectomía, con detalles del cuadro clínico e informes pormenorizados de los estudios realizados.
Este caso, que Chequeado publica como ejemplo luego de resguardar toda la información personal de la paciente, se repite.
En otro expediente, también detectado en la UGL de Jujuy, se subió a la web el estudio de sangre y orina completo de una paciente (cuyos datos completos figuran en el expediente) que había solicitado un catéter urinario.
En ocasiones, además de la historia clínica completa y el diagnóstico, los archivos contienen copias de los DNI de los afiliados, con información (como el número de trámite) que podría ser utilizada para realizar trámites y gestiones a nombre de esa persona.
En un expediente, se subió a la web de PAMI el estudio de sangre y orina completo de una paciente. En otras ocasiones, los archivos contienen copias de los DNI de los afiliados.
En otro caso detectado en la UGL de Misiones, el expediente expone la información personal del afiliado junto con el diagnóstico médico y la prescripción de tratamiento. La misma situación se halló en la UGL de Chivilcoy, provincia de Buenos Aires.
Un expediente de la UGL de Misiones (izquierda) y otro detectado en Provincia de Buenos Aires (derecha) exponen información personal, diagnóstico médico y prescripción de tratamiento de afiliados.
Otros archivos adjuntan fotos de lesiones graves e imágenes en alta resolución de colonoscopias, por ejemplo.
Desde el PAMI señalaron ante la consulta de Chequeado que “se trata de un episodio que no debería ocurrir bajo ninguna circunstancia y que ya se encuentra bajo análisis interno”.
“El Instituto dispuso de manera inmediata la baja de todas las contrataciones y accesos vinculados a información que no corresponde, además de la apertura de los sumarios administrativos correspondientes para determinar responsabilidades y aplicar las sanciones que pudieran corresponder”, indicaron.
Qué dicen las leyes sobre la difusión de datos personales
La Ley de Protección de Datos Personales define los datos de salud como sensibles y establece que los organismos y profesionales de la salud pueden recolectarlos, pero respetando el secreto profesional. Su tratamiento requiere consentimiento expreso del titular o una habilitación legal específica.
Por su parte, la Ley de Derechos del Paciente garantiza el derecho a la intimidad, al garantizar la no difusión de los datos de salud sin el consentimiento de la persona por parte de la institución de salud.
“El paciente tiene derecho a que toda persona que participe en la elaboración o manipulación de la documentación clínica, o bien tenga acceso al contenido de la misma, guarde la debida reserva, salvo expresa disposición en contrario emanada de autoridad judicial competente o autorización del propio paciente”, dice la ley.
La Agencia de Acceso a la Información Pública reglamentó el procedimiento para el cuidado de los datos personales, y sostuvo que su tratamiento “requiere la firma de convenios de confidencialidad por parte del personal, terceros que presten servicios y funcionarios”. Además, estableció que los organismos sólo tratarán datos sensibles “en caso que exista una autorización legal expresa fundada en interés general”.
Alejandro Segarra, codirector de la Asociación por los Derechos Civiles (ADC), dijo a Chequeado que “el Estado no debe difundir datos sensibles de los ciudadanos, y tiene que tener especial atención con las reglas de anonimización, tacha y disociación. Es decir que la única forma de publicar esto es disociándose de la persona, tachando sus datos para mantener anónima la identidad”.
“Una divulgación de este tipo, para que sea legítima (que es muy extraño que lo sea), debe tener una razón de mucho peso y además contar con el consentimiento informado y expreso del titular del dato”, completó.
Chequeado