El mercado de los datos de salud: quién compra lo que sabe tu médico de ti

Cada vez que usas una app de salud, llevas el móvil al gimnasio o compartes síntomas con un chatbot médico, estás generando datos que valen dinero. Mucho dinero. El mercado global de datos de salud mueve cifras que rozan los 70.000 millones de dólares anuales según estimaciones del sector, y la mayoría de las personas que alimentan ese mercado no tienen idea de que participan en él. La pregunta de fondo no es si tus datos de salud se venden: es a quién, en qué condiciones y qué pueden hacer con ellos.

Para entender la magnitud, conviene saber que los datos de salud no son solo los que guarda tu médico de cabecera. Incluyen lo que registra tu smartwatch (frecuencia cardíaca, sueño, actividad), las búsquedas que haces en Google sobre síntomas, los pedidos de parafarmacia en Amazon, las conversaciones con asistentes de salud como Ada o Babylon Health, y las historias clínicas electrónicas que hospitales y aseguradoras conservan durante décadas. Todo eso forma un retrato de tu cuerpo más detallado de lo que cualquier persona ha tenido nunca sobre sí misma, y ese retrato interesa a actores muy distintos.

¿Quién compra los datos de salud y para qué los usa?

Las aseguradoras, las farmacéuticas y los intermediarios de datos (conocidos en el sector como data brokers) son los tres compradores más activos del mercado. Cada uno los quiere por razones distintas, aunque a menudo convergen.

Las compañías farmacéuticas utilizan grandes conjuntos de datos clínicos para acelerar el diseño de ensayos clínicos, identificar pacientes con perfiles concretos o detectar patrones de adherencia a tratamientos. Empresas como IQVIA o Symphony Health compran datos a hospitales, farmacias y aseguradoras, los agregan, los anonomizan (en teoría) y los revenden a laboratorios como Pfizer, Roche o AstraZeneca. El negocio de IQVIA en datos sanitarios superó los 14.000 millones de dólares en ingresos en 2023.

Las aseguradoras tienen intereses más directos: quieren predecir quién va a enfermar antes de que ocurra, para ajustar primas o denegar coberturas. En Estados Unidos, donde este mercado opera con menos restricciones que en Europa, hay casos documentados de aseguradoras que cruzaron datos de compras en supermercados con historiales médicos para inferir hábitos de riesgo. Aquí es donde el asunto empieza a parecerse a lo que ya vimos cuando los algoritmos empezaron a anticiparse a tus decisiones antes de que tú mismo las tomaras.

Los data brokers operan en la sombra. Empresas como Acxiom, Experian Health o LexisNexis Health recopilan datos de fuentes muy diversas, los enriquecen con información demográfica y los venden a quien los pida. No siempre al mejor postor: a veces a empleadores, a veces a plataformas publicitarias, a veces a fondos de inversión que quieren evaluar el riesgo de una cartera de seguros de vida.

¿Está protegida tu historia clínica por la ley?

En Europa, el Reglamento General de Protección de Datos (RGPD) clasifica los datos de salud como una categoría especialmente protegida, lo que en teoría obliga a obtener consentimiento explícito antes de procesarlos. La palabra clave es «en teoría». La realidad es más complicada.

Muchos de los datos que alimentan este mercado no proceden directamente de historias clínicas, sino de aplicaciones de bienestar, dispositivos wearables o servicios de telemedicina que los usuarios han descargado voluntariamente y cuyos términos de uso han aceptado sin leer. Una investigación de Privacy International en 2019 demostró que varias apps de salud compartían datos con Facebook en tiempo real, incluyendo información sobre ciclos menstruales, estados de ánimo y síntomas de enfermedades. Las apps habían pedido consentimiento genérico al instalarse; los usuarios nunca supieron adónde iba cada dato concreto.

La distinción entre datos médicos y datos de salud es más importante de lo que parece. Tu historial clínico, el que maneja tu médico o el hospital, tiene protecciones legales fuertes. Pero los datos que genera tu Fitbit, tu cuenta de MyFitnessPal o tu búsqueda nocturna de «síntomas de diabetes tipo 2» pueden circular con mucha menos restricción, dependiendo del país y de cómo los haya categorizado la empresa que los recoge.

En Estados Unidos, la ley HIPAA protege los datos que manejan proveedores de salud certificados, pero deja fuera explícitamente a la mayoría de apps de salud y dispositivos de consumo. Apple Health y Google Fit, por ejemplo, operan en una zona regulatoria que no encaja del todo ni con HIPAA ni con las leyes de privacidad estatales. No es una sorpresa que el sector tecnológico haya construido sus productos en ese espacio.

¿Qué pasa cuando la empresa que guarda tus datos cierra o se vende?

Esta pregunta tiene una respuesta que incomoda: tus datos de salud pueden pasar a manos de un tercero que nunca elegiste, sin que puedas hacer nada. Ya escribimos sobre lo que ocurre con los datos personales cuando una empresa quiebra o es adquirida, y el sector salud no es una excepción.

El caso de PatientsLikeMe es uno de los más citados. Esta red social para pacientes con enfermedades crónicas acumuló durante años datos muy sensibles: diagnósticos, tratamientos, evolución de síntomas, respuestas emocionales. En 2019 fue adquirida por UnitedHealth Group, la mayor aseguradora de Estados Unidos. Los usuarios que habían compartido sus datos pensando en una comunidad de apoyo se encontraron con que su información había pasado a una empresa con interés directo en conocer el perfil de riesgo de los pacientes.

Esto no es un caso aislado ni tampoco una conspiración: es el modelo de negocio habitual. Cuando el producto es gratuito y el contenido es tu salud, el comprador eventual siempre va a ser alguien con dinero y un interés muy concreto en lo que sabes de ti mismo.

El sector farmacéutico también mueve fichas en esta dirección. En 2021, Amazon adquirió PillPack (una farmacia online) y en 2022 compró One Medical (una red de clínicas de atención primaria). Con esas dos operaciones, Amazon tiene acceso potencial a prescripciones, historial médico y datos de consumo de medicamentos de millones de personas, todo ello cruzable con sus datos de compra en Amazon.com. Es el tipo de perfil que cualquier aseguradora o farmacéutica pagaría mucho por tener.

¿Cómo funciona la «anonimización» que supuestamente protege tus datos?

La anonimización de datos de salud es el argumento más usado para justificar su comercialización: «los datos se venden, pero sin identificar a nadie». El problema es que esa garantía es mucho más frágil de lo que suena.

Investigadores del MIT demostraron en estudios publicados entre 2013 y 2019 que con cuatro puntos de datos genéricos (edad, sexo, código postal y fecha de visita médica) se puede reidentificar a más del 80% de los pacientes en bases de datos supuestamente anónimas. Los datos de salud son tan específicos que la anonimización perfecta es prácticamente imposible: una enfermedad rara, una combinación inusual de medicamentos o una secuencia genética particular te identifica igual que tu nombre y apellidos.

La reidentificación no es solo teórica. En 2006, AOL publicó registros de búsqueda «anonimizados» de 650.000 usuarios; periodistas del New York Times identificaron a personas concretas en días. En el ámbito sanitario, el riesgo es mayor porque los datos son más ricos y más estables en el tiempo.

El Reglamento Europeo del Espacio Europeo de Datos de Salud (EHDS), cuya negociación concluyó en 2024 y que entrará en vigor de forma progresiva, intenta establecer normas más estrictas para el uso secundario de datos clínicos en Europa. Pero su implementación real dependerá de cómo cada Estado miembro transponga las obligaciones, y los lobbies del sector farmacéutico han presionado con fuerza durante toda la negociación para que el acceso a datos con fines de investigación sea lo más amplio posible.

En este contexto, no sorprende que algunas de las teorías sobre vigilancia corporativa que parecían exageradas hayan acabado siendo práctica habitual documentada. El mercado de datos de salud es uno de esos casos donde la realidad alcanzó a la especulación.

El ecosistema de intermediarios también plantea problemas de trazabilidad. Cuando tus datos pasan de una app a un data broker, de ahí a una farmacéutica, de ahí a un fondo de inversión y de ahí a una aseguradora, ya nadie sabe exactamente de dónde vinieron ni quién los autorizó. La cadena de cesiones hace imposible el control incluso para las empresas que dicen cumplir con la ley.

El debate sobre los mitos de la privacidad digital que se repiten sin cuestionarse también aplica aquí: muchas personas creen que «no tienen nada que ocultar» en materia de salud, sin considerar que un dato aparentemente inocuo (una búsqueda sobre insomnio, un pedido de ibuprofeno recurrente) puede combinarse con otros para construir un perfil de riesgo que afecte a su acceso a seguros, créditos o empleo.

Las aseguradoras del ramo de vida ya usan en algunos países datos de actividad física de wearables para ajustar primas. John Hancock, una de las mayores aseguradoras de vida de Norteamérica, ofrece descuentos a clientes que compartan sus datos de Fitbit o Apple Watch. Es voluntario, claro. Pero en cuanto una parte del mercado adopta ese modelo, quienes no quieren compartir sus datos empiezan a pagar más por el mero hecho de no compartirlos.

Hay también un mercado emergente que conviene seguir de cerca: el de los datos genéticos. 23andMe llegó a tener más de 14 millones de clientes en su base de datos genómica. En 2023 sufrió una brecha de seguridad que expuso información de casi 7 millones de usuarios. En 2024, la compañía entró en proceso de quiebra, lo que abrió de inmediato la pregunta de qué pasaría con esa base de datos. El tribunal que supervisa el proceso de liquidación tuvo que emitir directrices específicas para proteger los datos genéticos, lo que ilustra hasta qué punto la legislación existente no tenía respuesta clara para este escenario. Algo que conecta directamente con cómo la identidad digital puede pertenecer a alguien que no eres tú sin que hayas firmado nada explícitamente.

Los datos genéticos son especialmente valiosos porque son permanentes (tu ADN no cambia), heredables (revelan información sobre tu familia sin su consentimiento) y extremadamente granulares (predicen enfermedades que aún no tienes). Valen entre 10 y 1.000 veces más que un dato de tarjeta de crédito en el mercado negro, según estimaciones del sector de ciberseguridad. Y en el mercado blanco, su valor para farmacéuticas y biotecnológicas es incalculable.

Para el usuario medio, el problema práctico es que las herramientas de control son escasas y difíciles de usar. El RGPD europeo reconoce el derecho de acceso, rectificación, supresión y portabilidad de datos personales, incluidos los de salud. Pero ejercer esos derechos frente a un data broker con sede en Delaware que opera a través de filiales en tres países requiere tiempo, conocimiento legal y una insistencia que la mayoría de personas no está dispuesta a mantener. Los datos de salud que ya circulan por el mercado, en la práctica, no se recuperan.

Esto conecta con algo que quizá no te has planteado: tus datos de salud ya generados, los que están en bases de datos que ni siquiera sabes que existen, seguirán circulando independientemente de lo que hagas a partir de ahora. El daño, si es que hay daño, no espera a que tomes una decisión. Lo mismo ocurre con otros datos que se recogen sin que seas del todo consciente, como los que genera tu propio vehículo.

¿Llegará un momento en que tu historial médico decida tu acceso a crédito o empleo?

Técnicamente, en algunos mercados ya está ocurriendo de forma indirecta. Las aseguradoras de vida que premian a quienes comparten datos de actividad física están, en la práctica, penalizando a quienes no lo hacen. Algunos empleadores en Estados Unidos han utilizado información de salud obtenida legalmente (o no tan legalmente) para tomar decisiones de contratación. La línea entre «incentivo» y «discriminación encubierta» es más fina de lo que parece en la legislación actual.

La pregunta de si esto va a ir a más depende de factores que aún no están resueltos: cómo evolucione la regulación europea con el EHDS, si Estados Unidos aprueba alguna ley federal de privacidad de datos sanitarios más amplia que HIPAA, y sobre todo de si los ciudadanos empiezan a exigir control real sobre sus datos o lo siguen cediendo a cambio de apps gratuitas y descuentos en gimnasios.

Lo que sabemos con certeza es que el valor de los datos de salud no va a bajar. La medicina de precisión, el desarrollo de fármacos con inteligencia artificial y la personalización de seguros son tres industrias que necesitan más datos, no menos. El incentivo para recopilarnos es enorme y la capacidad técnica para hacerlo, también.

Preguntas frecuentes