Blockchain en salud con trazabilidad e integridad de datos

La atención sanitaria se construye a lo largo del tiempo. Una consulta genera observaciones, diagnósticos y prescripciones; el laboratorio añade resultados; la farmacia dispensa; el hospital registra procedimientos; y el pagador comprueba cobertura y facturación. Cada organización conserva una parte del episodio. El paciente atraviesa el sistema, pero sus datos no siempre lo hacen con la misma continuidad.

Esos registros no son simples documentos intercambiables. El historial clínico orienta decisiones asistenciales; una receta autoriza una dispensación; el consentimiento delimita determinados usos; una factura inicia un proceso económico; y el registro de auditoría permite reconstruir quién accedió o modificó información. La fuente jurídicamente válida depende de cada proceso y de la institución responsable.

El problema no es que falten bases de datos. Es que deben coordinarse organizaciones con sistemas, identificadores, formatos y responsabilidades diferentes sin perder contexto ni confidencialidad. Blockchain solo resulta pertinente cuando varias partes necesitan verificar el mismo evento y ninguna base central ofrece por sí sola la gobernanza adecuada. No sustituye el expediente clínico, el criterio médico ni los estándares de interoperabilidad.

En salud, blockchain funciona sobre todo como una capa de integridad y trazabilidad, no de tokenización. En lugar de poner el activo en la cadena, se ancla una huella verificable de cada evento. Puede ser el lote de un medicamento que cambia de manos o la versión de un historial clínico.

Los datos sensibles del paciente no se guardan en la cadena, sino fuera de ella. On-chain solo vive la prueba criptográfica que permite comprobar que nada se ha alterado. Así se concilia la inmutabilidad con la protección de datos.

Un hash permite comprobar que un archivo coincide exactamente con la versión que se registró. Si cambia una cifra, una imagen o un carácter, la huella deja de coincidir. Esta propiedad es útil para historiales versionados, consentimientos, resultados de laboratorio o documentos de un ensayo porque hace visible una modificación posterior y permite acreditar cuándo existía una versión determinada.

La prueba tiene un límite fundamental. Protege la integridad desde el momento del registro, no la calidad del dato de origen. Una medición mal calibrada, una identidad incorrecta o un diagnóstico codificado de forma errónea pueden quedar anclados con perfecta inmutabilidad. Antes de registrar el evento siguen siendo necesarios controles clínicos, dispositivos validados, identificación, firma y procedimientos de corrección.

Tampoco basta con publicar una huella sin conservar la evidencia original y su contexto. La institución debe poder recuperar el documento, demostrar quién lo emitió, explicar su significado y relacionarlo con el paciente correcto. En una arquitectura madura, blockchain aporta sellado, secuencia y verificabilidad compartida; los repositorios clínicos mantienen contenido, permisos, retención y rectificación.

Blockchain aporta una capa común de evidencia cuando hospitales, laboratorios, farmacias, aseguradoras y fabricantes necesitan verificar el mismo evento desde sistemas distintos. La red conserva estados o huellas compartidas, mientras cada organización mantiene los datos clínicos bajo sus controles. El valor aparece en la integridad, la procedencia y la coordinación entre participantes.

En la infraestructura tradicional, cada organización conserva su registro y las discrepancias se resuelven mediante mensajes, copias y conciliaciones. Una red blockchain permite que participantes autorizados verifiquen el mismo estado y su historial de cambios. Los datos personales permanecen fuera de cadena y la prueba compartida evita replicar información clínica sensible.

La interoperabilidad sanitaria tiene varias capas. Dos sistemas deben poder conectarse, identificar al paciente y al profesional, interpretar el mismo concepto clínico y utilizarlo dentro de un proceso autorizado. Blockchain puede ofrecer un registro común de eventos o permisos, pero no define por sí sola qué significa una alergia, cómo se codifica una observación o qué campos componen un informe.

Para esa semántica existen estándares y marcos específicos. FHIR facilita el intercambio mediante recursos y API; terminologías como SNOMED CT, LOINC o ICD normalizan conceptos; y perfiles nacionales o regionales determinan qué elementos son obligatorios. En Estados Unidos, USCDI y TEFCA forman parte de la infraestructura de intercambio. En la Unión Europea, el EHDS introduce reglas, componentes de interoperabilidad y una implantación gradual para el uso primario y secundario de datos.

Una red DLT solo añade valor si se integra con esos mecanismos. Puede registrar consentimiento, procedencia, versión o acceso y permitir que distintas organizaciones verifiquen el evento. El documento clínico sigue viajando por canales autorizados y en un formato comprensible. Si cada participante escribe datos incompatibles, el resultado será un registro distribuido de información que nadie puede reutilizar de forma segura.

La OMS estimó en 2017 que cerca de uno de cada diez medicamentos en países de renta baja y media era falsificado o subestándar. Otro estudio, publicado en 2020, atribuyó a la administración el 34,2% del gasto sanitario estadounidense analizado para 2017. Son perímetros distintos y no miden el ahorro que produciría blockchain.

En Europa, el sistema de verificación de medicamentos permite comprobar identificadores y alertar sobre envases sospechosos dentro de la cadena legal. Estonia utiliza KSI para proteger la integridad de registros sanitarios y de acceso, manteniendo los datos clínicos en su infraestructura sanitaria. e-Estonia comunica 2,7 millones de consultas mensuales de pacientes, una métrica de uso del portal y no de transacciones blockchain.

La mayoría de los despliegues son redes permisionadas entre instituciones, con el dato personal siempre off-chain. El valor está en la procedencia verificable y la integridad del dato, no en tokenizar la salud ni en publicar información clínica sensible.

Un ensayo clínico produce protocolos, consentimientos, observaciones, análisis y cambios durante años. Patrocinadores, centros, investigadores, laboratorios y autoridades deben reconstruir qué versión estaba vigente, quién introdujo cada dato y qué corrección realizó. Una capa de sellado compartido puede reducir disputas sobre secuencia y procedencia.

Eso no convierte una red blockchain pública en un repositorio de investigación. Los datos de participantes, los códigos de aleatorización y la información que podría romper el ciego exigen controles estrictos. Incluso un hash puede ser dato personal si permite relacionar o verificar información sobre una persona. El diseño debe minimizar lo publicado, evitar identificadores reutilizables y valorar si una red permisionada aporta algo frente a un registro de auditoría convencional.

El uso secundario añade otra cuestión. Que un conjunto sea técnicamente accesible no significa que pueda reutilizarse. Consentimiento, base jurídica, comité ético, permiso de acceso y condiciones del espacio de datos determinan la legitimidad. Blockchain puede registrar esas autorizaciones y su evolución, pero la gobernanza decide quién evalúa una solicitud, qué entorno seguro se utiliza y cómo se impide la reidentificación.

Los usos con mayor fundamento comparten una condición. Varias organizaciones deben comprobar el mismo evento, pero ninguna necesita publicar el expediente completo. La trazabilidad farmacéutica, la integridad documental, las credenciales profesionales y la coordinación de autorizaciones encajan cuando existe una identidad fiable, una fuente de datos gobernada y una responsabilidad claramente asignada.

La automatización es más sólida cuando el evento es objetivo, está bien codificado y todas las partes aceptan la fuente. Confirmar que se dispensó un medicamento serializado, que una credencial profesional sigue vigente o que se recibió un documento completo puede activar el siguiente paso. El contrato reduce espera y conciliación porque todos observan el mismo estado.

Muchas reclamaciones sanitarias no cumplen esas condiciones. La cobertura puede depender de necesidad médica, exclusiones, autorizaciones previas, coordinación entre pagadores o revisión de documentación. Un código correcto no demuestra por sí solo que el tratamiento estuviera indicado. Automatizar sin una ruta de excepción desplaza el error al paciente y puede convertir una inconsistencia de datos en una denegación inmediata.

El diseño adecuado separa decisiones deterministas de decisiones sujetas a revisión. El contrato puede comprobar requisitos, reservar fondos, detectar duplicados y registrar hitos; un profesional o un procedimiento regulado resuelve controversias y autoriza excepciones. También debe existir una forma de corregir la fuente y reejecutar el proceso sin borrar el historial. La finalidad es reducir trabajo repetitivo, no ocultar una política asistencial dentro del código.

La arquitectura separa la prueba compartida del contenido clínico. On-chain se registran identificadores mínimos, estados, firmas o huellas que varias entidades necesitan verificar. Historias, imágenes, consentimientos y documentos permanecen en repositorios gobernados, donde pueden corregirse, restringirse o eliminarse. Esa separación reduce exposición, aunque no elimina por sí sola el riesgo de reidentificación.

Una huella, una clave pública o el patrón de transacciones pueden seguir siendo datos personales cuando permiten relacionar a una persona. El riesgo aumenta si el mismo identificador se reutiliza entre hospitales, farmacias y aseguradoras. Mantener el nombre fuera de la cadena evita el error más evidente, pero no elimina la inferencia ni las obligaciones de protección de datos.

El responsable debe definir finalidad, base jurídica, minimización, plazo de conservación y destinatarios antes de decidir la arquitectura. También debe determinar quién opera nodos, quién puede leer metadatos, dónde se alojan claves y repositorios y cómo se atienden acceso, rectificación, oposición o supresión. Las directrices del EDPB sobre blockchain subrayan precisamente la necesidad de evaluar roles y protección de datos desde el diseño.

La gestión de claves es especialmente sensible. Si una clave se pierde, el paciente no puede quedar excluido de su atención; si se compromete, debe poder rotarse sin perder la trazabilidad legítima. Por eso la identidad sanitaria no suele descansar en una wallet autocustodiada como único mecanismo. Credenciales recuperables, delegación, autenticación institucional y registros de acceso deben coexistir con procedimientos convencionales de seguridad y continuidad asistencial.

Una solución sanitaria de producción suele ser híbrida. Los sistemas clínicos y farmacéuticos conservan el contenido; servicios de identidad vinculan organizaciones y profesionales; una capa de interoperabilidad traduce mensajes y terminologías; y el registro distribuido guarda eventos, pruebas o estados que necesitan verificación compartida. Los nodos no sustituyen todos esos componentes.

La gobernanza de la red debe asignar responsabilidades operativas. Alguien incorpora participantes, actualiza software, responde ante una vulnerabilidad, define el consenso y resuelve una bifurcación o un dato disputado. Una red permisionada puede distribuir la validación entre instituciones, pero sigue necesitando una autoridad contractual y procedimientos de cambio. Descentralizar la infraestructura no elimina la responsabilidad sanitaria.

También importa la disponibilidad. Una emergencia, una caída de conectividad o el fallo de un nodo no pueden impedir acceder a información crítica. Los sistemas deben admitir operación degradada, colas seguras y reconciliación posterior. La finalidad clínica determina los niveles de servicio, no las características teóricas de la cadena. Cuanto más cerca esté la red de una decisión asistencial, mayor debe ser la capacidad de recuperación y supervisión.

Una derivación entre centros permite probar la integración con un caso concreto. El centro emisor comparte el informe autorizado y el receptor verifica procedencia, versión y permisos antes de incorporarlo a su flujo clínico. Una corrección posterior debe llegar como una nueva versión vinculada, sin que el profesional confunda el documento inicial con el vigente. La prueba también debe incluir identidades duplicadas y documentos asignados por error. La coincidencia de una huella no resuelve por sí sola la correspondencia entre pacientes.

Los registros de acceso necesitan una finalidad clara y un tratamiento proporcionado. Pueden apoyar la investigación de una consulta indebida, pero también revelar relaciones asistenciales. Los permisos deben distinguir atención, administración, investigación y auditoría, con procedimientos específicos cuando cambia la finalidad. El funcionamiento de urgencia debe estar definido por la organización sanitaria y dejar evidencia de las actuaciones. La infraestructura técnica aplica ese diseño, sin convertir una indisponibilidad de la red en una decisión clínica automática.

La trazabilidad de medicamentos está regulada. EE.UU. la exige por la DSCSA, con intercambio interoperable basado en el estándar GS1, y la UE por la Directiva de Medicamentos Falsificados y su sistema de verificación. Cualquier solución de trazabilidad debe encajar ahí.

Para los datos clínicos, el RGPD exige definir finalidad, base jurídica, minimización, conservación, roles y derechos antes de elegir arquitectura. Mantener el contenido off-chain reduce exposición, pero una huella o sus metadatos pueden seguir siendo datos personales si resultan vinculables. El diseño debe evaluar ese riesgo, no asumir que el hash queda fuera de la norma.

Un piloto útil empieza con un problema acotado entre organizaciones identificadas. Puede verificar una credencial, coordinar una retirada, demostrar versiones documentales o reducir una conciliación concreta. Antes de construir se mide el tiempo actual, la tasa de error, el coste de disputa y quién asume cada responsabilidad. Sin línea base, una demostración técnica no puede acreditar mejora.

El éxito tampoco se mide por transacciones on-chain. En trazabilidad importan el porcentaje de eventos completos, el tiempo para localizar un lote y la capacidad de investigar una anomalía. En intercambio clínico importan la identidad correcta, la utilidad del dato recibido y la reducción de duplicidades. En reclamaciones cuentan el tiempo de resolución, las excepciones y las decisiones revertidas. Cada métrica debe reflejar el resultado sanitario u operativo.

Escalar exige incorporar a participantes pequeños, sistemas heredados y situaciones excepcionales. Si el modelo solo funciona con integración a medida para grandes instituciones, puede crear otra isla tecnológica. La decisión final compara una red distribuida con alternativas como API gobernadas, firma electrónica, repositorios compartidos o servicios de timestamping. Blockchain merece permanecer cuando distribuye confianza y control de una forma que esas opciones no consiguen con menor complejidad.

Un registro compartido puede reforzar evidencia y coordinación, pero no mejora por sí solo la calidad asistencial ni corrige los incentivos, las desigualdades o los errores del proceso que alimenta la red. Tampoco sustituye la interoperabilidad semántica, el juicio clínico, la seguridad de los dispositivos ni la responsabilidad profesional ante una decisión.

Estos conceptos separan la infraestructura de prueba, los sistemas que conservan el dato clínico y las reglas que autorizan su uso. Entenderlos permite evaluar una propuesta sin confundir integridad con calidad, acceso con consentimiento ni interoperabilidad técnica con interoperabilidad organizativa. También aclara por qué una huella criptográfica puede seguir vinculada a datos personales.