Los contratos de tecnología sanitaria en Kuwait se sitúan en la intersección de la regulación médica, la protección de datos y el derecho mercantil. La norma central es la Ley n.º 70 de 2020 sobre el ejercicio de la medicina y las profesiones auxiliares, los derechos de los pacientes y los establecimientos sanitarios, que regula la licencia de profesionales y establecimientos privados y permite, en su artículo 24, los servicios médicos a distancia, la atención domiciliaria y la inteligencia artificial conforme a las condiciones del Ministerio de Sanidad. A su alrededor se sitúan el Reglamento de Protección de la Privacidad de los Datos de la Autoridad Reguladora de Comunicaciones y Tecnología de la Información (CITRA), adoptado por la Decisión n.º 26 de 2024, para los proveedores de servicios licenciados por la CITRA, su Marco Regulatorio de Computación en la Nube, el régimen de ciberseguridad del Decreto n.º 37 de 2022 y la Ley n.º 20 de 2014 sobre transacciones electrónicas. Ya se trate de una plataforma de historiales, un servicio de telemedicina o una herramienta de apoyo a la decisión clínica, la revisión parte de lo que las normas sanitarias permiten, de lo que las reglas de datos exigen y de quién soporta cada obligación cuando algo falla. Este artículo expone el marco que aplicamos a estos contratos en Kuwait.
El mapa regulatorio: derecho sanitario, reglas de datos y contrato
Un despliegue de tecnología sanitaria en Kuwait sigue dos vías regulatorias a la vez. En la vía sanitaria, la Ley n.º 70 de 2020 regula quién puede ejercer la medicina, cómo se licencian los establecimientos privados, qué derechos tienen los pacientes y cómo se valora la responsabilidad médica. En la vía de datos, la CITRA regula el tratamiento de datos personales por sus proveedores de servicios licenciados mediante su Reglamento de Protección de la Privacidad de los Datos, adoptado por la Decisión n.º 26 de 2024, emitida el 7 de febrero de 2024, que sustituyó al reglamento anterior adoptado por la Decisión n.º 42 de 2021.
El contrato es el punto de unión de ambas vías. Un proveedor que aloja historiales, una plataforma que canaliza teleconsultas o una herramienta que lee datos clínicos toca a la vez actividad médica regulada y datos personales regulados. La revisión vincula cada obligación al régimen que la impone: licencias al Ministerio de Sanidad, datos a la CITRA, cuestiones profesionales al comité de responsabilidad médica y a los tribunales. Una cláusula comercialmente elegante sigue fracasando si asigna una obligación a quien la regulación no autoriza a cumplirla.
Quién puede prestar la asistencia: licencias profesionales y de establecimiento
En Kuwait, los servicios sanitarios solo pueden prestarse por profesionales licenciados a través de establecimientos licenciados. El artículo 1 de la Ley n.º 70 de 2020 define el establecimiento sanitario como todo lugar acondicionado para prestar servicios médicos o asistencia sanitaria con fines de diagnóstico, tratamiento, prevención, mejora de la salud o rehabilitación, y al propietario de un establecimiento privado como la persona física o jurídica autorizada a crearlo, explotarlo y gestionarlo. El artículo 55 prohíbe crear, explotar o gestionar un establecimiento privado, o abrir una sucursal, sin licencia del Departamento de Licencias Sanitarias, y obliga a asegurar los riesgos derivados de edificios, aparatos y equipos médicos, cubriendo a pacientes, acompañantes, personal y visitantes.
El artículo 58 añade condiciones de titularidad decisivas para estructurar proyectos de tecnología sanitaria: la licencia de una clínica privada o dispensario exige un médico kuwaití licenciado, limitado a una sola clínica sin sucursal, y la de un hospital o centro de salud exige un profesional kuwaití licenciado o una persona jurídica cuyo propietario o socio lo sea. Una empresa tecnológica no puede tratar la capa médica como una simple compra de servicios; la arquitectura de licencias decide quién posee y dirige la entidad clínica.
Telemedicina e inteligencia artificial bajo el artículo 24
El artículo 24 de la Ley n.º 70 de 2020 es la puerta legal de la tecnología sanitaria. Permite prestar servicios médicos, asistencia domiciliaria y a distancia, y utilizar inteligencia artificial, tecnologías avanzadas, comunicaciones modernas, medios digitales y soportes electrónicos, fijando el Ministerio de Sanidad las condiciones y controles necesarios. Teleconsulta, monitorización remota, triaje asistido por IA y terapias digitales caben en este permiso, pero condicionado: las reglas del Ministerio determinan cómo pueden prestarse realmente estos servicios.
Para el contrato, el artículo 24 tiene dos consecuencias. Primero, las partes deben verificar antes de firmar qué condiciones del Ministerio de Sanidad se aplican al modelo de servicio concreto, porque la ley delega las reglas de detalle en el Ministerio y los requisitos detallados pueden cambiar a medida que el Ministerio dicta nuevos controles. Segundo, el contrato debe repartir la responsabilidad de mantener las licencias profesionales y la licencia del establecimiento que el servicio requiere, porque una plataforma no puede ejercer la medicina por sí misma. El proveedor aporta la tecnología; un establecimiento licenciado y profesionales licenciados aportan la asistencia. Los contratos que difuminan esa línea crean exposición regulatoria para ambas partes.
Derechos de los pacientes e historial médico
El capítulo cuarto de la Ley n.º 70 de 2020 enuncia derechos del paciente que un contrato de tecnología sanitaria debe respetar y no renegociar. El artículo 26 reconoce al paciente el derecho a servicios médicos y asistencia sanitaria completos conforme a los principios médicos establecidos, que comprenden prevención, diagnóstico, tratamiento, rehabilitación y orientación. El artículo 27 reconoce el derecho a ser informado con honestidad y precisión de todo lo relativo a su estado de salud. El artículo 28 exige que cada paciente tenga un historial propio en el establecimiento que le prestó tratamiento, consulta o asistencia, que documente toda la información y los datos relativos al paciente y a su estado de salud, incluidos actuaciones, pruebas, resultados, diagnósticos, tratamientos, seguimientos y dispositivos implantados o utilizados.
El artículo 28 da además al paciente, o a su representante legal, derecho a solicitar un informe médico detallado o resumido al médico tratante o a la persona que designe el establecimiento. Por ello, el contrato de una plataforma de historiales debe tratar el acceso del paciente como una función legal y no como una opción del producto: el sistema debe poder producir el historial y los informes del paciente, y las cláusulas de salida deben garantizar que el establecimiento pueda seguir cumpliendo el artículo 28 tras terminar la relación con el proveedor. El artículo 22 añade deberes de documentación para recetas, informes y certificados, que deben ser claros, exactos, firmados, fechados y conservados en el historial médico del paciente.
El reglamento de protección de datos de la CITRA
La CITRA adoptó su vigente Reglamento de Protección de la Privacidad de los Datos mediante la Decisión n.º 26 de 2024, dictada el 7 de febrero de 2024 y aprobada por el consejo de la Autoridad en su reunión n.º 14 de 2023, celebrada el 5 de diciembre de 2023. La decisión derogó el reglamento de privacidad anterior, adoptado por la Decisión n.º 42 de 2021 y sus modificaciones, y entró en vigor con su publicación en el Boletín Oficial y en el sitio web de la Autoridad. Según su artículo 1, el reglamento se aplica a los prestadores de servicios licenciados por la CITRA que recojan, traten o almacenen datos personales, tanto si el tratamiento se realiza dentro como fuera de Kuwait, y exige una base legal para el tratamiento, transparencia frente al titular de los datos y garantías acordes a la sensibilidad de los datos.
Los datos de salud ocupan la cúspide de la sensibilidad. La idea del consentimiento recorre todo el marco kuwaití: el tratamiento de datos personales requiere base jurídica y los datos sensibles exigen el más alto nivel de protección. En un contrato de tecnología sanitaria, el anexo de tratamiento debe listar las categorías de datos, las finalidades, la base de cada una, los accesos, los plazos de conservación y los mecanismos de supresión. Los usos de marketing, el entrenamiento de modelos y la analítica de producto deben separarse de la finalidad asistencial, porque el consentimiento para la asistencia no se extiende automáticamente a la reutilización comercial de los mismos datos.
Clasificación de datos y alojamiento en la nube de historiales
La Política de Clasificación de Datos de la CITRA, dictada por la Decisión n.º 95 de 2021, dividía los datos en cuatro niveles, y el nivel tres abarcaba los datos privados sensibles, entre ellos los historiales médicos. La CITRA derogó la política en febrero de 2024 mediante la Decisión n.º 34 de 2024, de modo que el esquema por niveles ya no impone deberes vinculantes de clasificación o almacenamiento, aunque sigue siendo una referencia útil cuando un establecimiento diseña sus controles. Un proveedor de tecnología sanitaria que proponga alojar datos de pacientes debe seguir pudiendo indicar cuán sensible es cada conjunto de datos y cómo lo protege su arquitectura.
El Marco Regulatorio de Computación en la Nube añade reglas de alojamiento. Su artículo 4.1.4 trata los datos de salud, genéticos y vitales como categorías especiales de datos personales, y obliga a los proveedores de servicios en la nube y a sus suscriptores, tanto del sector público como del privado, a abstenerse de usar datos personales para inferir la identidad de los suscriptores sin permiso escrito claro y expreso. Cuando un establecimiento kuwaití planea trasladar historiales a una región de nube fuera de Kuwait, la revisión comprueba los requisitos del marco, las reglas de consentimiento de la Ley n.º 20 de 2014 y cualquier guía sectorial antes de aprobar el plan de migración. El contrato debe consignar las ubicaciones de alojamiento aprobadas y exigir aviso previo y aprobación antes de que el proveedor añada una región.
Ciberseguridad y el Centro Nacional de Ciberseguridad
El Decreto n.º 37 de 2022 creó el Centro Nacional de Ciberseguridad, bajo la supervisión de un ministro designado por el Consejo de Ministros, con mandato sobre entidades civiles, militares, de seguridad y privadas dentro de Kuwait. El decreto busca construir un sistema nacional que proteja información, comunicaciones y operaciones electrónicas, y los establecimientos sanitarios y aplicaciones de telesalud entran en su ámbito. Un contrato de tecnología sanitaria debe tratar la ciberseguridad como un deber de cumplimiento frente a un regulador nombrado, no como un argumento comercial.
En la práctica, el anexo de seguridad debe cubrir control de acceso, cifrado, registros y pistas de auditoría, gestión de vulnerabilidades, detección de incidentes, plazos de notificación y cooperación con el Centro Nacional de Ciberseguridad. El proveedor debe comprometerse a notificar al establecimiento en un plazo definido tras confirmar una brecha que afecte a datos de pacientes, y el establecimiento conserva el derecho de informar a pacientes y reguladores. El artículo 51 de la Ley n.º 70 de 2020 refuerza esta cultura de confidencialidad al obligar a los funcionarios al secreto incluso tras cesar en sus funciones.
Transacciones electrónicas, registros y firmas
La Ley n.º 20 de 2014 sobre transacciones electrónicas da el marco general de registros y operaciones electrónicas en Kuwait y atribuyó al Banco Central la supervisión del pago electrónico de fondos, relevante cuando una plataforma cobra consultas o suscripciones. La ley protege los datos personales de los sistemas electrónicos: la información sobre el estado de salud se mantiene privada, los empleados no pueden consultarla, divulgarla o publicarla ilícitamente, y su divulgación exige consentimiento del interesado u orden judicial.
De ello se derivan dos puntos de redacción para el contrato. Primero, las partes deben declarar que los registros, consentimientos y firmas electrónicas generados por la plataforma están destinados a tener efectos jurídicos conforme a la Ley n.º 20 de 2014, y el diseño del sistema debe preservar la integridad y la atribución de cada registro. Segundo, el acceso del personal a los datos de salud dentro de los equipos de soporte y de operaciones del proveedor debe limitarse, registrarse y acotarse contractualmente, porque la consulta ilícita por un empleado es exactamente la conducta que la ley sanciona.
Responsabilidad, seguro y la frontera clínico-mercantil
La Ley n.º 70 de 2020 dedica un capítulo a la responsabilidad médica, y el artículo 23 ilustra el estándar: quien practica intervenciones quirúrgicas o médicas debe obtener el consentimiento informado por escrito del paciente, con los documentos pertinentes, y su obligación es la de un profesional diligente. Las decisiones clínicas adoptadas a través de una plataforma siguen siendo responsabilidad de los profesionales licenciados y del establecimiento, y ninguna cláusula de indemnidad puede trasladar esa responsabilidad profesional a un proveedor de software.
Lo que el contrato puede y debe repartir es el riesgo comercial: niveles de servicio, disponibilidad, tiempos de respuesta del soporte, corrección de defectos, límites de responsabilidad por pérdidas comerciales y seguros. El artículo 55 de la Ley n.º 70 de 2020 obliga a los establecimientos sanitarios privados a mantener un seguro con una aseguradora licenciada contra los riesgos derivados de edificios, aparatos y equipos médicos, que cubra a pacientes, acompañantes, personal y visitantes. La cobertura propia del proveedor de responsabilidad profesional y ciber debe acreditarse en el expediente del contrato. Cuando los resultados de la plataforma apoyen decisiones clínicas, el contrato debe indicar que los médicos conservan el deber de revisión y pueden anular el resultado, y el proveedor debe comprometerse a documentar los cambios de modelo y los errores conocidos.
Subencargados, flujos transfronterizos y continuidad del servicio
Los sistemas de tecnología sanitaria rara vez funcionan con un solo proveedor. Los proveedores de alojamiento, las pasarelas de mensajería, las herramientas de analítica, los procesadores de pago y los proveedores de modelos de IA pueden tocar datos de pacientes. El contrato debe exigir al proveedor que liste sus subencargados, identifique cuáles pueden acceder a datos personales, avise con antelación de nuevos subencargados o de cambios en los lugares de alojamiento, y acepte una vía de revisión con alternativa si el establecimiento deniega su aprobación. Las copias de seguridad y las vías de acceso técnico remoto deben mapearse con el mismo cuidado que el almacenamiento principal, porque el acceso de soporte desde fuera de Kuwait es en sí un flujo transfronterizo.
La continuidad es aquí una cuestión de seguridad del paciente. Si el personal clínico pierde acceso a los historiales durante un turno, el establecimiento necesita una respuesta probada: quién entrega una copia utilizable, en qué plazo y quién se comunica con el equipo asistencial. El anexo de servicio debe fijar objetivos de tiempo y de punto de recuperación, exigir pruebas periódicas de restauración y describir el funcionamiento en modo degradado durante una caída. Estas cláusulas deben probarse antes del lanzamiento y no negociarse durante el primer incidente.
Salida, devolución de historiales y lista de comprobación
La planificación de la salida protege los deberes legales del establecimiento. Como el artículo 28 de la Ley n.º 70 de 2020 obliga al establecimiento a mantener el expediente de cada paciente y a elaborar informes a petición, el contrato debe garantizar la exportación del conjunto completo de registros, incluidos historiales, adjuntos y pistas de auditoría, en un formato utilizable y documentado, dentro de un período de transición definido y a un coste pactado de antemano. La supresión por el proveedor debe acreditarse por escrito, y el acceso debe sobrevivir a una transición disputada o a una investigación de un regulador.
Un expediente práctico de contrato de tecnología sanitaria en Kuwait contiene: las licencias de las partes y la licencia del Departamento de Licencias Sanitarias del establecimiento; el anexo de tratamiento con finalidades, bases, categorías, conservación y supresión; las ubicaciones aprobadas y la lista de subencargados; el anexo de seguridad; los niveles de servicio con continuidad y pruebas de restauración; los flujos de consentimiento y acceso del paciente conforme a los artículos 23 y 28; los certificados de seguro del artículo 55; y el plan de salida con una exportación probada. Cada elemento tiene un responsable nombrado y una fecha de verificación.
Cuando revisamos un contrato de tecnología sanitaria en Kuwait
Cuando revisamos un contrato de tecnología sanitaria para un despliegue en Kuwait, partimos de las licencias: la licencia del establecimiento conforme al artículo 55 de la Ley n.º 70 de 2020, las licencias de los profesionales y si el servicio encaja en el permiso del artículo 24 para servicios a distancia e inteligencia artificial. Después mapeamos los datos: qué se recoge, la base de cada finalidad, dónde se aloja y cómo el reglamento de la CITRA, conforme a la Decisión n.º 26 de 2024, conforma los deberes de tratamiento cuando un licenciatario de la CITRA figura en la cadena. Probamos la seguridad y la continuidad frente al Decreto n.º 37 de 2022, y leemos las cláusulas de salida frente al deber permanente del establecimiento de conservar y facilitar los expedientes de los pacientes conforme al artículo 28. El resultado es un informe escrito que identifica las cláusulas que deben cambiar antes de la firma.
Vea también: nuestra guía de telecomunicaciones y TI en Kuwait y nuestra guía de protección de datos en Kuwait, además de nuestra práctica mercantil y societaria.
Preguntas frecuentes
¿Es legal la telemedicina en Kuwait?
Sí. El artículo 24 de la Ley n.º 70 de 2020 permite los servicios médicos, la asistencia sanitaria a domicilio y a distancia, y el uso de la inteligencia artificial y de medios digitales, conforme a las condiciones y controles del Ministerio de Sanidad. El servicio debe seguir prestándose por profesionales y estructuras licenciados.
¿Puede una empresa tecnológica ser propietaria de una clínica en Kuwait?
No directamente. El artículo 58 de la Ley n.º 70 de 2020 reserva la licencia de clínica a un médico kuwaití licenciado, y la de hospital o centro de salud a un profesional kuwaití licenciado o a una persona jurídica cuyo propietario o socio lo sea. Las empresas tecnológicas contratan normalmente con entidades licenciadas.
¿Qué regulador trata los datos de salud en Kuwait?
La CITRA regula el tratamiento de datos personales por sus proveedores de servicios licenciados mediante el Reglamento de Protección de la Privacidad de los Datos, Decisión n.º 26 de 2024. El Ministerio de Sanidad regula el lado médico, y el Centro Nacional de Ciberseguridad supervisa la ciberseguridad bajo el Decreto n.º 37 de 2022.
¿Son sensibles los datos de pacientes?
Sí. El Marco Regulatorio de Computación en la Nube enumera los datos de salud y genéticos entre las categorías especiales de datos personales en el artículo 4.1.4. La Política de Clasificación de Datos de la CITRA, que había situado los historiales médicos en el nivel tres, datos privados sensibles, fue derogada por la Decisión n.º 34 de 2024, de modo que el esquema por niveles sirve ahora como orientación y no como norma vinculante.
¿Pueden alojarse historiales en la nube?
El alojamiento en la nube es posible, pero el Marco Regulatorio de Computación en la Nube, el reglamento de privacidad de la CITRA cuando un licenciatario figura en la cadena y las reglas de consentimiento de la Ley n.º 20 de 2014 determinan dónde y cómo puede alojarse. El contrato debe consignar las ubicaciones aprobadas y exigir consentimiento antes de añadir nuevas regiones o subencargados.
¿Quién responde cuando un diagnóstico asistido por plataforma falla?
La responsabilidad clínica permanece en el profesional y el establecimiento licenciados según el capítulo de responsabilidad médica de la Ley n.º 70 de 2020. El proveedor soporta las obligaciones mercantiles que acepta: niveles de servicio, corrección de defectos e indemnidades.
¿Qué ocurre con los historiales al terminar el contrato?
El establecimiento sigue obligado a conservarlos bajo el artículo 28 de la Ley n.º 70 de 2020, así que el contrato debe garantizar una exportación completa probada, un período de transición y una constancia escrita de supresión por el proveedor.
¿Cómo iniciar la revisión de un contrato de tecnología sanitaria para Kuwait?
Reúna el borrador del contrato, la descripción del sistema, el mapa de flujos de datos, la lista de subencargados y las licencias, y contacte con nuestra oficina en Kuwait a través de la página de contacto. Confirmaremos el alcance, el calendario y los documentos necesarios antes de empezar.