1.- Mediante la presentación de antecedentes, usted se ha dirigido a esta Superintendencia, efectuando diversas consultas de interés de su cliente, haciendo presente que ésta es una empresa interesada en habilitarse como Operador de Sistema de Licencias Médicas Electrónicas (en adelante "LME").

Al respecto señala que en ese sentido, de acuerdo a lo señalado en la normativa vigente al momento de emitir la LME, se pide que el profesional habilitado para emitirla verifique la identidad del trabajador a través de un sistema de autenticación electrónico, entre los que se reconoce validez al huellero electrónico y a la Clave Única, reconociéndose la validez de una firma electrónica por PKI.

En razón de lo anterior, efectúa diversas consultas sobre la acreditación y funcionamiento de la licencia médica electrónica, las que serán evacuadas en el presente oficio.

2.- Sobre el particular, esta Superintendencia puede señalar, como cuestión previa, que el modelo operativo de la LME permite que existan múltiples operadores que provean sus servicios por medio de sistemas de información. En tal sentido, es totalmente factible la incorporación de un nuevo Operador al mercado.

Por otra parte, desde un punto de vista general, en lo que se refiere al proceso de habilitación, se debe precisar lo siguiente:

 El marco regulatorio que le brinda plena legalidad a la Licencia Médica Electrónica se encuentra vigente desde el 1º de marzo de 2007, lo cual habilita a partir de esa fecha a las distintas personas y entidades que participan en el otorgamiento y tramitación de licencias médicas a adscribir voluntariamente a su uso.

 En dicho escenario, a partir agosto de 2007, la Licencia Médica Electrónica se encuentra implementada respecto de los cotizantes de Isapre. Por su parte, desde 01 de enero de 2021, el uso de la Licencia Médica Electrónica es obligatoria, a partir de la modificación del DS N°3. Por su parte, recientemente se pudo concretar el inicio del Proyecto respecto de cotizantes FONASA, otorgándole la primera Licencia Médica Electrónica el 09 de noviembre de 2011.

 Cabe precisar que la esencia del modelo, está descrita en la Circular 2338 y 32 de la Superintendencia de Seguridad Social y Superintendencia de Salud, respectivamente, de 01 de diciembre de 2006, que establece los aspectos tecnológico‐operativos y de procedimiento de la misma, en donde se establece, a grandes rasgos, lo siguiente:

 Sistema de Información. El modelo diseñado para la Licencia Médica Electrónica establece la existencia de un sistema de información, el cual podrá ser provisto por operadores privados, los cuales deberán suscribir convenios de prestación de servicios con aquellos profesionales, prestadores institucionales, empleadores, Cajas de Compensación de Asignación Familiar (cuando corresponda) y entidades encargadas de pronunciarse sobre las licencias médicas (Isapres y Compin) que decidan voluntariamente adscribir al uso de dicho sistema.

 Modelo Operativo. El modelo operativo considera, al igual que la licencia médica en formulario de papel, la participación de los siguientes actores:

• Trabajadores,
• Profesionales habilitados para otorgar licencias médicas,
• Empleadores o Trabajadores Independientes,
• Cajas de Compensación de Asignación Familiar (CCAF) y
• Entidades que se pronuncian respecto de la licencia médica (Isapre o Compin).

Las relaciones entre los distintos actores que participan en la Licencia Médica Electrónica se lleva a cabo con el apoyo de un sistema de información provisto por un Operador, el cual, para todos los efectos, actúa como una especie de estafeta electrónico, el cual pone a disposición del actor al que le compete intervenir, la respectiva licencia médica electrónica (Ver Anexo N° 7.1).

 Modelo Tecnológico. El sistema de información está basado en una Arquitectura Orientada a Servicios (SOA), en el cual existen Web Services que permiten el envío y rescate de documentos electrónicos en XML por parte de las entidades correspondientes, existen bases de datos XML nativas para el almacenamiento de dichos documentos, y existen interfaces complementarias de gestión para los distintos tipos de usuarios del sistema. Los documentos electrónicos XML son generados en consistencia con un XML Schema, el cual fue especificado en su estructura y contenido. Las interfaces de gestión permiten el acceso a diversas consultas que son realizadas tanto por las respectivas entidades como por la Superintendencia de Seguridad Social (Ver Anexo N° 7.2).

 En el escenario descrito, la Superintendencia de Seguridad Social ha liderado este proyecto de alto impacto y valor público, pues ayuda a resolver problemas en un escenario complejo, permitiéndose que las licencias médicas electrónicas se tramiten más rápido, con menos costo y de forma más segura.

 En función de lo señalado en el marco jurídico de la Licencia Médica Electrónica, y de lo que establecen los actores involucrados en sus respectivos Convenios de Prestación de Servicios Informáticos, es función de la Superintendencia de Seguridad Social monitorear el cumplimiento de los requisitos jurídicos y tecnológicos por parte del Operador, constituyéndose de esta forma en el "Organismo Monitor" de los sistemas de información que permiten el otorgamiento y tramitación de la Licencia Médica Electrónica. En tal sentido, la Superintendencia de Seguridad Social no actúa como una entidad acreditadora ni certificadora, sino que verificar y monitorea el cumplimiento de los requisitos establecidos en la regulación.

 De esta forma, lo más relevante son los convenios de prestación de servicios informáticos que se celebran entre el Operador y las respectivas contralorías médicas que se pronuncian respecto de las LME, que en el caso de cotizantes FONASA, se verifica por medio de una licitación pública realizada por el Fondo Nacional de Salud y en el caso de los cotizantes ISAPRE, por medio de contratación directa con las respectivas entidades. El rol de la Superintendencia se limita, en tal sentido, a autorizar el paso a producción una vez que se hayan verificado el cumplimiento de los requisitos tecnológicos, por medio de un Panel de Monitoreo implementado por este organismo fiscalizador.

3.- En virtud de lo señalado anteriormente, se procederá a contestar las consultas formuladas por el recurrente:

a.- ¿Qué es lo que debe acreditar la Entidad Acreditada que entrega el par de llaves a la empresa? ¿La firma del paciente? ¿La firma del Operador LME?.

La Circular 2338, en el numeral 2.4 "Seguridad de la Licencia Médica Electrónica como documento electrónico", se indica que la seguridad de la licencia médica electrónica como documento electrónico, estará resguardada en la medida que éste cumpla con los atributos de autenticidad, integridad, confidencialidad y no repudio.

Parte de las condiciones para cumplir éstos atributos son los siguientes:

a.1 El Operador deberá tener la capacidad de generar y asignar un par de llaves, por sí mismo o a través de un tercero, para uso de infraestructura de llave pública (PKI). En el caso que dicho par de llaves sea generado por el mismo Operador, éste deberá contar con reglas sobre prácticas de certificación y mantener un registro de acceso público de certificados.

a.2 El Operador deberá tener la capacidad de firmar utilizando XML Signature a partir de una llave privada.

a.3 El Operador deberá tener la capacidad de cifrado utilizando XML Encryption a partir de una llave pública.

a.4 El Operador deberá contar con un par de llaves propias otorgadas por un tercero.

Por lo tanto, el Operador debe tener sus propias llaves (privada y públicas) entregadas por una entidad acreditadora, y debe tener la capacidad de generar y asignar un par de llaves, ya sea por sí mismo o a través de un tercero utilizando Infraestructura de llave pública PKI, al profesional, trabajador y empleador según sea el caso.

b.- ¿Qué tipo de firma se requiere del paciente para aprobar la LME? ¿Una firma electrónica avanzada (certificada por una Entidad Acreditada), que implica que sólo puede firmar mediante token, Clave Única o huella digital? ¿O basta una firma electrónica simple? ¿Quién valida que la firma electrónica simple sea válida? ¿Lo hace el mismo Operador LME?.

La Circular 2338, en el numeral 2.4 "Seguridad de la Licencia Médica Electrónica como documento electrónico" sobre la firma del trabajador se indica lo siguiente:

Firma del Trabajador: Para el caso que la autenticación sea a través de PKI, la firma del Trabajador debe ser un registro en el documento electrónico utilizando XML Signature sobre el elemento de manera ensobrada, utilizando la llave privada del Trabajador. Para el caso que la autenticación sea a través de un mecanismo biométrico, la firma del Prestador debe ser un registro en el documento electrónico que permita la verificación de la identidad.

La circular N° 3621 autoriza el uso de la Clave Única para el trabajador, lo que permite asegurar los atributos de autenticidad y no repudio. En esta misma Circular se indica un cuadro resumen que muestra, para cada atributo, las posibilidades para su cumplimiento.

c.- En caso de que se autorice firma electrónica simple del paciente, ¿Significa esto que a través del Sistema LME se puede autorizar al profesional médico para pedir al paciente su email, a fin de que el paciente, utilizando su cuenta de email, pueda aceptar la LME?.

La firma del trabajador en la zona A debe cumplir los atributos de autenticidad, integridad, confidencialidad y no repudio.

Es factible el uso de su correo electrónico como medio de notificación, pero por sí sólo no permite afirmar que estos atributos se cumplan.

Por otro lado, a nivel de proceso "el acto médico" que se realiza en ese instante, supone que la emisión es sincrónica, finalizando el proceso de emisión con la firma del trabajador, y seguidamente del médico. Por lo tanto las metodologías de firma del paciente por medios distintos al huellero, se podrían materializar con una notificación vía correo electrónico del paciente, en tanto esta notificación vincule un proceso que satisfaga a lo menos los principios de autenticidad y no repudio (por ejemplo utilizando la clave única del estado); y solo una vez que se registre/almacene; podrá dar paso a la firma del profesional, y con ello finalizar el proceso de emisión/extensión de la LME.

d.- ¿Se puede utilizar algún mecanismo diferente de la Clave Única y la huella digital certificada por una Entidad Acreditada para validar dicha identidad? Por ejemplo, biometría facial en contraste con cédula de identidad para un primer registro. Clave otorgada porlka empresa o huella registrada por la empresa, para una nueva licencia?.

La actual normativa permite utilizar un mecanismo biométrico para asegurar los atributos de autenticación y no repudio, sin embargo, el resto de atributos debe cumplirse utilizando en combinación con PKI (básicamente integridad). El uso de biometría facial es permitido, en la medida que el mecanismo permita cumplir los atributos exigidos en la normativa.

La Clave única del estado fue autorizada en la Circular N° 3621, mediante la cual se permite el uso para la firma del profesional que otorga, bajo condiciones especiales, el trabajador y el contralor médico que pronuncia.

e.- ¿Se debe contemplar en el Sistema LME algún mecanismo de acceso por parte de la SUSESO al Sistema para verificar el buen funcionamiento del mismo?.

El numeral 5.2 de la circular 2338, se indica lo siguiente:

"En virtud de lo establecido en los convenios de prestación de servicios informáticos celebrados entre los Operadores y las entidades que deban pronunciarse sobre las licencias médicas, corresponderá a la Superintendencia de Seguridad Social monitorear la operación del sistema de información en lo establecido en estas Instrucciones".

Con esto presente, efectivamente esta Superintendencia debe contar con los medios necesarios para verificar el correcto funcionamiento de sus sistemas; más aún existen procesos de fiscalización, insitu y/o extrasitu, que son realizados con diversos focos dentro de las facultades fiscalizadoras de esta institución.

Cabe mencionar que se remite el enlace directo del contenido sobre LME publicado en nuestro sitio web: https://www.suseso.cl/606/w3-propertyvalue-10313.html.

En este enlace se contiene información sobre la descripción, información general, beneficios de la LME, normativa aplicable e información de los operadores vigentes, entre otras materias.

4.- Finalmente, se hace presente que esta Superintendencia se encuentra abierta a una eventual reunión entre el equipo técnico de la empresa y el de esta Superintendencia, donde se aborden, con mayor detalle, el funcionamiento del modelo de la LME.