Qué son datos de salud y quién responde

En HIPAA, la información de salud protegida no es «todo lo que guarda un hospital». Es la información que se refiere a la salud o la condición de una persona, a la atención que recibe o al pago de esa atención, y que la identifica o permite identificarla, cuando está en manos de una entidad cubierta (prestador, aseguradora, cámara de compensación) o de un asociado de negocio suyo. Un diagnóstico sin nada que lo ate a una persona no entra; un nombre solo, ligado a una cita en una clínica, sí.

Los registros de empleo que la entidad guarda como empleadora quedan fuera de la definición, aunque contengan datos médicos.

HIPAA distingue tres posiciones frente a los datos: la entidad cubierta (quien presta o paga la atención), el asociado de negocio (quien crea, recibe, guarda o envía datos por cuenta de la entidad sin ser parte de su personal ni prestar la atención) y el tercero sin relación con los datos. Lo que distingue al asociado es que actúa por cuenta de la entidad y ve datos identificables; que tenga un contrato no basta, ni basta con que esté cerca.

La tabla actores trae tres columnas que se leen juntas: si actúa por cuenta de la red, si ve datos identificables y si presta atención de salud.

La base de pacientes mezcla tres clases de campos. Para la oficial de privacidad, lo primero es saber cuántos campos permiten por sí solos señalar a una persona, porque son los que más cuidado piden al compartir una base. La tabla campos_de_la_base trae la clasificación que les dio la red en la columna tipo_de_campo.

Hay terceros que ven datos identificables y aun así no son asociados. Cuando un prestador recibe datos de un paciente para tratarlo, es otra entidad cubierta por derecho propio: la comunicación entre prestadores para tratamiento no crea una relación de asociado de negocio. El laboratorio de la tabla actores recibe las órdenes del médico tratante y devuelve el resultado a ese mismo médico.

HIPAA es una ley de EE. UU.; aquí se usa como marco de referencia. En Colombia, la Ley 1581 de 2012 clasifica los datos relativos a la salud como datos sensibles: aquellos cuyo uso indebido puede afectar la intimidad del titular o generar discriminación. Para esa clase la ley parte de una prohibición de tratarlos y enumera las excepciones. La norma de historia clínica (Resolución 1995 de 1999) añade que la historia es un documento reservado. Los plazos de conservación se verifican en la norma vigente y no se asumen de memoria.