Regulación de datos de salud

En Colombia, la Ley 1581 de 2012 llama datos sensibles a los que afectan la intimidad de la persona o cuyo uso indebido puede discriminarla, y nombra expresamente entre ellos los datos relativos a la salud (artículo 5). Para esa categoría la regla se invierte: su tratamiento está prohibido salvo excepciones, y la primera es la autorización explícita del titular (artículo 6).

Además, la historia clínica tiene su propia norma del sector: la Resolución 1995 de 1999 del Ministerio de Salud la define como un documento privado, obligatorio y sometido a reserva. Para inteligencia, el efecto es concreto: cualquier exposición de datos clínicos arranca con más obligaciones y menos margen que una de datos de contacto, y los hechos que se entreguen a legal tienen que ser precisos.

Abre la consola y ejecuta SELECT * FROM normas, SELECT * FROM entidades, SELECT * FROM tratamientos y SELECT * FROM reporte_del_encargado. La ley distingue dos papeles. El responsable del tratamiento es quien decide sobre la base de datos y el tratamiento: para qué y cómo se usan los datos. El encargado del tratamiento los trata por cuenta del responsable. Un laboratorio externo o un proveedor de software clínico suelen ser encargados; el hospital que los contrata suele ser el responsable.

El incidente ocurrió en el sistema de otro, pero eso no cambia de quién son las decisiones sobre esos datos.

El responsable tiene el deber de informar a la autoridad de protección de datos cuando hay violaciones a los códigos de seguridad y riesgos para la información de los titulares. Pero el encargado no queda mudo: la misma ley le pone un deber paralelo con nombre propio de autoridad. Saberlo sirve para la conversación con el laboratorio: cada uno cumple el suyo, y ninguno sustituye al otro.

Ejecuta SELECT * FROM hechos_para_legal. Legal no puede decidir avisos con suposiciones: necesita saber qué datos, de cuántas personas, en qué ventana y si los datos solo se vieron o salieron. Inteligencia le entrega lo que está establecido y señala con claridad lo que no. El reporte del laboratorio responde casi todo, pero «casi» es justo lo que hay que señalar: un hecho abierto se entrega como abierto, no se rellena con lo que dice el aviso.

La nota de inteligencia a legal no concluye si hay que avisar ni a quién: eso es de legal, con el texto oficial vigente y los plazos que corresponda. Lo que sí hace es dejar los hechos en orden, decir con qué confianza se sabe cada uno y marcar lo que falta, para que la decisión no se apoye en una frase del encargado.