La nueva institucionalidad que estará operativa a fines de este año, obligará a los establecimientos de salud y prestadores médicos a controlar el acceso a los datos de pacientes, creando una Agencia de Protección de Datos encargada de fiscalizar y establecer multas frente a incumplimientos.
Por Paulo Muñoz, periodista FALMED.
El 1 de diciembre próximo entrará en vigor la Ley N°21.719 de Protección de Datos Personales, que impondrá cambios sustanciales que impactarán al sector salud en el tratamiento de datos personales o información sensible de pacientes, como diagnósticos médicos, exámenes, antecedentes de salud mental y datos biométricos, entre otros.
Dicha ley crea la Agencia de Protección de Datos, organismo autónomo y de carácter técnico que tendrá atribuciones fiscalizadoras, regulatorias, sancionatorias y certificadoras de los modelos de cumplimiento de la normativa.
Datos personales y sensibles
Al hablar de datos personales debemos remitirnos a lo mencionado por la Ley N°21.719, que lo define como toda información que identifique o haga identificable a una persona natural, ya sea directa o indirectamente (nombre, rut, correo electrónico, dirección IP, datos de geolocalización o cualquier otro elemento que permita singularizar a una persona).
Esta misma normativa agrega que tendrán la condición de datos personales sensibles aquellos que “se refieren a las características físicas o morales de las personas o a hechos o circunstancias de su vida privada o intimidad, que revelen el origen étnico o racial, la afiliación política, sindical o gremial, situación socioeconómica, las convicciones ideológicas o filosóficas, las creencias religiosas, los datos relativos a la salud, al perfil biológico humano, los datos biométricos, y la información relativa a la vida sexual, a la orientación sexual y a la identidad de género de una persona natural”.
La abogada de FALMED, Isabel Margarita Salas, dice que esta ley no viene a reemplazar lo que ya existía para el sector salud, sino a complementarlo. La ficha clínica ya era un dato sensible protegido por la Ley N° 19.628 y especialmente por la Ley N°20.584.
“Actualmente, el médico y la institución hospitalaria o clínica ya tienen el deber de guardar reserva respecto de los datos contenidos en la ficha clínica y de toda información de salud que constituya dato sensible, pero no existía en Chile una autoridad dedicada exclusivamente a fiscalizar su cumplimiento en materia de datos personales”, menciona la abogada Salas.
Agrega que “además, se exige que el tratamiento de datos de salud tenga siempre una base legal clara —por regla general, el consentimiento explícito e informado del paciente—, además de exigirse evidencia concreta de que la institución protege esos datos: quién accede a la ficha, cuándo, con qué justificación, y qué medidas de seguridad existen si algo llega a fallar. En el día a día del médico, esto no cambia el deber de reserva que ya existía con la Ley N° 20.584, pero sí lo intensifica: ya no basta con tener un protocolo escrito, sino que también se debe poder demostrar, de acuerdo con estándares legales, que ese protocolo se cumple”.
Renato Jijena, profesor de Derecho Informático de la Pontificia Universidad Católica de Valparaíso, manifiesta que los prestadores que no entiendan que hoy el empoderado es el titular de los datos y que deben gestionar de cara a ellos, no podrán aplicar de forma idónea esta nueva institucionalidad.
La nueva normativa aumenta las exigencias de consentimiento y confidencialidad generando desafíos para los actores del sector salud. En cuanto al consentimiento informado, menciona que “hoy la ley N° 19.799 permite gestionar o escriturar en base a documentos electrónicos, pero acá el problema será asegurar la identidad o la autenticación del paciente que lo presta. Y podría consentir con su huella digital. En la práctica, en el día a día, adherirse al formulario que un paciente debe si o sí firmar por ejemplo antes de una operación no cambia; la carga que realmente tensiona el estándar actual de consentimiento es que sea completa y realmente informado, ya no sólo de los aspectos médicos o de salud sino de la gestión que se hará de la información nominativa”.
Cuando hablamos de consentimiento para el tratamiento de datos personales, la Ley N°21.719 reconoce al paciente una batería de derechos conocidos como ARCOP (acceso, rectificación, cancelación, oposición, portabilidad y bloqueo). La abogada Isabel Margarita Salas explica que “ese consentimiento tiene que ser específico e informado, y el paciente lo puede revocar en cualquier momento con la misma facilidad con que lo dio. Pero también tiene deberes: acreditar que efectivamente es el titular cuando ejerce estos derechos, y aceptar que existen límites legales que están por sobre su voluntad”.
Seguridad de los registros clínicos
Referirnos a registros clínicos incluye considerar información sanitaria que se concentra en fichas clínicas, plataformas tecnológicas de telemedicina, empresas que prestan servicios tecnológicos, aplicaciones móviles y nubes externas donde se almacenan datos. La complejidad se acrecienta si consideramos que un paciente puede mantener registros en recintos de salud públicos y privados y estos pueden estar disponibles en distintas plataformas.
Hoy conviven tres capas de exigencias de seguridad, y las tres aplican al mismo tiempo. La Ley N°20.584 y su reglamento ya exigen que la ficha, en papel o electrónica, tenga acceso controlado, confidencialidad y trazabilidad de los cambios, y que se gestione de forma centralizada para que solo acceda quien corresponde. La Ley N° 21.719 suma la exigencia de medidas de seguridad proporcionales al riesgo: control de accesos según el rol de cada profesional, registro de auditoría de cada vez que alguien abre una ficha, y contratos que obliguen a los proveedores externos —laboratorios, software clínico, servicios en la nube— a cumplir los mismos estándares de seguridad.
Y la Ley N° 21.663, el Marco de Ciberseguridad, agrega una tercera capa, porque los prestadores de salud son considerados como parte de los servicios esenciales del país. Eso implica gestionar de forma permanente los riesgos de ciberseguridad y tener capacidad de detectar y responder ante un ataque a la seguridad o inviolabilidad de la información almacenada.
Consultado si la nueva institucionalidad entrega seguridad en cuanto al manejo de registros clínicos, el experto Renato Jijena dice que “declarativa y normativamente” entrega seguridad. Sin embargo, explica que “su cumplimiento no pasa sólo por lo declarativo. La experiencia comparada demuestra que pueden existir normas muy claras, pero si no se auditan para cumplirse serán ‘lírica’. Y no es algo que lo puedan hacer los caros sistemas en línea que el mercado está ofreciendo en forma invasiva y majadera, asegurando “el total cumplimiento de la ley” si contratan sus plataformas”.
El académico de la PUCV explica que, si bien desde la seguridad de los registros se mencionan mecanismos como la encriptación, control de accesos, monitoreo en tiempo real y alineación con normas internacionales como ISO 27001 y HL7, también puede agregarse la anonimización, pero resulta fundamental la capacitación y auditorías.
“Hay quienes creen muy erradamente que declarar ‘estoy certificado ISO 27001’ es suficiente. El desafío es la implementación en la gestión del día a día, que tiene que ser idónea. Una política interna de tratamiento de datos personales, que no tiene nada que ver con las políticas de privacidad de los sitios web, debiera ser la biblia’ y un manual para todos los prestadores de salud”, agrega el abogado Renato Jijena.
Finalmente, Jijena subraya que existen diversos puntos críticos que puede presentar la nueva institucionalidad.
El más importante es el cambio cultural “donde los tratamientos de datos personales con fines de lucro son significativos y donde nunca se ha fiscalizado, implantar un cambio radical y de 180 grados va a generar tensiones y resistencias; a todo nivel, desde los consultorios de salud menores hasta las grandes clínicas”.
Sobre la aplicación de multas ante incumplimientos de la normativa, el académico destaca que “se olvida siempre que dependerán de un criterio administrativo para aplicarlas, y acá, la posible falta de idoneidad de los miembros de la Agencia puede ser importante al aplicarse la norma. Y de cara a su fiscalización, la concurrencia simultanea de varias autoridades (Sernac, ANCI, Agencia de Datos, Tribunales, Minsal) puede resultar muy compleja”.
