Privacidad de pacientes: pilar fundamental de los servicios médicos

Andrés Fernández de Castro
Director de la práctica de Tecnología, Comunicaciones & Protección de Datos
Gómez-Pinzón Abogados

Un reciente fallo de la Corte Constitucional (Sentencia T-402 de 2024) ha dejado en evidencia una preocupante realidad en el manejo de datos personales sensibles en el sector salud. En este caso, la Corte declaró que se vulneraron los derechos fundamentales de una mujer que se practicaría una interrupción voluntaria del embarazo (IVE), pues la IPS donde recibiría la atención médica incumplió su deber de confidencialidad. En particular, la transgresión de la IPS consistió en que uno de sus funcionarios habría filtrado la información de la paciente a una fundación que la acosó a ella y a sus familiares para disuadirla de la realización del procedimiento de IVE. Así, pues, la Corte Constitucional determinó que tanto la IPS como la fundación vulneraron los derechos fundamentales de la paciente al no proteger adecuadamente la confidencialidad de su historia clínica.

En lo que respecta al sector salud, este caso subraya la necesidad urgente de que las entidades que lo conforman adopten medidas más rigurosas para salvaguardar los datos personales sensibles de los pacientes, pues si bien la Corte Constitucional identificó que la IPS tenía algunos procedimientos internos en materia de protección de datos personales, también observó que uno de sus funcionarios es quien habría filtrado la información sensible de la paciente a terceros.

No se debe perder de vista que la confidencialidad de la información relativa a la salud, como dato personal sensible, es un pilar fundamental en la relación médico-paciente. Los pacientes confiamos en que los datos que compartimos con las entidades prestadoras de servicios de salud, así como con los profesionales que pertenecen a ellas, serán manejados con la máxima discreción y solo serán utilizados para fines de la prestación del servicio médico. En este caso, la filtración de los datos personales de la paciente la habría expuesto a situaciones de acoso y discriminación, así como posibles afectaciones a su salud mental y emocional.

Más allá de las consideraciones específicas sobre la gravedad de la filtración de información relativa a la salud de una persona, este caso deja en evidencia como muchos responsables y encargados del tratamiento cometen el error de implementar políticas y manuales de procedimientos, pero no propiciar una verdadera apropiación por parte de sus empleados o colaboradores que por un lado mitigue riesgos de incumplimiento, pero que por otro, propenda por efectivamente proteger los derechos de los titulares de datos personales.

La obligación de protección de datos personales en el sector salud no puede ser simbólica ni limitarse únicamente a la formalidad, sino que debe ser real y demostrable, y en este contexto, la capacitación y el entrenamiento de los empleados y funcionarios que manejan datos personales son componentes fundamentales para asegurar el cumplimiento de las normativas de protección de datos.  

Los esfuerzos de una entidad que diseña políticas robustas de protección de datos desde la alta gerencia serán en vano si no se capacita al personal que, en el día a día, trata datos personales como parte de sus funciones, y que, a través de incumplir los procedimientos implementados, puede generar riesgos sancionatorios o reputacionales a una entidad del sector salud, en el cual, el secreto profesional y la protección de la historia clínica son pilares fundamentales de la protección de los pacientes.