La confidencialidad de la historia clínica y de las decisiones reproductivas volvió a quedar bajo escrutinio en Colombia tras las órdenes administrativas impartidas por la Superintendencia de Industria y Comercio (SIC) a la E.S.E. Hospital Departamental San Antonio de Padua y a la Asociación Indígena del Cauca AIC EPSI, luego de que la autoridad evidenciara irregularidades en el tratamiento de datos personales sensibles relacionados con una solicitud de interrupción voluntaria del embarazo.
La actuación administrativa se originó en una denuncia presentada ante la Superintendencia por una mujer que aseguró que información contenida en su historia clínica, relacionada con su estado de embarazo y su decisión de interrumpirlo, fue divulgada a terceros sin su autorización. Según el expediente, la paciente había solicitado expresamente que esos datos no fueran compartidos.
La circulación de la historia clínica llevó el caso a investigación administrativa
De acuerdo con los hechos probados por la autoridad, la denunciante acudió al Hospital Departamental San Antonio de Padua para solicitar el procedimiento de interrupción voluntaria del embarazo en el marco de lo establecido por la Sentencia C-055 de 2022 de la Corte Constitucional. Durante el proceso de atención, el hospital remitió información contenida en la historia clínica a la AIC EPSI, entidad promotora de salud indígena a la cual se encontraba afiliada.
Posteriormente, autoridades de la comunidad indígena a la que pertenece la mujer se comunicaron con ella para preguntarle sobre el caso. Para la Superintendencia, ese hecho evidenció que personas no autorizadas tuvieron acceso a información sensible relacionada con su vida privada y con sus decisiones reproductivas.
La resolución fue proferida por la Dirección de Investigaciones de Protección de Datos Personales, que avanzó en la revisión de las condiciones en que se produjo la circulación de la información y del cumplimiento de las reglas aplicables al tratamiento de datos personales sensibles en la prestación de servicios de salud.
¿Qué encontró la SIC en el manejo de la información sensible?
Durante la investigación administrativa, la Superintendencia concluyó que las entidades involucradas no acreditaron contar con la autorización previa, expresa e informada de la titular para el tratamiento y circulación de sus datos personales sensibles. La decisión señala además que la información fue compartida en contra de la voluntad de la paciente.
Entre los hallazgos reportados por la autoridad se encuentran los siguientes
- No se acreditó la autorización previa, expresa e informada de la titular para el tratamiento y circulación de sus datos personales sensibles
- La información relacionada con la solicitud de IVE fue compartida pese a la oposición expresa de la paciente
- La política de tratamiento de datos personales de la AIC EPSI contenía disposiciones que permitían compartir información sobre solicitudes de interrupción voluntaria del embarazo con autoridades indígenas
- La historia clínica circuló entre distintas áreas administrativas y terceros sin controles suficientes para proteger la confidencialidad de los datos
La investigación también estableció que esas disposiciones de la AIC EPSI excedían las habilitaciones legales para la circulación de información personal. A ello se sumó la verificación de que la información contenida en la historia clínica pasó por diferentes instancias sin que existieran controles suficientes de resguardo.
Con base en estos elementos, la SIC concluyó que se vulneró el derecho fundamental al habeas data de la titular. En esa misma línea, reiteró que “en Colombia los datos relacionados con la salud y las decisiones reproductivas son datos personales sensibles, por lo que su tratamiento y circulación exige el consentimiento previo y expreso del o de la titular, así como contar con medidas reforzadas de protección”.
Órdenes para reforzar la protección de datos personales
Como resultado de la actuación administrativa, la Superintendencia impartió órdenes a las entidades investigadas para fortalecer sus sistemas de protección de datos personales y garantizar el adecuado tratamiento de información sensible, especialmente aquella relacionada con la salud y la vida sexual y reproductiva de las y los pacientes.
Las medidas dispuestas por la autoridad incluyen
- Implementar un sistema integral de protección de datos personales con medidas específicas para el tratamiento de datos sensibles, en especial los relacionados con la salud sexual y reproductiva
- Diseñar e implementar una política de tratamiento de información conforme al régimen de protección de datos personales
- Ajustar los procedimientos internos relacionados con la prestación de servicios de salud que involucren el manejo de información sensible
- Desarrollar programas de capacitación y sensibilización para el personal sobre el tratamiento adecuado de datos personales
La Superintendencia también reiteró que los datos relacionados con la salud y las decisiones reproductivas exigen condiciones reforzadas de confidencialidad. En el caso revisado, la autoridad vinculó la circulación de la información con una afectación a la reserva de la historia clínica y al tratamiento legítimo de datos de carácter sensible.
La decisión reafirma además la protección del derecho fundamental al habeas data y la garantía de la confidencialidad de la información personal en ámbitos propios de la esfera privada, como las decisiones reproductivas, el derecho a la interrupción voluntaria del embarazo y la prestación de los servicios de salud.
Entre tanto, la actuación deja obligaciones concretas para el hospital y la EPS indígena investigados en materia de políticas internas, controles institucionales y formación del personal. También fija un precedente administrativo sobre el manejo de información sensible cuando se trata de datos vinculados con la salud sexual y reproductiva de las pacientes.
