MARCO NORMATIVO PARA LA PROTECCIÓN DE DATOS EN EL SECTOR SALUD

Transcripción

1 MARCO NORMATIVO PARA LA PROTECCIÓN DE DATOS EN EL SECTOR SALUD Implicaciones para la práctica médica María Marván Laborde Comisionada Instituto Federal de Acceso a la Información y Protección de Datos 14 de abril de 2011

2 Contenido de la exposición Definición Antecedentes Normatividad en México Protección de Datos Personales Normatividad Sector Sanitario Principios y Derechos LFTAIPG y LFPDPPP Retos del sector sanitario Expediente clínico electrónico

3 Qué son los datos personales? Toda información concerniente o relativa a una persona física identificada o identificable.

4 Ejemplos Identificación Nombre, edad, domicilio, sexo, RFC, CURP... Patrimoniales Cuentas bancarias, saldos, propiedades... Salud Estados de salud físicos y mentales... Biométricos Huellas dactilares, iris, voz, firma autógrafa... Otros Ideología, afiliación política, religión, origen étnico, preferencia sexual...

5 Derecho a la Privacidad o a la Protección de datos personales En derecho comparado se ha configurado un auténtico derecho fundamental a la protección de datos personales, distinto al de la vida privada o a la intimidad. Este derecho tiene sus propios mecanismos de protección. En México, este derecho ya es constitucional.

6 Derecho a la Privacidad o a la Protección de datos personales Los avances en las TI y sus implicaciones para la vida de las personas dieron origen a un derecho distinto, relacionado con la protección de los datos personales (PDP).

7 Antecedentes Jurídicos Consejo de Europa: Comisión Consultiva para estudiar las tecnologías de información y su potencial agresividad a los derechos de la persona Resolución 509 de CE: Derechos Humanos y nuevos logros científicos y técnicos Convenio 108 de CE: Protección de las personas con respecto al tratamiento automatizado de los datos de carácter personal Directiva 95/46/CE sobre protección de personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de esos datos.

8 Antecedentes Constitucionales Constitución Española 1978, art. 18.4: La Ley limitará el uso de la informática para garantizar el honor y la intimidad personal y familiar de los ciudadanos y el pleno ejercicio de sus derechos. Constitución Perú art. 2.6: Toda persona tiene derecho a que los servicios informáticos, computarizados o no, públicos o privados, no suministren informaciones que afecten la intimidad. Constitución Venezuela, art. 60: La ley limitará el uso de la informática.

9 Normatividad en México

10 Protección de Datos Personales

11 A nivel constitucional Artículo 6 (DOF 20 de julio de 2007). Artículo 16 (DOF 1º de junio de 2009). Artículo 73 (DOF 30 de abril de 2009).

12 A nivel federal la LFTAIPG Este instrumento reconoce por primera vez en México la protección de los datos personales. Se limita a las bases de datos del sector público a nivel federal. LaLFTAIPGes,alavez,unaleydeaccesoala información y una ley de protección de datos personales (limitada en su ámbito de aplicación). Actuación del IFAI como autoridad garante: Expedición de disposiciones administrativas. Expedición de recomendaciones concretas a los sistemas de datos personales.

13 A nivel estatal Los estados de Colima, Jalisco y Tlaxcala cuentan con leyes de protección de datos para el sector público y privado. Los estados de Guanajuato, Coahuila, Oaxaca y el Distrito Federal sólo regulan la protección de datos personales en posesión del sector público. La mayoría de las legislaciones estatales contienen un capítulo de protección de datos personales.

14 Normatividad en el Sector Sanitario

15 Convenio para la Protección de los Derechos Humanos y la dignidad del ser humano con respecto a las aplicaciones de la Biología y la Medicina (Consejo de Europa 2007) Artículo 10. Vida Privada y derecho a la Información. 1. Toda persona tendrá el derecho a que se respete su vida privada cuando se trate de informaciones relativas a la salud. 2. Toda persona tendrá derecho a conocer toda información obtenida respecto a su salud- No obstante, deberá respetarse la voluntad de una persona a no ser informada. 3. De modo excepcional, la ley podrá establecer restricciones, en interés del paciente, con respecto al ejercicio de los derechos mencionado en el apartado 2.

16 Normatividad en el Sector Sanitario Ley General de Salud (1984) Reglamento LGS en materia de Prestación de Servicios Médicos (1986) Reglamento de la LGS en Materia de Investigación para la Salud (1987) (Título II, cinco capítulos).sólo como muestra de normas que contienen disposiciones en materia de privacidad

17 Dos regulaciones: un mismo objetivo LEYES DEL SECTOR SANITARIO LEYES DE PROTECCIÓN DE DATOS PERSONALES Defienden la dignidad del ser humano Reconocen a la persona como titular de los derechos Derecho a la Salud Derecho a la protección de datos personales Equilibrio entre el interés público y el interés del paciente

18 Principios y derechos LFTAIPG y LFPDPPP

19 Principios Licitud Consentimiento Finalidad Tratamiento Información Proporcionalidad Calidad

20 Principio de Licitud El tratamiento de los datos personales deberá llevarse a cabo de forma leal y lícita; es decir, con pleno cumplimiento de la legalidad y respeto de la buena fe y los derechos del individuo cuya información es sometida a tratamiento.

21 Principio de Finalidad El tratamiento únicamente será llevado a cabo en el ámbito de finalidades determinadas, explícitas y legítimas relacionadas con las actividades del responsable.

22 Principio de Proporcionalidad Sólo se deberán recabar los datos adecuados o necesarios para la finalidad que justifica el tratamiento. El tratamiento obedecerá a tratar la mínima cantidad de información necesaria para conseguir la finalidad perseguida.

23 Principio de Calidad La calidad del dato ha de entenderse específicamente vinculada a su veracidad y exactitud, de forma que aquél refleje fielmente la realidad de la información tratada.

24 Principio de Información -Aviso de privacidad- Dar a conocer efectivamente a los titulares la existencia misma del tratamiento y las características esenciales de éste, en términos que le resulten fácilmente comprensibles y previo a la obtención de los datos.

25 Principio del Consentimiento Manifestación de la voluntad como causa principal legitimadora del tratamiento de los datos personales. Esta manifestación deberá ser libre, específica, inequívoca e informada.

26 Derechos (ARCO) Acceso. Rectificación. Cancelación. Oposición.

27 Derecho de Acceso Derecho del titular a obtener información sobre sí y a conocer sí está siendo objeto de tratamiento, así como el alcance de dicho tratamiento.

28 Derecho de Rectificación Derecho del titular a que se modifiquen los datos que resulten ser inexactos o incompletos.

29 Derecho de Cancelación Derecho del titular que da lugar a que se supriman los datos que resulten ser inadecuados o excesivos.

30 Derecho de Oposición Prerrogativa que consiste en oponerse al uso de datos personales para una determinada finalidad.

31 Retos específicos del sector sanitario Ejercicio Derechos ARCO

32 Todos los Datos de Salud son Sensibles Artículo 3. VI. Datos personales sensibles: Aquellos datos personales que afecten a la esfera más íntima de su titular, o cuya utilización indebida pueda dar origen a discriminación o conlleve un riesgo grave para éste. En particular, se consideran sensibles aquellos que puedan revelar aspectos como origen racial o étnico, estado de salud presente y futuro, información genética, creencias religiosas, filosóficas y morales, afiliación sindical, opiniones políticas, preferencia sexual;

33 Muestra biológica /Datos genómicos Contiene datos personales Por definición son datos sensibles (especial protección) Cuando en una base de datos, éstos se desligan del nombre, pierden el carácter de datos personales

34 Protocolos de Investigación en el sector salud Dato anónimo: Sin nexo a una persona identificada o identificable Dato anonimizado o irreversiblemente disociado: Imposibilidad de volver a asociar el nombre con el dato Dato codificado o reversiblemente disociado: Posibilidad de hacer la operación inversa en beneficio de la persona sujeto de la investigación

35 Otras definiciones

36 Consentimiento

37 Acceso a Expedientes Clínicos Desde 2003 los pacientes han utilizado la ley para obtener copia íntegra de sus expedientes clínicos Gran resistencia del sector salud Dos temores: Incentivar la medicina litigiosa en el país Deficientes archivos de expedientes clínicos

38 Expedientes Clínicos Normatividad vigente (NOM 168-SSA1-1998) hasta 2003 solo garantizaba el acceso a un resumen y no a la historia clínica completa Cuestionamientos sobre la titularidad del expediente: Hospital público Médico tratante (propiedad intelectual) Paciente Posibilidad de una sobrecarga de trabajo al sector salud

39 Solicitudes de Acceso a Expediente Médico

40 Solicitudes de Acceso a Expediente Médico Sujetos Obligados con el mayor número de solicitudes

41 Recursos de Revisión presentados al IFAI

42 Recursos de Revisión Sujetos Obligados con mayor número de recursos de revisión

43 Criterios de Resolución: Paciente tiene derecho a una copia de su expediente clínico íntegro Hospital público conserva expedientes originales Notas evolutivas se reservan Expedientes psiquiátricos: paciente tiene acceso a través de un profesional de la salud

44 REGISTROS ELECTRÓNICOS DE SALUD Expediente Clínico Electrónico

45 Registros Electrónicos de Salud Objetivo del gobierno federal ( ) mejorar la atención a los pacientes y mejorar las estadísticas del sector Salud a través de la creación de Registros Electrónicos de Salud: Expedientes Clínicos Electrónicos

46 Registros Electrónicos de Salud Comunicación e interoperatividad de los diversos sistemas electrónicos entre las instituciones públicas Confidencialidad de los pacientes y atención fuera de su localidad en casos de emergencia Seguridad de la información de cada uno de los expedientes y del sistema público de salud Alimentación de bases de datos para elaborar estadísticas de calidad con el fin de mejorar las políticas públicas de salud

47 Expediente Clínico Electrónico NOM 168-SSA establece los criterios científicos, tecnológicos y administrativos obligatorios en la elaboración, integración, uso y archivo del expediente clínico A partir de dichos criterios se establecen nuevas normas específicas para el Expediente Clínico Electrónico (ECE)

48 Protección de Datos Personales Garantizar la confidencialidad de la identidad de los pacientes Integridad y confiabilidad de la información clínica Medidas de seguridad para evitar el uso ilegal de la información Atender a criterios éticos y científicos que orientan la práctica médica

49 Protección de Datos Personales Acceso por parte del paciente a TODA la información del ECE Acceso por parte del personal médico a la información necesaria para atender al paciente Mediante orden judicial o administrativa a la Comisión Nacional de Arbitraje Médico (en su caso, a las estatales) Revelar información de manera ilegal, será sancionado, inclusive de manera penal

50 Medidas de seguridad

51 Autoridades Reguladoras En materia de expedientes clínicos el trabajo con la Secretaría de Salud establecerá normas para el manejo de los datos de salud que garanticen la privacidad de los individuos. La Secretarías en colaboración con el IFAI deberán emitir regulación secundaria

52 IFAI- Secretaría de Salud Desde que se dio a conocer el proyecto de NOM del ECE el IFAI se integró al grupo de discusión que debería elaborarla Exigió la elaboración de una Evaluación de Impacto a la privacidad por un experto extranjero (Primera PIA que se elaboró en México) El Pleno del IFAI emitió una serie de recomendaciones a ser tomadas en cuenta en la elaboración de dicha NOM

53 Objetivo de las Recomendaciones ( 21 de octubre de 2009) Minimizar los riesgos que pudieran vulnerar la confidencialidad y seguridad de los datos personales Observancia de los principios internacionales Medidas de seguridad en las transmisiones entre instituciones de salud Posibilidad de ejercicio de los derechos ARCO

54 Gracias! TEL IFAI TEL