Protección de datos personales en el sector salud

Ley Federal de Protección de Datos Personales

• Esta ley fue publicada en el Diario Oficial de la Federación el 5 de julio de 2010.
• El objetivo es regular el tratamiento legítimo, controlado e informado de los datos personales en posesión de particulares.
• Esto busca garantizar la privacidad y el derecho a la autodeterminación informativa de las personas.

Sujetos Regulados

• Los sujetos regulados son personas físicas o morales de carácter privado que manejan datos personales.
• Las excepciones incluyen sociedades de información crediticia reguladas por la ley correspondiente y personas que recolectan y almacenan datos personales para uso exclusivamente personal sin fines comerciales.

Definiciones Clave

• Aviso de Privacidad: Documento que informa al titular sobre el tratamiento de sus datos personales.
• Bases de datos: Conjunto ordenado de datos personales referentes a una persona identificada o identificable.
• Bloqueo: Conservación de datos personales para determinar posibles responsabilidades relacionadas con su tratamiento.
• Consentimiento: Manifestación de la voluntad del titular para el tratamiento de sus datos.
• Datos personales: Información concerniente a una persona física identificada o identificable.
• Datos personales sensibles: Datos que afectan la esfera más íntima del titular o pueden dar origen a discriminación.
• Disociación: Procedimiento que impide la asociación de los datos personales con su titular.
• Encargado: Persona que trata datos personales por cuenta del responsable.
• Fuente de acceso público: Bases de datos disponibles para consulta general.
• Instituto: Instituto Federal de Acceso a la Información y Protección de Datos.
• Responsable: Persona que decide sobre el tratamiento de datos personales.
• Titular: Persona física a quien corresponden los datos personales.
• Tratamiento: Obtención, uso, divulgación o almacenamiento de datos personales.
• Transferencia: Comunicación de datos a una persona distinta del responsable o encargado.

Principios y Límites

• Los principios y derechos tienen como límite la protección de la seguridad nacional, el orden, la seguridad y la salud públicos, así como los derechos de terceros.
• En ausencia de disposición expresa, se aplicarán supletoriamente el Código Federal de Procedimientos Civiles y la Ley Federal de Procedimiento Administrativo.

Principios de Protección de Datos

• Los responsables deben observar los principios de licitud, consentimiento, información, calidad, finalidad, lealtad, proporcionalidad y responsabilidad.
• La obtención de datos no debe hacerse por medios engañosos o fraudulentos.
• Se presume una expectativa razonable de privacidad en el tratamiento de datos personales.

Consentimiento

• El tratamiento de datos personales requiere el consentimiento del titular, salvo excepciones legales.
• El consentimiento puede ser expreso (verbal, escrito, electrónico, etc.) o tácito (sin oposición al aviso de privacidad).
• Los datos financieros o patrimoniales requieren consentimiento expreso.
• El consentimiento puede ser revocado, estableciendo mecanismos y procedimientos en el aviso de privacidad.
• Para datos personales sensibles, se requiere consentimiento expreso y por escrito.

Excepciones al Consentimiento

• No se necesita el consentimiento cuando está previsto en una ley, los datos figuran en fuentes de acceso público, los datos se someten a un procedimiento de disociación, o tiene el propósito de cumplir obligaciones derivadas de una relación jurídica.
• Tampoco se requiere en situaciones de emergencia, atención médica indispensable o por resolución de autoridad competente.

Calidad de los Datos

• Los datos personales deben ser pertinentes, correctos y actualizados para los fines para los que fueron recabados.
• Los datos innecesarios deben ser cancelados.
• La información sobre incumplimiento de obligaciones contractuales debe eliminarse después de 72 meses.

Limitación del Tratamiento

• El tratamiento de datos personales debe limitarse a las finalidades previstas en el aviso de privacidad.

Aviso de Privacidad

• Debe contener la identidad y domicilio del responsable que los recaba, las finalidades del tratamiento de datos, las opciones y medios que el responsable ofrezca a los titulares para limitar el uso o divulgación de los datos, y los medios para ejercer los derechos de acceso, rectificación, cancelación u oposición.
• Tambien el procedimiento y medio para comunicar cambios al aviso de privacidad y las transferencias de datos que se efectúen.
• Debe señalar expresamente si se trata de datos personales sensibles.
• Debe facilitarse de forma clara y fehaciente cuando los datos se obtienen personalmente.

Seguridad de los Datos

• Se deben establecer y mantener medidas de seguridad administrativas, técnicas y físicas para proteger los datos personales contra daño, pérdida, alteración, destrucción o el uso, acceso o tratamiento no autorizado.
• El nivel de seguridad debe ser acorde al riesgo existente, las posibles consecuencias para los titulares y la sensibilidad de los datos.

Derechos de los Titulares (ARCO)

• Acceso: Derecho a acceder a los datos personales que obren en poder del responsable y al aviso de privacidad.
• Rectificación: Derecho a rectificar los datos cuando sean inexactos o incompletos.
• Cancelación: Derecho a cancelar los datos personales.
• Oposición: Derecho a oponerse al tratamiento de los datos.
• El responsable está obligado a eliminar la información relativa al incumplimiento de obligaciones contractuales, una vez que transcurra un plazo de setenta y dos meses, contado a partir de la fecha calendario en que se presente el mencionado incumplimiento.

Ejercicio de los Derechos ARCO

• El titular o su representante legal pueden solicitar al responsable en cualquier momento el acceso, rectificación, cancelación u oposición.
• La solicitud debe contener el nombre del titular, domicilio, documentos que acrediten la identidad, descripción clara de los datos personales y cualquier otro elemento que facilite la localización de los datos personales.

Plazos y Procedimientos

• El responsable comunicará al titular la determinación adoptada en un plazo máximo de veinte días.
• Si resulta procedente, se hará efectiva la misma dentro de los quince días siguientes a la fecha en que se comunica la respuesta.
• La entrega de los datos personales será gratuita, cubriendo el titular únicamente los gastos justificados de envío o reproducción.
• Si la solicitud se reitera en un periodo menor a doce meses, los costos no serán mayores a tres días de Salario Mínimo General Vigente en el Distrito Federal.

Limitaciones al Acceso, Rectificación, Cancelación y Oposición

• El responsable puede negar estos derechos cuando el solicitante no sea el titular, los datos no se encuentren en su base de datos, se lesionen los derechos de un tercero o exista un impedimento legal.
• El responsable deberá informar el motivo de su decisión.

Transferencia de Datos

• Si el responsable pretende transferir los datos personales a terceros, debe comunicar a éstos el aviso de privacidad y las finalidades del tratamiento.
• El tratamiento de los datos se hará conforme a lo convenido en el aviso de privacidad, indicando si el titular acepta o no la transferencia de sus datos.

Transferencias sin Consentimiento

• Están permitidas cuando están previstas en una ley o tratado, son necesarias para la prevención o el diagnóstico médico y se efectúan a sociedades bajo control común.
• También situaciones requeridas por virtud de un contrato, salvaguarda de un interés público, un proceso judicial o el cumplimiento de una relación jurídica.

El Instituto

• Tiene como objetivo difundir el conocimiento del derecho a la protección de datos personales.
• Debe vigilar el cumplimiento de las disposiciones previstas en la ley.
• Tiene la facultad de interpretar administrativamente la ley, proporcionar apoyo técnico, emitir criterios y recomendaciones y divulgar estándares internacionales de seguridad de la información.

Atribuciones del Instituto

• Conocer y resolver procedimientos de protección de derechos y de verificación, así como cooperar con otras autoridades.
• Rendir un informe anual al Congreso de la Unión y elaborar estudios de impacto sobre la privacidad.

La Secretaría

• Tiene la función de difundir el conocimiento de las obligaciones en torno a la protección de datos personales.
• Debe promover las mejores prácticas comerciales en torno a esta protección.
• Emitir lineamientos para el contenido y alcance de los avisos de privacidad en coadyuvancia con el Instituto.

Autorregulación

• Las personas físicas o morales pueden convenir esquemas de autorregulación vinculante que complementen la ley.
• Estos esquemas deben contener mecanismos para medir su eficacia, consecuencias y medidas correctivas en caso de incumplimiento.

Procedimiento de Protección de Derechos

• Se inicia a instancia del titular de los datos, expresando claramente la reclamación y los preceptos vulnerados.
• La solicitud debe presentarse ante el Instituto dentro de los quince días siguientes a la fecha en que se comunique la respuesta del responsable.

Resolución del Instituto

• El plazo máximo para dictar la resolución es de cincuenta días, ampliables por un período igual.
• El Instituto puede sobreseer o desechar la solicitud si no es competente, ya ha conocido del asunto, se está tramitando un recurso ante los tribunales, es ofensiva o extemporánea.
• El interesado puede promover el juicio de nulidad ante el Tribunal Federal de Justicia Fiscal y Administrativa.

Verificación

• El Instituto verificará el cumplimiento de la Ley.
• La verificación podrá iniciarse de oficio o a petición de parte.

Sanciones

• Las infracciones serán sancionadas con apercibimiento, multa de 100 a 320,000 días de salario mínimo vigente en el Distrito Federal, y en caso de infracciones reiteradas, se impondrá una multa adicional.
• En tratándose de infracciones cometidas en el tratamiento de datos sensibles, las sanciones podrán incrementarse hasta por dos veces, los montos establecidos.

Delitos

• Se impondrá prisión de tres meses a tres años al que, estando autorizado para tratar datos personales, provoque una vulneración de seguridad a las bases de datos bajo su custodia.
• Se sancionará con prisión de seis meses a cinco años al que, con el fin de alcanzar un lucro indebido, trate datos personales mediante el engaño.
• En caso de datos personales sensibles, las penas se duplican.

Este cuestionario explora la normativa sobre el tratamiento de datos personales en servicios de salud. Evalúa el conocimiento sobre el consentimiento del titular, el derecho de oposición y los requisitos para ejercer los derechos ARCO. También abarca las obligaciones del responsable de datos y el alcance del derecho de acceso.