La protección de datos en el sector salud en México Lina Ornelas Núñez Directora General de Clasificación y Datos Personales IFAI 14 de noviembre de 2008

Situación actual de la protección de datos de salud en México Los datos personales de salud son datos considerados como datos sensibles o especialmente protegidos en el ámbito internacional Actualmente, en el ámbito federal y en algunos estados existen instrumentos jurídicos en materia de protección de datos personales en posesión del sector público y sólo algunos estados regulan al sector privado

Situación actual de la protección de datos de salud en México Se carece de una regulación comprehensiva que regule específicamente el tratamiento o manejo de datos de salud, que evite un mal manejo de dicha información

Problemáticas en el tratamiento de datos personales de salud La falta de observancia de los principios de protección de datos reconocidos internacionalmente en las instituciones de salud públicas y privadas La falta de observancia de los principios de protección de datos reconocidos internacionalmente en las instituciones de salud públicas y privadas La ausencia de homogeneidad en la organización, manejo y conservación de archivos clínicos La ausencia de homogeneidad en la organización, manejo y conservación de archivos clínicos

Aplicación de principios rectores al tratamiento de datos de salud La posesión de datos de salud debe obedecer exclusivamente a las atribuciones legales de los entes públicos, o a la legitimación derivada del servicio entre hospitales privados y pacientes La posesión de datos de salud debe obedecer exclusivamente a las atribuciones legales de los entes públicos, o a la legitimación derivada del servicio entre hospitales privados y pacientes Los datos de salud deben tratarse únicamente para la finalidad para la cual fueron obtenidos Los datos de salud deben tratarse únicamente para la finalidad para la cual fueron obtenidos

Aplicación de principios rectores al tratamiento de datos de salud Los datos de salud deben ser exactos, adecuados pertinentes y no excesivos Los datos de salud deben ser exactos, adecuados pertinentes y no excesivos Los datos deben almacenarse de formal tal que permitan el ejercicio de los derechos de acceso y rectificación Los datos deben almacenarse de formal tal que permitan el ejercicio de los derechos de acceso y rectificación Se debe hacer del conocimiento del titular de los datos de forma escrita, al momento de recabarlos, el fundamento y motivo de ello, así como los propósitos para los cuales se tratarán los mismos Se debe hacer del conocimiento del titular de los datos de forma escrita, al momento de recabarlos, el fundamento y motivo de ello, así como los propósitos para los cuales se tratarán los mismos

Aplicación de principios rectores al tratamiento de datos de salud Los datos de salud deben contar con medidas de seguridad necesarias para garantizar su integridad, confiabilidad, confidencialidad y disponibilidad de la información Los datos de salud deben contar con medidas de seguridad necesarias para garantizar su integridad, confiabilidad, confidencialidad y disponibilidad de la información Toda transmisión de datos de salud, debe contar con el consentimiento previo, por escrito y otorgado de manera libre por parte del titular, salvo las excepciones legales conducentes Toda transmisión de datos de salud, debe contar con el consentimiento previo, por escrito y otorgado de manera libre por parte del titular, salvo las excepciones legales conducentes

Organización y conservación de los archivos clínicos El tratamiento de datos de salud involucra diversas y variadas acciones desde su recolección hasta su cancelación o destrucción, las cuales deben estar documentadas A pesar de que se realizan grandes esfuerzos para la homogeneidad en la organización, manejo y conservación de archivos clínicos, estamos frente a una insuficiente y atomizada regulación del sector salud para abatir esta situación

Organización y conservación de los archivos clínicos Resulta relevante regular: La integración, manejo, acceso y custodia del expediente clínico La integración, manejo, acceso y custodia del expediente clínico La disociación o anonimización de información cuando sea necesario La disociación o anonimización de información cuando sea necesario La confidencialidad de la información no sólo del paciente sino de terceras personas La confidencialidad de la información no sólo del paciente sino de terceras personas

Organización y conservación de los archivos clínicos El establecimiento de los casos en que procedan las transferencias de información contenida en la historia clínica y las medidas de seguridad aplicables (altas) El establecimiento de los casos en que procedan las transferencias de información contenida en la historia clínica y las medidas de seguridad aplicables (altas) El tratamiento de la información de personas fallecidas El tratamiento de la información de personas fallecidas

Modelos internacionales México, a través del IFAI analiza modelos internacionales para la regulación del contenido y tratamiento de la información de la historia clínica (España, Canadá, Reino Unido) México, a través del IFAI analiza modelos internacionales para la regulación del contenido y tratamiento de la información de la historia clínica (España, Canadá, Reino Unido)

Hacia el expediente clínico electrónico

Programa Nacional de Salud Promueve una estrategia nacional para el uso de los registros electrónicos de salud La estrategia de la Secretaría de Salud se centra en lograr la comunicación entre los sistemas de instituciones públicas y privadas de salud a través de estándares y mecanismos innovadores

Estrategia nacional (objetivos) Establecer estándares de información en salud que aseguren la calidad e interoperabilidad de la misma Establecer un marco legal que garantice el mejor uso de la información de salud y establezca los requisitos mínimos que deben tener los sistemas de registros electrónicos de salud Establecer los procesos y estructuras que aseguren el mayor uso de la información de salud Crear modelos de inversión que permitan realizar la administración de datos Asegurar la interoperabilidad de la información

NOM 024 Establece los registros electrónicos mínimos en salud que las unidades que prestan servicios de atención médica deben cumplir para garantizar la interoperabilidad, procesamiento, interpretación, confidencialidad, seguridad y uso de estándares de la información en los registros electrónicos en salud. Se basa en el modelo HL7. Beneficios: entrar la atención en el paciente; Centrar la atención en el paciente; Documentar eventos clínicos estructurados; Documentar eventos clínicos estructurados; Contar con la historia clínica de un paciente; Contar con la historia clínica de un paciente; Evitar la duplicidad de recetas, estudios y pruebas Evitar la duplicidad de recetas, estudios y pruebas Asegurar tratamientos completos y correctos Asegurar tratamientos completos y correctos

Delicado balance entre acceso expedito a la información del paciente por parte del personal de salud y la protección a la privacidad

Nuevas tecnologías

Evaluación de Impacto a la Privacidad La complejidad en el diseño de la NOM- 024 entraña riesgos potenciales en el derecho a la protección de datos de los pacientes o personas que por cualquier motivo dan a conocer información personal a las instituciones de salud. El IFAI como autoridad garante en materia de protección de datos personales a través de un especialista en la materia elaborará una Evaluación de Impacto a la Privacidad (Privacy Impact Assesment –PIA-)

Coloquio de Protección de Datos de Salud Este año, previo al Consejo Nacional de Salud, en el estado de Guanajuato, se llevó a cabo un Coloquio de Protección de Datos en Salud El objeto del Coloquio fue lograr un acuerdo político para reformar el marco legal en la materia que incluya los principios y derechos de protección de datos de salud. El resultado fue el inicio de los trabajos para la concertación de acciones para el estudio, análisis y propuesta para la protección de datos clínicos

Conclusiones Es necesario contar con una Ley de Protección de Datos Personales que contenga los principios y derechos de protección Es necesario contar con una Ley de Protección de Datos Personales que contenga los principios y derechos de protección Reformas a la Ley General de Salud que aseguren el adecuado tratamiento de la información de los pacientes, así como las normas técnicas o reglamentarias ad-hoc Reformas a la Ley General de Salud que aseguren el adecuado tratamiento de la información de los pacientes, así como las normas técnicas o reglamentarias ad-hoc