VIDAMÉDICA / FalmedEduca
{ 51
de cada vez que alguien abre una ficha, y contratos que obliguen a los proveedores externos— laboratorios, software clínico, servicios en la nube— a cumplir los mismos estándares de seguridad.
Y la Ley N ° 21.663, el Marco de Ciberseguridad, agrega una tercera capa, porque los prestadores de salud son considerados como parte de los servicios esenciales del país. Eso implica gestionar de forma permanente los riesgos de ciberseguridad y tener capacidad de detectar y responder ante un ataque a la seguridad o inviolabilidad de la información almacenada. que“ hoy la ley N ° 19.799 permite gestionar o escriturar en base a documentos electrónicos, pero acá el problema será asegurar la identidad o la autenticación del paciente que lo presta. Y podría consentir con su huella digital. En la práctica, en el día a día, adherirse al formulario que un paciente debe si o sí firmar por ejemplo antes de una operación no cambia; la carga que realmente tensiona el estándar actual de consentimiento es que sea completa y realmente informado, ya no sólo de los aspectos médicos o de salud sino de la gestión que se hará de la información nominativa”.
Cuando hablamos de consentimiento para el tratamiento de datos personales, la Ley N ° 21.719 reconoce al paciente una batería de derechos conocidos como ARCOP( acceso, rectificación, cancelación, oposición, portabilidad y bloqueo). La abogada Isabel Margarita Salas explica que“ ese consentimiento tiene que ser específico e informado, y el paciente lo puede revocar en cualquier momento con la misma facilidad con que lo dio. Pero también tiene deberes: acreditar que efectivamente es el titular cuando ejerce estos derechos, y aceptar que existen límites legales que están por sobre su voluntad”.
SEGURIDAD DE LOS REGISTROS CLÍNICOS
Referirnos a registros clínicos incluye considerar información sanitaria que se concentra en fichas clínicas, plataformas tecnológicas de telemedicina, empresas que prestan servicios tecnológicos, aplicaciones móviles y nubes externas donde se almacenan datos. La complejidad se acrecienta si consideramos que un paciente puede mantener registros en recintos de salud públicos y privados y estos pueden estar disponibles en distintas plataformas.
Hoy conviven tres capas de exigencias de seguridad, y las tres aplican al mismo tiempo. La Ley N ° 20.584 y su reglamento ya exigen que la ficha, en papel o electrónica, tenga acceso controlado, confidencialidad y trazabilidad de los cambios, y que se gestione de forma centralizada para que solo acceda quien corresponde. La Ley N ° 21.719 suma la exigencia de medidas de seguridad proporcionales al riesgo: control de accesos según el rol de cada profesional, registro de auditoría
Consultado si la nueva institucionalidad entrega seguridad en cuanto al manejo de registros clínicos, el experto Renato Jijena dice que“ declarativa y normativamente” entrega seguridad. Sin embargo, explica que“ su cumplimiento no pasa sólo por lo declarativo. La experiencia comparada demuestra que pueden existir normas muy claras, pero si no se auditan para cumplirse serán‘ lírica’. Y no es algo que lo puedan hacer los caros sistemas en línea que el mercado está ofreciendo en forma invasiva y majadera, asegurando“ el total cumplimiento de la ley” si contratan sus plataformas”.
El académico de la PUCV explica que, si bien desde la seguridad de los registros se mencionan mecanismos como la encriptación, control de accesos, monitoreo en tiempo real y alineación con normas internacionales como ISO 27001 y HL7, también puede agregarse la anonimización, pero resulta fundamental la capacitación y auditorías.
“ Hay quienes creen muy erradamente que declarar‘ estoy certificado ISO 27001’ es suficiente. El desafío es la implementación en la gestión del día a día, que tiene que ser idónea. Una política interna de tratamiento de datos personales, que no tiene nada que ver con las políticas de privacidad de los sitios web, debiera ser la biblia’ y un manual para todos los prestadores de salud”, agrega el abogado Renato Jijena.
Finalmente, Jijena subraya que existen diversos puntos críticos que puede presentar la nueva institucionalidad.
El más importante es el cambio cultural“ donde los tratamientos de datos personales con fines de lucro son significativos y donde nunca se ha fiscalizado, implantar un cambio radical y de 180 grados va a generar tensiones y resistencias; a todo nivel, desde los consultorios de salud menores hasta las grandes clínicas”.
Sobre la aplicación de multas ante incumplimientos de la normativa, el académico destaca que“ se olvida siempre que dependerán de un criterio administrativo para aplicarlas, y acá, la posible falta de idoneidad de los miembros de la Agencia puede ser importante al aplicarse la norma. Y de cara a su fiscalización, la concurrencia simultanea de varias autoridades( Sernac, ANCI, Agencia de Datos, Tribunales, Minsal) puede resultar muy compleja”.