Tanto el Ministerio de Salud como otras organizaciones que tengan acceso a la condición de un paciente confirmado o en sospecha de padecer COVID-19 deben realizar sus labores en cumplimiento de los derechos y deberes aplicables en materia de protección de datos.

El país enfrenta sus primeros casos de personas infectadas por el virus COVID-19, mejor conocido como Coronavirus. Por razones de seguridad ciudadana, el Gobierno, a través del Ministerio de Salud, está realizado –de forma legítima– un tratamiento de datos personales de los pacientes atacados por el virus.  Este tratamiento de datos ha tenido como resultado la difusión de la cantidad de casos confirmados y en estudio de pacientes que sufren el virus en el país. Como podrá notarse, en estas publicaciones no se han informado los nombres de los pacientes. Sin embargo, ¿es suficiente para los pacientes que únicamente se limite la publicación de sus nombres, para tutelar sus derechos de protección de datos? A continuación se explicarán las medidas que deben tomarse para garantizar estos derechos de los pacientes.

La condición médica de una persona es un dato protegido por la Ley. El artículo 3 de la Ley de Protección de Datos en su inciso b), señala que un dato personal es cualquier dato relativo a una persona física identificada o identificable. Esta Ley hace una clasificación de tipos de datos personales, entre los cuales se ubican los de tipo sensible, que la norma define como aquellos que contienen información relativa al fuero íntimo de la persona, incluyendo los datos relativos a la salud. En consecuencia, el padecimiento de una enfermedad o no es un dato personal sensible.

Esta categoría de dato personal tiene una mayor tutela por parte de la Ley. Tanto así que en su artículo 9.1 se estipula que ninguna persona estará obligada a suministrar datos sensibles. Sin embargo, esta prohibición no aplica ante situaciones donde el tratamiento de datos personales resulte necesario para la gestión de servicios sanitarios. Por este motivo, el Ministerio de Salud ha sido la autoridad encargada de dar tratamiento a los datos personales de los pacientes afectados por el Coronavirus.

El tratamiento de datos personales realizado por el Ministerio de Salud. En vista de las repercusiones sanitarias y de salud pública que tiene la expansión del Coronavirus, el Ministerio de Salud está a cargo del tratamiento de datos personales de los personas que se sospecha padecen del virus, así como de los casos ya confirmados. El tratamiento de datos implica múltiples actuaciones, como por ejemplo la recolección, el registro, la conservación, la difusión y cualquier otra forma que facilite su acceso. Sin embargo, este tratamiento está sujeto a una serie de deberes.

El primer deber es que el Ministerio de Salud solo puede dar tratamiento de datos a través de sus funcionarios del área de salud, quienes están sujetos al secreto profesional. Esta limitación está relacionada al deber de confidencialidad garantizado en el artículo 11 de la Ley, el cual perdura aún terminadas sus labores como funcionario del área de salud.

El segundo deber es cumplir con el principio de autodeterminación informativa, el cual se basa en el poder de disposición y control que tiene un titular de datos personales. Si bien el paciente contagiado de Coronavirus, o el sospechoso de padecerlo, no puede evitar que el Ministerio de Salud tenga acceso a su condición médica, sí puede imponer algunas limitaciones, por ejemplo, limitar la difusión que se realice sobre su condición médica, evitar que se difundan otros datos personales recolectados, que se mantengan actualizados, que solo se recolecten aquellos necesarios para cumplir con el fin de salud pública, poder acceder a la información recolectada, entre otros.

El tercer deber es contar con las medidas de seguridad suficientes para proteger las bases de datos que contienen los datos de los pacientes. Esto implica poner cámaras de seguridad y llaves o claves de acceso a las bases de datos que contienen la información, sino también limitar el acceso a una limitada cantidad de funcionarios, así como capacitar al personal a cargo en materia de protección de datos.

El cuarto deber es cumplir con el consentimiento informado por escrito hacia los pacientes, donde se les informen los propósitos específicos de la recolección de datos, el tiempo que serán tratados sus datos sensibles, las personas que van a tener acceso a ellos, y los medios por los cuales el titular de los datos puede acceder a estos.

Salud pública frente a protección de datos personales. Cualquiera pensaría que la labor del Ministerio de Salud de no publicar los nombres de las personas permitiría se garantice el derecho de privacidad de los pacientes; sin embargo, este va más allá.

El Ministerio de Salud debe limitarse a dar la información mínima para informar a la población sobre las personas que padecen esta enfermedad. Sin embargo, existen casos donde se ha publicado información que puede hacer identificable a los pacientes. A modo de ejemplo, ya existe un caso en el cual se difundió una serie de datos de un trabajador de un hospital público del país, al informarse en cuál hospital trabaja, su edad, su puesto, el departamento dónde trabaja, y el detalle de las personas con las que tuvo contacto y que ahora están confirmadas que sufren del virus.

Todo esto coloca al paciente en una condición de identificable, para un sector específico de la población, y hasta de forma general. Es ahí donde existe un línea delgada entre las medidas a tomar por el Gobierno. Primeramente, debe analizarse la necesidad y proporcionalidad de difundir estos datos, y los alcances de esa difusión. En un caso como el ejemplo dado, es necesario advertir a las personas que pudieron tener contacto con el funcionario. No obstante, no resulta proporcional y necesaria la difusión del caso a toda la colectividad.

En este caso, así como en cualquier difusión futura relacionada a datos que hagan identificables a los pacientes, el Ministerio de Salud está expuesto a sanciones estipuladas en la Ley, ya que la difusión no autorizada de datos sensibles es considerada una falta gravísima, que conlleva a una sanción de multa entre los ¢6.753.000,00 y los ¢13.506.000,00, así como la suspensión del funcionario encargado entre uno y seis meses.

A lo anterior también está expuesta cualquier organización que tenga acceso a este tipo de información, como normalmente ocurre con los patronos o instituciones educativas. Si bien se entiende que estas organizaciones lleguen a tener acceso e inclusive a almacenar dicha información, con fines de salubridad dentro de ellas, la Ley los obliga a que realicen el tratamiento de los datos médicos cumpliendo los deberes señalados anteriormente, y bajo los parámetros de necesidad y proporcionalidad para la difusión.

En estos momento de emergencia mundial, en los cuales se pretende la propagación de un virus, también surgen situaciones de odio y peligro para los pacientes de la enfermedad, producto de la desesperación y angustía que puede darse en el colectivo. La privacidad de los pacientes es el pilar para garantizar su protección frente al colectivo, en momento difíciles donde enfrentan un enfermedad. La responsabilidad de garantizar su privacidad es de todos.