Normativa colombiana
La Ley 1581 de 2012, conocida como ley de habeas data o de protección de datos personales, regula cómo se recogen, guardan y usan los datos personales en Colombia, incluidos los de salud. Esta guía explica qué exige a un consultorio y a un profesional independiente. Es contenido informativo y no sustituye la asesoría jurídica sobre su caso.
9 días gratis, sin tarjeta · luego $350.000 al mes, sin permanencia
La Ley 1581 de 2012 es la norma general de protección de datos personales en Colombia. Desarrolla el derecho de habeas data: la facultad de cada persona de conocer, actualizar y rectificar la información que otros guardan sobre ella. Está reglamentada por el Decreto 1377 de 2013 y la vigila la Superintendencia de Industria y Comercio (SIC), que puede investigar y sancionar a quien la incumpla.
Aplica a cualquier persona natural o jurídica que trate datos personales en el país, sin importar su tamaño ni su actividad. Un consultorio de un solo profesional, una IPS y una clínica quedan cobijados por igual, porque todos recogen y guardan información de pacientes.
La ley reserva el nombre de «datos sensibles» para aquellos cuyo uso indebido puede afectar la intimidad del titular o generar discriminación. Los datos relativos a la salud están expresamente en esa categoría, junto con otros como el origen étnico o las convicciones religiosas. Un diagnóstico, un tratamiento o un antecedente son, para la ley, datos sensibles.
Por eso todo profesional o consultorio que registre historias clínicas, en papel o en un sistema electrónico, es «responsable del tratamiento» de datos sensibles. Esa condición no se elige ni se declara: nace del hecho de recoger información clínica. Y trae una regla de entrada: estos datos solo se tratan con autorización previa, expresa e informada del paciente, salvo excepciones puntuales que la misma ley contempla.
Puede tener su primera historia clínica firmada esta misma tarde: la cuenta se crea en dos minutos y no pide tarjeta.
Crear mi cuenta gratisLa Ley 1581 de 2012 no enumera pasos técnicos; fija principios que deben reflejarse cada vez que el consultorio recoge, guarda, usa o entrega información de un paciente. Conviene leerlos con la historia clínica en mente, porque cada uno se traduce en una decisión práctica.
Estos principios son también los criterios con que la SIC evalúa una queja. Cuando un paciente reclama, las preguntas de fondo suelen ser tres: si el consultorio recogió solo lo necesario, si protegió la información de forma razonable y si limitó quién podía verla.
Para los datos sensibles la ley exige una autorización previa, expresa e informada. Previa, porque se obtiene antes de recoger los datos; expresa, porque no se presume del silencio ni de la simple asistencia a la cita; e informada, porque el paciente debe saber qué datos se recogen, con qué finalidad, quién los tratará y cómo ejercer sus derechos. El consultorio debe poder demostrar que la obtuvo.
Un error frecuente es confundirla con el consentimiento informado del procedimiento. Son documentos distintos: uno trata de la intervención clínica y sus riesgos; el otro, del uso de la información personal. Lo práctico es incorporar la autorización a la apertura de la historia clínica, con un texto claro sobre la finalidad y el canal para reclamos, y conservar la constancia junto al expediente.
Ser responsable del tratamiento implica obligaciones que van más allá de «no divulgar». La ley y el Decreto 1377 de 2013 exigen contar con una política de tratamiento de datos, informarla al titular, atender consultas y reclamos dentro de los plazos legales, conservar prueba de la autorización y adoptar medidas de seguridad proporcionales al riesgo.
Si el consultorio contrata un proveedor para guardar la información, por ejemplo un software de historia clínica electrónica, ese proveedor suele obrar como «encargado del tratamiento» por cuenta del consultorio. El responsable sigue siendo el consultorio, así que conviene saber quién puede acceder a los datos en el sistema y qué ocurre con ellos si termina el contrato.
El paciente conserva el control sobre su información. Puede conocer qué datos tiene el consultorio, pedir que se actualicen o rectifiquen cuando sean inexactos, solicitar prueba de la autorización que otorgó, presentar quejas ante la SIC y, en los casos que la ley permite, revocar la autorización o pedir la supresión de sus datos.
Aquí aparece una particularidad del sector salud: la historia clínica no puede borrarse a petición del paciente, porque la Resolución 839 de 2017 obliga a conservarla al menos 15 años desde la última atención. El derecho de supresión cede frente a esa obligación. El paciente sí puede pedir copia y la corrección de sus datos de identificación; las anotaciones clínicas se corrigen con una nueva anotación, nunca borrando la anterior.
La mayoría de las infracciones en consultorios no provienen de un ataque informático sino de hábitos cotidianos: la carpeta que queda sobre el escritorio de recepción, el resultado enviado al contacto equivocado, la contraseña compartida entre todo el personal o la pantalla con la historia abierta mientras entra el siguiente paciente.
Cada uno de esos hábitos contradice un principio de la ley: acceso restringido, seguridad o confidencialidad. Corregirlos no exige inversión, sino decisiones claras y disciplina. Conviene revisar la lista con el equipo una vez al año y cuando ingresa una persona nueva.
Un sistema de historia clínica electrónica no reemplaza la política de tratamiento ni la autorización del paciente, pero facilita cumplir los principios de acceso restringido, seguridad y trazabilidad. En Doctia los datos son accesibles solo para los usuarios del propio consultorio; cada persona ingresa con su usuario y su rol, y cada nota queda identificada con el profesional que la firmó, con fecha y hora.
Al cerrarse, la nota queda bloqueada, de modo que una corrección posterior se registra como nueva anotación y no como una alteración silenciosa. Los consentimientos firmados en pantalla se guardan en el expediente y el historial completo puede exportarse en PDF cuando el paciente pide copia. Doctia es un software web, se usa desde el navegador y ofrece 9 días de prueba.
Es la ley general de protección de datos personales de Colombia, también conocida como ley de habeas data. Regula cómo se recogen, guardan, usan y entregan los datos personales, incluidos los de salud, y reconoce al titular el derecho a conocer, actualizar y rectificar su información. La reglamenta el Decreto 1377 de 2013 y la vigila la SIC.
Porque la Ley 1581 de 2012 los ubica en la categoría de información cuyo uso indebido puede afectar la intimidad del titular o exponerlo a discriminación. Por eso solo pueden tratarse con autorización previa, expresa e informada del paciente, salvo excepciones puntuales de la propia ley, y exigen medidas de seguridad y de acceso más estrictas.
Como regla general sí. Los datos de salud son sensibles y su tratamiento requiere autorización previa, expresa e informada, que el consultorio debe poder demostrar. Lo práctico es incluirla en la apertura de la historia, con un texto claro sobre la finalidad y los derechos del paciente. Es un documento distinto del consentimiento informado del procedimiento.
La Superintendencia de Industria y Comercio (SIC). Es la autoridad que recibe las quejas de los titulares, adelanta investigaciones y puede imponer sanciones a quienes incumplan la Ley 1581 de 2012. El paciente reclama primero ante el consultorio y, si no obtiene respuesta, acude a la SIC.
No mientras corra el plazo legal de conservación. La Resolución 839 de 2017 obliga a conservar la historia clínica al menos 15 años desde la última atención, así que el derecho de supresión cede frente a esa obligación. El paciente sí puede solicitar copia, pedir la corrección de sus datos de identificación y presentar reclamos sobre el uso de su información.
Sí. La ley aplica a toda persona que trate datos personales en Colombia, sin distinguir por tamaño ni por volumen de pacientes. Un profesional independiente es responsable del tratamiento de los datos sensibles de sus pacientes, igual que una clínica, y debe contar con política de tratamiento, autorización y medidas de seguridad proporcionales a su realidad.
Doctia da acceso por roles a la historia clínica, para que solo su equipo autorizado vea los datos sensibles de sus pacientes.
9 días gratis, sin tarjeta · luego $350.000 al mes, sin permanencia
¿Dudas? Escríbanos por WhatsApp · ¿Ya tiene cuenta? Ingresar