Guía práctica
Todo consultorio de salud en Colombia maneja datos sensibles de sus pacientes y, por eso, tiene obligaciones concretas bajo la Ley 1581 de 2012. Esta guía práctica recorre lo que eso significa en la recepción, en la consulta, en el archivo y con los proveedores. Es contenido informativo; para adecuar su consultorio consulte a un asesor jurídico.
9 días gratis, sin tarjeta · luego $350.000 al mes, sin permanencia
Según la Ley 1581 de 2012, todo profesional o consultorio que registre historias clínicas, en papel o en un sistema electrónico, es «responsable del tratamiento» de los datos sensibles de sus pacientes. Esa condición no depende del tamaño ni de tener un área de sistemas: aplica igual al profesional independiente y a la clínica grande. La vigilancia corresponde a la Superintendencia de Industria y Comercio (SIC).
Ser responsable significa decidir sobre los datos y responder por ellos: qué se recoge, con qué finalidad, quién accede, cuánto tiempo se conserva y cómo se atiende una solicitud del paciente. Cuando el consultorio delega el almacenamiento en un proveedor, este obra por su cuenta como encargado, pero la responsabilidad frente al paciente y a la SIC sigue siendo del consultorio.
La ley considera sensibles los datos cuyo uso indebido puede afectar la intimidad del titular o generar discriminación, y los de salud están expresamente incluidos. En un consultorio eso abarca más que la historia clínica: la agenda con el motivo de consulta, los resultados de laboratorio, las fotografías clínicas y hasta el hecho de que alguien sea paciente de cierta especialidad.
Por eso el cuidado no se limita al archivo. La libreta de citas en la recepción, el correo del consultorio, el celular donde se reciben resultados y la carpeta compartida con la contadora contienen datos sensibles. Identificar dónde están es el primer paso; casi todos descubren copias en más lugares de los que creían.
Puede tener su primera historia clínica firmada esta misma tarde: la cuenta se crea en dos minutos y no pide tarjeta.
Crear mi cuenta gratisLa ley no da una lista cerrada de pasos técnicos, pero fija principios que deben verse en la forma en que su consultorio recolecta, guarda y usa la información. Conviene traducir cada principio en una decisión concreta, escribirla y revisarla con el equipo.
En un consultorio pequeño el principio de acceso restringido es el que más se descuida, porque todos hacen de todo. Aun así, es posible definir que la recepción vea la agenda y los datos de contacto, pero no la nota clínica, y que cada persona ingrese con su propio usuario para que quede rastro de quién consultó qué.
Los datos sensibles solo pueden tratarse con autorización previa, expresa e informada del paciente, salvo excepciones puntuales que la ley contempla. En la práctica, la autorización se obtiene al abrir la historia clínica, con un texto breve que explique qué datos se recogen, para qué, quién los trata y cómo ejercer los derechos de consulta y reclamo. El consultorio debe conservar la constancia.
La política de tratamiento de datos, exigida por el Decreto 1377 de 2013, es el documento donde el consultorio explica cómo maneja la información: responsable, finalidades, derechos del titular, procedimiento de consultas y reclamos y vigencia. No necesita ser extensa, pero sí estar escrita, disponible para los pacientes y coincidir con lo que el consultorio hace en realidad.
Como titulares de sus datos, los pacientes pueden conocer, actualizar y rectificar la información que el consultorio tiene sobre ellos, pedir prueba de la autorización, revocarla o solicitar la supresión en los casos que la ley permite, y presentar quejas ante la SIC. Conviene definir de antemano cómo se atendería cada solicitud.
Dos particularidades del sector salud: la historia clínica no se borra a petición del paciente, porque la Resolución 839 de 2017 obliga a conservarla 15 años desde la última atención; y las anotaciones clínicas no se editan, se corrigen con una nueva anotación. Lo que sí se actualiza sin problema son los datos de identificación y contacto.
La mayoría de las fallas no son ataques informáticos sino descuidos: la historia abierta en la pantalla de recepción, el resultado enviado al contacto equivocado, la contraseña única que conocen todos, la copia de seguridad en la memoria USB del profesional o la carpeta de pacientes que se lleva a casa para adelantar trabajo.
Cada uno contradice un principio de la ley y todos tienen solución barata. Lo más eficaz es una revisión corta con el equipo, una vez al año y cada vez que ingresa alguien, recorriendo recepción, consultorio y archivo con la lista en la mano.
La ley pide medidas de seguridad proporcionales al riesgo, no perfección. Para un consultorio eso significa usuarios individuales, contraseñas que no se comparten, equipos que se bloquean al dejarlos, archivo físico bajo llave y un sistema de historia clínica que registre quién hizo cada anotación. Ninguna exige un departamento de tecnología.
Con los proveedores, la pregunta clave es quién puede ver los datos y qué pasa con ellos al terminar el contrato. Un software de historia clínica debe permitir que solo los usuarios del consultorio accedan a la información y que el consultorio pueda exportar sus historias si decide irse. Con el equipo, basta un acuerdo de confidencialidad firmado y una explicación clara de lo que puede hacer con la información.
Doctia da acceso a la historia clínica por usuario y rol, de forma que cada persona del equipo vea solo lo que le corresponde, y los datos son accesibles únicamente para los usuarios del propio consultorio. Cada nota queda firmada y bloqueada al cerrarse, con el profesional, la fecha y la hora, lo que deja trazabilidad de quién registró qué.
Los consentimientos informados se firman en pantalla y quedan en el expediente; el historial completo puede exportarse en PDF cuando un paciente pide copia; y si el consultorio no continúa con el servicio, sus historias siguen disponibles para consulta y exportación. Es un software web con 9 días de prueba; la política de tratamiento y la autorización siguen siendo responsabilidad del consultorio.
Sí. La ley considera responsable del tratamiento de datos sensibles a todo profesional o consultorio que maneje historias clínicas, sin importar su tamaño ni si la información está en papel o en un sistema digital. Lo que cambia es la proporción de las medidas: un consultorio pequeño necesita reglas claras y contraseñas individuales, no un departamento de seguridad.
Son los datos relacionados con la salud del paciente: diagnósticos, tratamientos, antecedentes, resultados de exámenes, fotografías clínicas y toda la información de la historia clínica. También lo es el hecho de ser paciente de cierta especialidad. La Ley 1581 de 2012 los ubica en una categoría de tratamiento especialmente cuidadoso, con autorización previa, expresa e informada.
Puede conocer qué información tiene el consultorio, pedir que se actualicen o rectifiquen sus datos de identificación y contacto, solicitar prueba de la autorización que otorgó y presentar quejas ante la SIC. No puede exigir que se borre su historia clínica mientras corra el plazo legal de conservación de 15 años, pero sí pedir copia de ella.
La Superintendencia de Industria y Comercio vigila el cumplimiento de la Ley 1581 de 2012 y tiene facultad sancionatoria. El proceso suele empezar con la queja de un paciente, así que el mejor camino es tener un canal claro para atender reclamos antes de que lleguen a la autoridad. Para un caso concreto, consulte a un asesor jurídico.
Sí. El Decreto 1377 de 2013 exige a los responsables del tratamiento contar con una política que explique qué datos recogen, con qué finalidad, cómo ejercer los derechos y cómo presentar reclamos. Para un profesional independiente puede ser un documento breve, disponible en el consultorio o en su página, siempre que refleje lo que realmente hace con la información.
Sí, con cuidado. Un recordatorio de cita por correo con fecha y hora, sin mencionar diagnósticos ni motivo de consulta, es un uso compatible con la finalidad de la atención. Enviar resultados o información clínica exige verificar que el destinatario es el paciente o alguien autorizado por él, y usar el canal que el paciente indicó.
Con Doctia el acceso a la historia clínica es por roles, y cada nota queda firmada y bloqueada. 9 días de prueba gratis.
9 días gratis, sin tarjeta · luego $350.000 al mes, sin permanencia
¿Dudas? Escríbanos por WhatsApp · ¿Ya tiene cuenta? Ingresar