Transferencia de datos sensibles al exterior
Bajo la legislación colombiana, la transferencia de datos de salud a un país extranjero está sujeta a regulaciones y restricciones para proteger los datos personales. La Ley 1581 de 2012, conocida como Ley de Protección de Datos Personales, y sus decretos reglamentarios son las principales leyes que rigen la protección de datos personales en Colombia.
Para transferir datos de salud a un país extranjero se deben cumplir con obligaciones legales, entre otras:
Consentimiento informado y expreso: Antes de transferir datos de salud, el titular de los datos (la persona a quien pertenecen los datos) debe otorgar su consentimiento informado y expreso al tratante. El consentimiento debe obtenerse de manera clara y transparente, explicando el propósito de la transferencia, la identidad del destinatario y los posibles riesgos asociados con la transferencia.
Necesidad: Justificación necesaria para proveer un servicio, para cumplir con una obligación legal, satisfacer un interés vital para titular de los datos
Limitación de propósito: La transferencia de datos de salud a un país extranjero debe estar justificada por un propósito legítimo y específico, y no se permite un uso adicional de los datos que no esté relacionado con ese propósito original o compatible.
Adecuación: El país extranjero debe ofrecer un nivel adecuado de protección de datos, determinado por la Superintendencia de Industria y Comercio (SIC) de Colombia.
Medidas de seguridad: El responsable del tratamiento de datos debe implementar medidas adecuadas para proteger los datos de salud durante la transferencia y garantizar su procesamiento seguro en el país extranjero.
– Acuerdos de procesamiento de datos
– Derechos de los titulares
– Acuerdos para notificación de violación de datos
Si bien no se han registrado casos judiciales específicos contra proveedores de servicios de salud en Colombia por transferir datos a países extranjeros, existen sanciones impuestas por la SIC
La SIC emitió un fallo en 2017 contra una importante clínica en Bogotá por transferir datos de salud a Estados Unidos sin el consentimiento de los pacientes. La SIC ordenó cesar la transferencia y tomar medidas para proteger la privacidad de los datos.
En 2021, la SIC impuso multa en febrero 25 de 2021 a una reputada empresa farmacéutica colombiana por no obtener el consentimiento de los pacientes antes de transferir sus datos de salud a un país extranjero. La SIC encontró que la farmacéutica había transferido los datos de salud de sus pacientes a Estados Unidos sin su consentimiento. La SIC ordenó a la empresa a pagar una millonaria multa.