Filtraron mis datos o resultados médicos sin autorización

¿Tienes razón?

La información de salud está catalogada como dato sensible y su tratamiento exige autorización, salvo excepciones legalmente previstas. Si sus resultados o datos médicos aparecieron en redes, correos, o fueron entregados a terceros sin su consentimiento, hay base para reclamar. Tres elementos determinan la solidez del reclamo: quién es el responsable del tratamiento (IPS, EPS, laboratorio, profesional), si existió autorización expresada y la extensión del daño (estigmatización, pérdida de empleo, exposiciones públicas). Si la filtración proviene de una entidad pública o privada obligada a custodiar datos, y no hay autorización ni excepción aplicable, su reclamo es fuerte. Si la persona que filtró es un tercero externo que obtuvo la información por delitos informáticos, además de la vía administrativa puede haber responsabilidad penal.

También importa la prueba: capturas de pantalla, enlaces, testimonios y la cadena de custodia de la información. Documente todo y guarde pruebas digitales con metadatos cuando sea posible. La respuesta de la entidad responsable —sus medidas de corrección y notificación— será clave para acciones posteriores.

Cómo se soluciona

1. Documente la filtración: guarde capturas, enlaces, nombres de cuentas o personas que difundieron la información, mensajes y cualquier prueba que muestre la exposición. Exporte las pruebas en formato que conserve metadatos y haga copias en distintos soportes.

1. Derecho de petición a la entidad responsable: dirija un derecho de petición a la IPS, EPS, laboratorio o profesional que tuvo los datos. Solicite la explicación de cómo ocurrió la filtración, el listado de datos expuestos, las medidas de contención adoptadas y copia de las políticas de tratamiento de datos que aplica esa entidad.

1. Solicitar medidas de contención y rectificación: pida rectificación o eliminación de los contenidos en poder de la entidad responsable y que se notifique a terceros receptores para que cesen el tratamiento. Si la filtración está en redes sociales o páginas web, pida a la entidad que coordine la eliminación y, si es necesario, presente solicitudes directas a las plataformas.

1. Denuncia ante la Superintendencia de Industria y Comercio (SIC): presente la queja por vulneración de datos personales si la entidad no responde o la respuesta es insuficiente. La SIC investiga tratamiento indebido y puede imponer sanciones administrativas.

1. Acción de tutela: si la filtración vulnera derechos fundamentales como la intimidad, la dignidad o la salud mental, la tutela puede ordenar medidas urgentes (eliminación, rectificación, suspensión de difusión). La tutela es procedente cuando hay afectación inmediata y requiere prueba básica del daño.

1. Evaluar responsabilidad civil y penal: si la filtración causó un daño patrimonial, moral o reputacional, puede reclamar indemnización ante la jurisdicción civil. Si hubo acceso indebido a sistemas, destrucción de datos o delitos informáticos, conviene presentar denuncia penal junto con la queja administrativa.

1. Medidas prácticas de mitigación: pida a la entidad que notifique a empleadores o instituciones que puedan verse afectadas y solicite constancia de esas comunicaciones. Use el derecho de petición para pedir certificación de las medidas tomadas.

Tareas personales y de un profesional: usted debe reunir pruebas y presentar el derecho de petición; un abogado ayudará a formular la tutela, a denunciar ante la SIC, y a cuantificar y reclamar daños si procede.

Qué puede pasar

1) Se arregla con eliminación y disculpa: muchas entidades reconocen la falla, retiran la información y ofrecen disculpas formales y medidas para evitar repetición. Esto suele ocurrir cuando la filtración es de alcance limitado y la entidad actúa rápido.

2) Acuerdo o conciliación: si hubo daño moral o reputacional significativo, la entidad puede ofrecer compensación mediante conciliación. Un acuerdo puede incluir medidas de reparación, publicación de disculpas y garantías de no repetición. A veces un acuerdo es preferible porque evita una larga reclamación judicial y garantiza medidas concretas.

3) Juicio o procedimiento administrativo y penal: si no hay arreglo, la SIC puede imponer sanciones administrativas, y en sede civil puede reclamarse indemnización por daño moral o material. Si existió un delito informático, la Fiscalía puede investigar y formular cargos. Si pierde la acción civil, normalmente asumirá las costas procesales; si gana, la condena podrá fijar reparación, pero el resultado práctico depende de la capacidad de la entidad para cumplir.

¿Y si gano, cobro? Una decisión favorable puede ordenar reparación, pero el cobro efectivo dependerá de la situación económica del responsable. Por eso muchas víctimas buscan acuerdos que incluyan medidas inmediatas y verificables.

Errores que arruinan el caso

• No preservar pruebas digitales con metadatos (capturas sin fecha ni enlace): eso dificulta demostrar la difusión.
• No pedir por escrito a la entidad responsable la explicación y las medidas adoptadas.
• Publicar más la información para “demostrar” la filtración: eso aumenta el daño y complica la defensa.
• No presentar denuncia ante la SIC cuando la entidad no responde.
• Ignorar la posibilidad de medidas urgentes (tutela) cuando la difusión pone en riesgo su integridad o su empleo.