Si te han vulnerado la privacidad de tus datos de salud

¿Tienes razón?

La existencia de una vulneración depende de cuatro cuestiones: qué dato se divulgó (diagnóstico, historia clínica, resultados), quién lo divulgó (personal de salud, institución, tercero), si tenía o no su autorización y el propósito del tratamiento. En Colombia los datos de salud son sensibles y requieren reglas estrictas: su uso sin autorización es irregular salvo excepciones legalmente previstas (por ejemplo, vigilancia epidemiológica bajo protocolos). Si la publicación fue en redes, en archivos compartidos o enviada a terceros sin su autorización, es probable que exista vulneración. Si hubo autorización firmada por usted para ese uso específico, la institución puede estar dentro de su derecho —aunque la autorización debe ser expresa, informada y delimitada.

También importa el daño: la mera divulgación puede ser sancionable, pero si hubo daño moral, discriminación o afectación de su trabajo o seguridad, el caso se vuelve más sólido para reclamar reparación. Finalmente, verifique si la entidad tenía medidas mínimas de seguridad (acceso restringido, registros de auditoría). La ausencia de controles agrava la responsabilidad.

Cómo se soluciona

1) Reúna la evidencia. Guarde capturas de pantalla, enlaces, mensajes, correos, números de teléfono que recibieron la información y fechas. Solicite testigos que puedan declarar haber visto o recibido la información. Imprima todo y guarde versiones digitales con metadatos cuando sea posible.

2) Dirija un derecho de petición al responsable del tratamiento (clínica, EPS, laboratorio o profesional) pidiendo: a) confirmación si existe tratamiento de sus datos; b) copia de los registros que contengan su información; c) relación de terceros a quienes se divulgó; d) medidas de seguridad que tenían; e) identificación del responsable que autorizó la divulgación. Solicite respuesta por escrito y constancia de radicación.

3) Si la respuesta es insuficiente o negativa, presente denuncia ante la Superintendencia de Industria y Comercio (SIC) por vulneración de datos personales. La SIC tramita quejas y puede imponer sanciones. Adjunte la prueba recopilada y la copia del derecho de petición y su respuesta.

4) Si la vulneración produce un riesgo para su salud, seguridad o derechos fundamentales (por ejemplo, exposición pública que impide recibir atención), puede interponer acción de tutela para obtener medidas de protección inmediatas: retiro de contenido, cese del tratamiento, copia del expediente, o medidas provisionales mientras se resuelve la tutela.

5) Evalúe la reclamación civil por daño moral y materiales. Si hubo perjuicio demostrable (pérdida de empleo, daño reputacional con consecuencias económicas), puede reclamar reparación ante la jurisdicción civil. Antes de demandar, considere la conciliación extrajudicial en derecho: puede ser requisito de procedibilidad y una vía de solución más rápida.

6) Si hay indicios de responsabilidad disciplinaria del profesional de la salud, puede presentar la queja ante la entidad profesional correspondiente (por ejemplo, la Secretaría de Salud local o el ente que regula esa profesión) para que avance investigación disciplinaria.

Qué puede pasar

1) Retiro o corrección del dato y acuerdo: muchas instituciones, cuando se enfrentan a una queja con pruebas, optan por retirar la información, ofrecer disculpas y, si procede, pagar una indemnización por daño moral. Es la solución más rápida y frecuente.

2) Sanciones administrativas o disciplinares: la SIC puede imponer sanciones por malas prácticas en el tratamiento de datos. Por otra parte, el profesional responsable puede enfrentar investigación disciplinaria que puede terminar en sanción profesional.

3) Proceso judicial por daño moral/ material: si no hay acuerdo, puede iniciar demanda civil. Si gana, la sentencia puede ordenar reparación y medidas de publicación de rectificación, pero ejecutar una sentencia contra un ente insolvente o con capacidad limitada puede complicar el cobro. Además, en procesos contra entidades públicas se abren procedimientos especiales.

Y si gana, ¿cobro? La condena judicial ordenará reparar, pero el efectivo cobro depende de la capacidad económica del responsable y de medidas de aseguramiento o ejecución forzosa.

Errores que arruinan el caso

• No conservar pruebas digitales (capturas, URLs), que después desaparecen.
• No radicar derecho de petición antes de la denuncia administrativa; la SIC suele requerir que se intenten vías previas.
• Enviar amenazas públicas o difundir más la información en busca de prueba: eso puede empeorar su reputación y su posición legal.
• Firmar acuerdos sin saber las consecuencias de renuncia de acciones futuras.
• No verificar quién es el responsable del tratamiento antes de dirigir la queja; a veces la clínica remite a un tercero y hay que demandar al entuerto correcto.