La app de salud compartió mis resultados con terceros

¿Tienes razón?

En los casos de datos de salud lo que determina si su reclamo es sólido son tres preguntas: fue el dato sensible en virtud de su naturaleza médica?, existía un consentimiento explícito, informado y específico para compartirlo con terceros?, la app cumplió con obligaciones básicas de seguridad y minimización? Si la respuesta a la segunda es negativa y el dato es efectivamente de salud, su posición es fuerte.

Las aplicaciones de salud deben tratar datos sensibles con atención: informarle de manera clara sobre finalidades, responsables y terceros destinatarios; obtener un consentimiento específico y documentado; y aplicar medidas técnicas y organizativas equivalentes a su sensibilidad. Si la app actúa como responsable o encargado y comparte resultados con socios comerciales sin su permiso, puede haber vulneración. Sin embargo, hay matices: puede existir base legal alternativa (por ejemplo, cumplimiento de una obligación legal o gestión médica) o cláusulas en términos y condiciones que usted aceptó y que describen cesiones concretas. La validez de esas cláusulas depende de si fueron proporcionadas y comprendidas antes del tratamiento.

Revise si la app habló de anonimización o agregación. Datos verdaderamente anonimizados dejan de ser datos personales; si la "compartición" fue de datos identificables, hablamos de un tratamiento personal. También verifique si la cesión produjo un uso que le afectó (discriminación, publicidad dirigida, filtración pública), porque el daño configura distintos remedios.

Cómo se soluciona

1) Reúna pruebas inmediatamente. Haga capturas de pantalla de la app, descargue sus datos si la app ofrece exportación, guarde correos o notificaciones que muestren la cesión. Anote las fechas y guarde cualquier evidencia de contacto con el tercero que recibió la información.

2) Solicite una explicación formal a la app. Envíe un correo o formulario pidiendo qué datos se compartieron, con qué finalidad, con qué terceros y en virtud de qué base legal. Pida la política de privacidad y el registro de tratamiento si corresponde.

3) Exija medidas correctoras. Pida que se elimine la cesión indebida, que se corrijan datos erróneos y que se informe a los destinatarios para que rectifiquen o eliminen la información. Solicite prueba de las medidas de seguridad aplicadas.

4) Presente una queja ante la autoridad competente. Si la respuesta de la app no es satisfactoria, eleve una queja ante la autoridad de protección de datos o la instancia regulatoria pertinente en Ecuador, adjuntando las pruebas y las comunicaciones.

5) Valore acciones civiles o penales. Si la cesión produjo daños (discriminación, pérdida de empleo, estigmatización), consulte con un abogado para valorar reclamaciones por daños y perjuicios o, si existe indicio de delito (por ejemplo, acceso indebido), acudir a la fiscalía.

Qué puede hacer usted sin abogado: recoger pruebas, pedir explicaciones y presentar la queja ante la autoridad. Necesitará abogado si quiere cuantificar daños, negociar acuerdos o llevar el caso a la jurisdicción.

Qué puede pasar

1) Resolución administrativa y rectificación. Lo más habitual es que la empresa corrija la conducta tras recibir presión documental y ofrezca medidas de mitigación: eliminación de datos o revisión de acuerdos de cesión.

2) Acuerdo extrajudicial. La empresa puede ofrecer una compensación o medidas para restaurar la privacidad —por ejemplo, eliminar registros en terceros— a cambio de no continuar con acciones. Ese arreglo puede ser razonable si la reparación es suficiente y se formaliza por escrito.

3) Procedimiento sancionador o judicial. Si la autoridad investiga y encuentra incumplimiento, puede imponer medidas correctoras. Si llega a juicio civil, tendrá que probar el daño. Si usted pierde en una disputa judicial por falta de pruebas o porque la cesión estuvo legalmente justificada, podrá quedar sin reparación y, en algunos supuestos, cargado con costas.

Y si gana, ¿cobro? Las reparaciones por vulneración de datos sensibles incluyen medidas de restitución y, si procede, indemnización por daño moral o patrimonial demostrable. Sin prueba de daño real, la reparación suele centrarse en medidas de corrección y garantías de no repetición.

Errores que arruinan el caso

• No guardar las pruebas de la cesión: capturas, exportaciones y comunicaciones.
• Borrar la app o restablecer el teléfono antes de exportar registros; eso puede destruir evidencia clave.
• No exigir datos concretos sobre quién recibió la información y con qué propósito.
• Aceptar acuerdos verbales sin formalizarlos por escrito.
• Confundir anonimización aparente con eliminación: pida pruebas de anonimización efectiva.