Preguntas
“2. CONSULTA: ¿Se debe considerar que las COMPAÑÍAS DE SEGUROS son ENCARGADAS DE DATOS PEROSNALES al tenor de lo dispuesto en el artículo 34 de la LOPDP cuando éstas acceden a la información de los pacientes recolectada y transmitida por un ESTABLECIMIENTO DE SALUD, si esta transmisión se hace por cuenta y por pedido de los pacientes contratantes del seguro, es decir sin que exista relación contractual entre el establecimiento y la aseguradora?”
Criterios jurídicos
1.1.La Pontificia Universidad Católica del Ecuador (PUCE) ha manifestado lo siguiente:
“ I. INTRODUCCIÓN Este documento tiene como objetivo determinar en qué circunstancias una compañía de seguros puede ser calificada como encargada del tratamiento de datos personales, en particular cuando accede a información médica de pacientes transmitida por establecimientos de salud, considerando que dicha transmisión se realiza por solicitud y consentimiento del titular, y no existe una relación contractual entre el establecimiento de salud y la aseguradora.
II. ANÁLISIS JURÍDICO CONSULTA: ¿Se debe considerar que las COMPAÑIÁS DE SEGUROS son ENCARGAS DE DATOS PERSONALES al tenor de lo dispuesto en el artículo 34 de la LOPDP cuando éstas acceden a la información de los pacientes recolectada y transmitida por un ESTABLECIMIENTO DE SALUD, si esta transmisión se hace por cuenta y por pedido de los pacientes contratantes del seguro, es decir sin que exista relación contractual entre el establecimiento y la aseguradora?
¿Qué determina la calidad de responsable o encargado del tratamiento de datos personales? Según la Ley Orgánica de Protección de Datos (LOPDP) y, el Reglamento a la Ley Orgánica de Protección de Datos (RLOPDP), el criterio esencial para determinar el rol de responsable o encargado de datos es la autonomía de decisión de los fines y medios del propósito del tratamiento.
Si la persona natural o jurídica define para qué y cómo usar los datos, es responsable. De otra parte, si ejecuta instrucciones establecidas se la debe considerar como encargado del tratamiento.
Si una entidad define “para qué” (fines) y “cómo” (medios esenciales) se tratan los datos, debe ser considerada responsable del tratamiento. Si se limita a tratar los datos conforme a las instrucciones contractuales de otro sujeto, sin autonomía decisoria, será considerado encargado del tratamiento.
Escenario 1: La Compañía de Seguros recibe datos personales por solicitud del paciente contratante del seguro. En la consulta planteada por la Superintendencia de Datos Personales (SPDP), en el que un paciente solicita a un hospital que solicita que se remita su historia clínica a una aseguradora para, por ejemplo, tramitar un reembolso, se analiza que la compañía de seguros actúa como responsable del tratamiento de datos personales. Esta calificación se sustenta en que no existe una relación contractual entre el hospital y la aseguradora que configure un encargo de tratamiento conforme a los artículos 34 y 41 de la LOPDP y el RLOPDP respectivamente.
Además, la aseguradora determina de forma autónoma los fines del tratamiento (como verificación de cobertura, análisis de riesgo, índice de siniestralidad, detección de fraude, etc.) y los medios utilizados, lo que cumple con el criterio de autonomía establecido en el artículo 4 de la LOPDP de la definición de responsable. El tratamiento de los datos se realiza en virtud de la relación contractual entre el titular y la aseguradora, no por cuenta de un particular, por lo que no corresponde calificarla como encargada del tratamiento en el contexto planteado.
En consecuencia, la aseguradora asume la calidad de responsable del tratamiento, en virtud de la relación contractual que mantiene directamente con el paciente, quien es el titular de los datos personales.
III. CONCLUSIONES 1. La aseguradora no es encargada del tratamiento cuando trata datos personales de pacientes por solicitud del titular y con fines propios, aunque la información provenga de un establecimiento de salud. En tal caso, es responsable receptor del tratamiento.
2. Solo será encargada del tratamiento si: ? Existe una relación contractual con un responsable ? El tratamiento es por cuenta e instrucciones del responsable ? No se utilizan los datos para fines propios, ? Se suscribe un contrato conforme al art. 34 de la LOPDP y del artículo 24 del RLOPD.
3. El consentimiento del titular de datos personales (paciente) habilita la transferencia, pero no configura una relación de encargo entre el establecimiento de salud y la compañía de seguro.
4. El consentimiento del titular no convierte automáticamente a un receptor de datos en encargado. La relación jurídica subyacente y el propósito del tratamiento son claves. ”
1.2. La Universidad de Guayaquil (UG) ha manifestado lo siguiente:
“Por medio del presente, traslado para su conocimiento y atención pertinente, el contenido del Memorando No. UG-PS-2025-0499-M, emitido por la Procuraduría Síndica de la Universidad de Guayaquil, en atención al Oficio N.º SPDP-IRD-2025-0075-O, del 28 de mayo de 2024, suscrito por la abogada Camila Valdez González, Intendente General de Regulación de Protección de Datos Personales (Subrogante), que en su parte pertinente expresa lo siguiente:
“En virtud de lo establecido en el Artículo 7 de la Resolución N.º SPDP-SPDP-2024-0012-R, que faculta a la autoridad competente a solicitar criterio jurídico de personas jurídicas de derecho público relacionadas con el tema consultado, consideramos necesario realizar las siguientes precisiones:
Si bien la Universidad de Guayaquil constituye una persona jurídica de derecho público, es preciso señalar que no mantiene relación directa con la materia objeto de consulta, específicamente en lo que respecta a temas de salud y seguros privados, ni posee atribuciones legales, competencias técnicas o conocimiento especializado en el ámbito de la protección de datos personales en dichos contextos.
En este sentido, emitir un pronunciamiento jurídico sobre esta materia implicaría actuar fuera del ámbito de competencias institucionales que rigen a esta entidad de educación superior, lo cual contraviene que las entidades públicas deben actuar exclusivamente dentro del marco de las funciones y finalidades que la ley les ha asignado.
La finalidad de la Universidad de Guayaquil se encuentra claramente establecida en el Artículo 350 de la Constitución de la República del Ecuador, que dispone: “El sistema de educación superior tiene como finalidad la formación académica y profesional con visión científica y humanista; la investigación científica y tecnológica; la innovación, promoción, desarrollo y difusión de los saberes y las culturas; la construcción de soluciones para los problemas del país, en relación con los objetivos del régimen de desarrollo.
De igual manera, el Artículo 13 de la Ley Orgánica de Educación Superior (LOES) manifiesta las Funciones del Sistema de Educación Superior.
Así mismo el Artículo 1 del Estatuto Universitario define como misión de esta institución la formación de profesionales mediante las funciones sustantivas de docencia, investigación, vinculación con la sociedad y gestión, promoviendo el desarrollo sostenible del país. A ello se suma lo dispuesto en el Artículo 2 del Reglamento Orgánico de Gestión Organizacional por Procesos de la Universidad de Guayaquil, el cual enumera los fines institucionales, orientados a la generación del conocimiento, la formación académica y el aporte al desarrollo científico, tecnológico y social del país.
Por tanto, y en cumplimiento de las disposiciones constitucionales, legales y reglamentarias que rigen el accionar de la Universidad de Guayaquil, así como en observancia del principio de legalidad y el principio de eficacia, los cuales exigen que las entidades públicas actúen únicamente dentro del marco de la ley y sus competencias, nos abstenemos de emitir el criterio jurídico solicitado, al no encontrarse esta materia dentro de nuestra esfera de competencias ni cumplir con los requisitos establecidos en el Artículo 7 de la Resolución N.º SPDP-SPDP-2024- 0012-R.
Finalmente, esta decisión responde a la necesidad de evitar un pronunciamiento que pudiera resultar impreciso o inadecuado, dada la falta de atribuciones y conocimientos técnicos específicos en el ámbito consultado, salvaguardando así la responsabilidad institucional y el respeto al marco normativo vigente. (…)».
En atención al o expuesto en líneas precedentes, esta Procuraduría Síndica se abstiene de emitir el criterio jurídico solicitado, al no encontrarse esta materia dentro de nuestra esfera de competencias ni cumplir con los requisitos establecidos en el Artículo 7 de la Resolución Nº SPDP-SPDP-2024-0012-R.
Finalmente, esta decisión responde a la necesidad de evitar un pronunciamiento que pudiera resultar impreciso o inadecuado, dada la falta de atribuciones y conocimientos técnicos específicos en el ámbito consultado, salvaguardando así la responsabilidad institucional y el respeto al marco normativo vigente.
Sin otro particular, reitero nuestra disposición para colaborar en todo aquello que se enmarque dentro de nuestras competencias institucionales y áreas de conocimiento.”
En mérito de la recomendación emitida por la Procuraduría Síndica, en mi calidad de Rector de esta institución de educación superior, de conformidad a las atribuciones contempladas en el Estatuto de la Universidad de Guayaquil, me permito señalar que esta institución no mantiene relación directa con la materia objeto de consulta, específicamente en lo que respecta a temas de salud y seguros privados, ni posee atribuciones legales, competencias técnicas o conocimiento especializado en el ámbito de la protección de datos personales en dichos contextos. En este sentido, emitir un pronunciamiento jurídico sobre esta materia implicaría actuar fuera del ámbito de competencias institucionales que rigen a esta entidad de educación superior, lo cual contraviene que las entidades públicas deben actuar exclusivamente dentro del marco de las funciones y finalidades que la ley les ha asignado.
Particular que comunico para los fines pertinentes, con sentimientos de distinguida consideración.”
1.3. La Fundación Ciudadanía y Desarrollo (FCD) ha manifestado lo siguiente:
“En atención a su oficio SPDP-IRD-2025-0072-O, mediante el cual se solicita a la Fundación Ciudadanía y Desarrollo (FCD) un criterio jurídico no vinculante respecto a la consulta elevada por el Hospital de los Valles S.A. (HODEVALLES), nos permitimos remitir el presente pronunciamiento, elaborado con base en el artículo 34 de la Ley Orgánica de Protección de Datos Personales (LOPDP), así como en normativa comparada, criterios doctrinales y pronunciamientos de autoridades de protección de datos de jurisdicciones relevantes.
FORMULACIÓN DEL PROBLEMA La consulta planteada gira en torno a la determinación del rol que corresponde asumir a una compañía de seguros que accede a datos personales de salud transmitidos por un establecimiento sanitario, a solicitud del titular de los datos, sin que medie una relación contractual directa entre dicho establecimiento y la aseguradora. Específicamente, se pregunta si, en virtud del artículo 34 de la Ley Orgánica de Protección de Datos Personales (en adelante, “LOPDP”), la aseguradora debe ser considerada un «encargado del tratamiento» cuando recibe y utiliza los datos del paciente con el propósito de cumplir con sus obligaciones contractuales frente al asegurado.
MARCO NORMATIVO NACIONAL La LOPDP, en su artículo 34, establece las categorías de «responsable del tratamiento» y «encargado del tratamiento», las cuales constituyen pilares fundamentales del régimen de protección de datos personales vigente en el Ecuador. Así, el responsable del tratamiento es definido como la persona natural o jurídica, pública o privada, que «decide sobre la finalidad y los medios del tratamiento de datos personales», mientras que el encargado es «la persona natural o jurídica, pública o privada, que trata datos personales por cuenta del responsable del tratamiento».
De esta definición se desprende un criterio funcional, conforme al cual lo determinante para calificar a un sujeto como responsable o encargado no es la denominación formal que se le otorgue, sino su grado de autonomía en la toma de decisiones respecto del tratamiento. En efecto, el elemento definitorio del encargado del tratamiento es su carácter subordinado a las instrucciones del responsable, en el marco de una relación jurídica que, conforme al artículo 35 de la LOPDP, deberá constar en un contrato u otro acto jurídico vinculante. Este contrato debe establecer expresamente que el encargado actuará «únicamente siguiendo instrucciones documentadas del responsable», así como prever cláusulas específicas sobre confidencialidad, seguridad, conservación, y demás garantías.
De manera adicional, debe considerarse que el tratamiento de datos personales relativos a la salud reviste carácter especialmente sensible, conforme lo dispone el artículo 25 de la LOPDP, por lo que su tratamiento está sujeto a un régimen reforzado de protección. La transmisión de este tipo de datos entre un prestador de salud y un tercero —como una aseguradora— requiere, en principio, una base de licitud específica, que puede encontrarse en el consentimiento expreso del titular o en otras causales habilitantes previstas en la ley, como la ejecución de un contrato en el que el titular sea parte, siempre que se observen los principios de finalidad, proporcionalidad, necesidad y minimización de datos (art. 8 de la LOPDP).
ANÁLISIS JURÍDICO 1. Autonomía funcional de los establecimientos de salud y de las compañías de seguros
El tratamiento de datos personales por parte de los establecimientos de salud se enmarca dentro de su función legal y constitucional de prestar servicios médicos, lo cual implica la recopilación, almacenamiento y uso de datos sensibles, tales como antecedentes médicos, diagnósticos y tratamientos. En ese sentido, la legislación sanitaria ecuatoriana —en especial la Ley Orgánica de Salud y la Ley Orgánica de Derechos y Amparo al Paciente— impone al prestador de salud obligaciones legales específicas, incluyendo la custodia de la historia clínica, la confidencialidad de la información y el uso restringido de dichos datos exclusivamente para fines asistenciales. Esta normativa sectorial robustece la calificación del establecimiento de salud como responsable del tratamiento, en tanto define de forma autónoma los fines (prestación del servicio sanitario) y los medios (procesos, tecnologías y mecanismos de archivo) del tratamiento.
Cuando, en virtud de su derecho a la autodeterminación informativa, el titular de los datos (paciente) solicita o consiente la transferencia de cierta información médica a su aseguradora para efectos de gestión de cobertura o reembolso, se configura una situación en la que la compañía de seguros accede a datos personales sensibles generados inicialmente por el prestador. Sin embargo, dicho acceso no implica que la aseguradora actúe en nombre o por cuenta del establecimiento sanitario. Muy por el contrario, la aseguradora recibe y trata la información con base en una relación contractual independiente con el titular y para fines propios —como la verificación del siniestro, la autorización de procedimientos, o la determinación de indemnizaciones— que escapan al control y dirección del prestador de salud. Esta autonomía decisoria respecto de los fines y medios del tratamiento excluye la figura de encargado y permite calificar a la aseguradora como responsable del tratamiento.
Este razonamiento encuentra respaldo en la doctrina y jurisprudencia comparada, que, como se expondrá infra, coincide en identificar a hospitales y aseguradoras como responsables diferenciados cuando ambos actúan con finalidades autónomas.
2. Inexistencia de relación de encargaduría
Para que pueda configurarse una relación de encargaduría del tratamiento, la normativa ecuatoriana requiere, además del elemento funcional de subordinación a las instrucciones del responsable, la existencia de un contrato o acto jurídico vinculante que regule expresamente dicha relación. Este contrato, conforme al artículo 35 de la LOPDP, debe contener disposiciones relativas a las instrucciones documentadas, confidencialidad, medidas de seguridad, devolución o supresión de datos, entre otras. En el caso bajo análisis, no existe vínculo contractual entre el establecimiento de salud y la aseguradora que permita sustentar una relación de encargaduría. La transferencia de información ocurre exclusivamente por mandato o autorización del titular, lo que implica una cesión de datos entre dos responsables que actúan con base en sus propias competencias y finalidades legales. La aseguradora no está sometida a las directrices del prestador de salud, ni ejecuta tratamientos por encargo de éste; por el contrario, la aseguradora define sus propios criterios de gestión y conservación de la información recibida, en ejercicio de su rol de financiador o garantizador de servicios médicos.
3. Análisis comparado: armonización con estándares internacionales
La interpretación expuesta se encuentra en línea con los criterios adoptados por diversas jurisdicciones con regímenes normativos consolidados en materia de protección de datos personales: • En Brasil, la Ley General de Protección de Datos (LGPD) y los pronunciamientos de la Autoridade Nacional de Proteção de Dados (ANPD) establecen que hospitales y aseguradoras actúan como responsables independientes. El tratamiento de datos de salud por parte de una aseguradora exige una base legal específica, como el consentimiento del titular o el cumplimiento de una obligación legal derivada del contrato de seguro. • En Argentina, la Ley Nº 25.326 tampoco contempla la figura del encargado de manera expresa, pero la doctrina local ha interpretado que los prestadores de salud y las aseguradoras actúan como responsables autónomos, dado que cada uno determina los fines y medios de sus respectivos tratamientos, conforme a la relación jurídica que mantienen con el titular. • En Colombia, la Ley 1581 de 2012 y la jurisprudencia de la Corte Constitucional reconocen la historia clínica como un documento reservado, y a las entidades prestadoras de salud y a las aseguradoras como responsables independientes. La entrega de información médica está condicionada al consentimiento del paciente o a una habilitación legal específica. • En España, la Agencia Española de Protección de Datos ha establecido que los centros sanitarios que atienden a asegurados no son encargados del tratamiento de las aseguradoras, sino responsables del tratamiento conforme a la Ley 41/2002 y al Reglamento General de Protección de Datos (RGPD). A su vez, la aseguradora es responsable del tratamiento por los datos que recibe y gestiona para fines contractuales. • En el marco de la Unión Europea, conforme a los artículos 4, 26 y 28 del RGPD, se distingue entre responsables y encargados según el criterio de autonomía decisoria. El Comité Europeo de Protección de Datos ha reiterado que, en ausencia de instrucciones vinculantes, cada entidad que determine los fines del tratamiento actúa como responsable. La transferencia de información entre un hospital y una aseguradora, mediando consentimiento del titular o una base legal suficiente, constituye una cesión entre responsables y no una relación de encargaduría.
Estas coincidencias refuerzan la validez del enfoque propuesto para el caso ecuatoriano, en tanto privilegian la función sustantiva y no la mera formalidad del flujo de datos para determinar los roles y responsabilidades de los actores involucrados.
CONCLUSIÓN
En virtud de los fundamentos expuestos, este criterio estima que, en el escenario consultado, no se configura una relación de encargaduría entre el establecimiento de salud y la compañía de seguros. Por el contrario, ambas entidades deben ser consideradas responsables del tratamiento de datos personales dentro del ámbito de sus respectivas competencias y finalidades. El establecimiento de salud es responsable del tratamiento de los datos clínicos generados durante la atención sanitaria, conforme a las disposiciones legales y éticas aplicables al ejercicio profesional y a la gestión de la historia clínica. La aseguradora, por su parte, actúa como responsable respecto de los datos que recibe y trata para verificar siniestros, gestionar coberturas y ejecutar el contrato de seguro suscrito con el titular.
La base de licitud para la transferencia de datos entre ambas entidades podrá encontrarse en el consentimiento expreso, libre, informado y específico del titular de los datos, o en otras causales habilitantes conforme al artículo 7 de la LOPDP, tales como la ejecución del contrato de seguro en el que el titular sea parte. En cualquier caso, el tratamiento deberá observar los principios rectores del régimen de protección de datos personales, especialmente los de finalidad, minimización, proporcionalidad, integridad y confidencialidad.
Finalmente, se resalta que esta interpretación se encuentra alineada con estándares normativos internacionales y con el enfoque adoptado por autoridades de protección de datos en jurisdicciones comparables, lo que refuerza su validez como parámetro técnico y jurídico para la elaboración de criterios generales por parte de esa Superintendencia.
Sin otro particular, reiteramos nuestra disposición para ampliar o complementar el presente criterio, en caso de ser requerido, y aprovechamos la ocasión para saludarle con la consideración más distinguida.”
1.4. El Hospital Metropolitano S.A.S. (HM) ha manifestado lo siguiente:
“Por medio de la presente, me permito extenderle un cordial saludo. Desde el sector empresarial, le deseamos éxito en el desarrollo de sus funciones.
En relación con el criterio jurídico no vinculante solicitado al Hospital-Metropolitano S.A.S. con respecto de una consulta de protección de datos personales realizada por otra institución hospitalaria y actuando en virtud de la consulta remitida a través del Oficio No. SPDP-IRD-2025-0071-O, notificado el 28 de mayo de 2025 a través de correo electrónico, por encargo del Gerente General de la Institución, procedemos a dar respuesta.
La consulta realizada menciona lo siguiente:
“¿Se debe considerar que las COMPAÑIÁS DE SEGUROS son ENCARGADAS DE DATOS PERSONALES, al tenor de lo dispuesto en el artículo 34 de la LOPDP, cuando éstas acceden a la información de los pacientes recolectada y transmitida por un ESTABLECIMIENTO DE SALUD, si esta transmisión se hace por cuenta y por pedido de los pacientes contratantes del seguro, es decir sin que exista relación contractual entre el establecimiento y la aseguradora?”
Hemos revisado detalladamente su consulta y, tras un análisis minucioso, consideramos que las compañías de seguros no pueden ser consideradas encargadas del tratamiento de datos personales al tenor del artículo 34 de la Ley Orgánica de Protección de Datos Personales (LOPDP) del Ecuador, incluso cuando acceden a información de pacientes recolectada y transmitida por un establecimiento de salud a pedido de los propios pacientes asegurados, y sin que exista una relación contractual directa entre el establecimiento de salud y la aseguradora.
Nuestra posición se fundamenta en los siguientes puntos clave, tomando en consideración que su pregunta establece que no existe relación contractual entre el establecimiento y la aseguradora:
1. El titular (asegurado) tiene derecho a conocer y a obtener, gratuitamente, del responsable de tratamiento (establecimiento de salud) acceso a todos sus datos personales y a la información sensible, sin necesidad de presentar justificación alguna, como lo establece el artículo 13 de la Ley Orgánica de Protección de Datos Personales.
2.En el presente caso, el rol de la compañía de seguros se ajusta a la definición de un «tercero» establecida en el artículo 4, numeral 6, del Reglamento a la Ley Orgánica de Protección de Datos Personales. Dicho reglamento lo define como tercero a: «toda persona natural o jurídica, autoridad pública, servicio u organismo distinto del titular, del responsable del tratamiento, del encargado del tratamiento y de las personas autorizadas para tratar los datos personales bajo la autoridad directa del responsable».
3. Esta clasificación se fundamenta en que las aseguradoras actúan como responsables del tratamiento respecto de dichos datos, operando de manera independiente al responsable original (el establecimiento de salud), en virtud de su propia relación contractual con el asegurado y las instrucciones de éste.
4. Por otro lado, cuando la solicitud de datos personales se realice directamente entre un establecimiento de salud (como responsable del tratamiento) y una compañía de seguros (como tercero), resulta fundamental que exista un contrato de cesión o comunicación de datos personales para instrumentar dicha solicitud, regulando un tratamiento adecuado.
5. Bajo esta perspectiva, consideramos que resulta fundamental haber obtenido el consentimiento previo, explícito e informado del titular de los datos para la cesión de su información personal a un tercero (aseguradora). Esto implica que la aseguradora debe estar en capacidad de demostrar fehacientemente que cuenta con dicho consentimiento.
6. Es preciso señalar que la comunicación de los datos deberá respetar el principio de proporcionalidad, consagrado por el artículo 10 literal f) de la Ley Orgánica de Protección de Datos Personales. En consecuencia, no podrán ser comunicados, ni solicitados por la compañía de seguros, más datos que los que resulten adecuados, pertinentes y no excesivos para determinar la cobertura que habrá de ser satisfecha en virtud del contrato que se mantenga.
Para optimizar y transparentar los roles dentro de nuestro giro de negocio, sería sumamente útil que la Superintendencia de Protección de Datos Personales proponga y desarrolle una guía integral donde se clarifiquen los roles. Para esta iniciativa, recomendamos se busque la participación activa de todos los actores relevantes: establecimientos de salud (considerando que hospitales, clínicas y centros de salud), compañías de seguros y corredores de seguros (brokers).
Con esta iniciativa se podrá, de una manera objetiva, esclarecer y definir con precisión las responsabilidades, roles y participación que tiene cada uno dentro de su giro de negocio. Al hacerlo, no solo fortaleceremos la coordinación y eficiencia, sino que también garantizaremos una mayor calidad y seguridad en la atención a los pacientes, eliminando cualquier confusión.
Esperamos que nuestra respuesta permita avanzar en la adecuada regulación de los roles para el tratamiento de datos personales en el sector de la Salud.
Cualquier requerimiento adicional o clarificación, la recibiré en el correo electrónico XXXX”
1.5. La Federación Ecuatoriana de Empresas de Seguros (FEDESEG) ha manifestado lo siguiente:
“1. ANTECEDENTES
a) Mediante oficio No. SPDP-IRD-2025-0073-O de 28 de mayo de 2025 y notificado el 29 de los mismos mes y año, la Superintendencia de Protección de Datos Personales, puso en conocimiento de FEDESEG la consulta formulada por HDV, quien en lo principal del texto puesto en nuestro conocimiento, dice:
“1. ASUNTO: Determinación del REPONSABLE (SIC) y el ENCARGADO DE DATOS en el manejo de datos de pacientes entre los ESTABLECIMIENTOS DE SALUD y COMPAÑÍAS DE SEGUROS, conforme el Artículo 34 de la Ley Orgánica de Protección de Datos Personales. 2. CONSULTA: ¿Se debe considerar que las COMPAÑIÁS DE SEGUROS son ENCARGAS DE DAROS PERSNALES (SIC) al tenor de lo dispuesto en el artículo 34 de la LOPDP cuando éstas acceden a la información de los pacientes recolectada y transmitida por un ESTABLECIMIENTO DE SALUD, si esta transmisión se hace por cuenta y por pedido de los pacientes contratantes del seguro, es decir sin que exista relación contractual entre el establecimiento y la aseguradora?”
b) Conforme se desprende del texto, no se ha puesto en conocimiento de esta Federación ningún otro antecedente que pueda arrojar hechos o situaciones jurídicas que puedan ser de especial consideración para nuestras agremiadas; en consecuencia, este documento plasma una posición netamente jurídica construida sobre las premisas constantes en el requerimiento de Su Autoridad y no son aplicables a un caso específico.
2. ANÁLISIS JURÍDICO
2.1. PRESTACIÓN DE UN SERVICIO DEL ENCARGADO AL RESPONSABLE
El contenido del artículo 34 de la Ley Orgánica de Protección de Datos Personales – en adelante, LOPDP- establece en su parte pertinente:
“Art. 34.-Acceso a datos personales por parte del encargado.- No se considerará transferencia o comunicación en el caso de que el encargado acceda a datos personales para la prestación de un servicio al responsable del tratamiento de datos personales. El tercero que ha accedido legítimamente a datos personales en estas consideraciones será considerado encargado del tratamiento.
El tratamiento de datos personales realizado por el encargado deberá estar regulado por un contrato, en el que se establezca de manera clara y precisa que el encargado del tratamiento de datos personales tratará únicamente los mismos conforme las instrucciones del responsable y que no los utilizará para finalidades diferentes a las señaladas en el contrato, ni que los transferirá o comunicará ni siquiera para su conservación a otras personas.
Una vez que se haya cumplido la prestación contractual, los datos personales deberán ser destruidos o devueltos al responsable del tratamiento de datos personales bajo la supervisión de la Autoridad de Protección de Datos Personales. El encargado será responsable de las infracciones derivadas del incumplimiento de las condiciones de tratamiento de datos personales establecidas en la presente ley.”
De la norma transcrita y que ha sido invocada por el consultante, se identifica una serie de presupuestos jurídicos para la existencia de un encargo de tratamiento de datos personales. En este sentido, se tendrá lo siguiente:
a) En primer lugar, necesariamente deberá existir un acceso a datos personales que se encuentran bajo tratamiento de un responsable de aquellos.
b) En segundo lugar, quien accede debe necesariamente hacerlo a título de una PRESTACIÓN DE UN SERVICIO al responsable de tratamiento de datos personales.
c) Para los efectos del tratamiento, además del contrato civil o mercantil existente y que justifique la prestación de un servicio al responsable, debe también existir un contrato que regule tanto el tratamiento, la finalidad, conservación y ciclo de vida del dato personal que se está transmitiendo/accediendo.
Bajo lo anotado, se ha de evidenciar dos aristas de trascendental importancia: (a) por una parte, la prestación de un servicio hace presuponer justamente la necesidad de regular aspectos contractuales de esa relación biyectiva, incluyendo el tratamiento de datos; y, (b) la necesidad de que el encargado de tratamiento de datos -como consecuencia de la relación- se adhiera tanto a las directrices que para el efecto emita el responsable, como a las condiciones técnicas de tratamiento de esos datos.
En este contexto, de los presupuestos de la consulta, no se evidencia la existencia de un contrato o convenio comercial o civil suscrito entre HDV (o cualquier otro establecimiento de salud en general) y las aseguradoras; por el contrario, la misma consulta es clara al establecer como condición preexistente “el pedido de los pacientes contratantes del seguro, es decir sin que exista relación contractual entre el establecimiento y la aseguradora.”, afirmación que abordaremos más adelante.
COROLARIO 1: La inexistencia de una prestación de servicios de la aseguradora al establecimiento de salud, hace imposible la configuración de un encargo de tratamiento de datos.
2.2. CONSENTIMIENTO
Conforme se ha establecido de la misma estructura de la consulta, se reconoce la existencia de una relación contractual entre la aseguradora y el asegurado ya establecida al momento de generar el acceso a datos personales, esto es, el contrato de seguros.
Bajo esta relación, el asegurado ha solicitado al establecimiento de salud que le permita a la aseguradora acceder a sus datos; en consecuencia, el acceso al que se refiere la consulta se da en el seno de una relación contractual aseguradoraasegurado y no aseguradora-hospital. Ahora bien, el vehículo procedimental que permite ejecutar precisamente ese acceso a datos personales por parte de la aseguradora es la propia solicitud del asegurado, por lo que, cuando el establecimiento transfiere dichos datos a la aseguradora, está cumpliendo la orden expresa del titular de datos.
COROLARIO 2: El acceso de la aseguradora a los datos personales de un contratante de seguro, en el caso planteado, se daría en virtud de la petición del asegurado (titular de datos); evidenciándose así, además, la causal de legitimación contenida en el artículo 7.1. de la LOPDP en concordancia con el art. 8 íbidem.
3. CRITERIO
Del análisis efectuado, FEDESEG emite el siguiente criterio:
3.1. Las aseguradoras no son encargadas de tratamiento de datos personales cuando estas acceden a petición del asegurado, a los datos que están en tratamiento por parte de un establecimiento de salud, por cuanto: 3.1.1. No existe una relación contractual de prestación de servicio entre las aseguradoras y los establecimientos de salud; puesto que el servicio de las aseguradoras se presta directamente al asegurado. 3.1.2. El acceso a los datos se da como consecuencia de la solicitud/autorización otorgada por el titular de los datos personales. 3.1.3. El acceso a los datos personales se efectúa como una consecuencia de la ejecución contractual abordada en el numeral 3.1.1. de esta misma sección.”
Análisis
De conformidad con lo dispuesto en el numeral 9 del primer inciso del artículo 10 de la Resolución N° SPDP-SPDP-2024-0001-R que aprobó el Estatuto de Arranque de la SPDP y, en ejercicio de la competencia administrativa delegada a la Intendencia General de Regulación de Protección de Datos Personales, establecida en el literal c del artículo 4 de la Resolución N° SPDP-SPD-2025-0001-R, se procede a emitir como en efecto se emite la presente absolución de consulta a nombre y en representación de la Superintendencia de Protección de Datos Personales en el siguiente sentido:
El numeral 19 del artículo 66 de la Constitución de la República del Ecuador (“CRE”) reconoce el derecho a la protección de datos personales estableciendo lo siguiente:
“Art. 66.- Se reconoce y garantizará a las personas: (…) 19. El derecho a la protección de datos de carácter personal, que incluye el acceso y la decisión sobre información y datos de este carácter, así como su correspondiente protección. La recolección, archivo, procesamiento, distribución o difusión de estos datos o información requerirán la autorización del titular o el mandato de la ley (…)” (énfasis agregado).
En concordancia con el artículo previamente citado, el artículo 4 de la LOPDP establece:
“Art.4.- Términos y definiciones.- Para los efectos de la aplicación de la presente Ley se establecen las siguientes definiciones: (…)
Destinatario: Persona natural o jurídica que ha sido comunicada con datos personales.
Encargado del tratamiento de datos personales: Persona natural o jurídica, pública o privada, autoridad pública, u otro organismo que solo o conjuntamente con otros trate datos personales a nombre y por cuenta de un responsable de tratamiento de datos personales.
Responsable de tratamiento de datos personales: persona natural o jurídica, pública o privada, autoridad pública, u otro organismo, que solo o conjuntamente con otros decide sobre la finalidad y el tratamiento de datos personales.
Transferencia o comunicación: Manifestación, declaración, entrega, consulta, interconexión, cesión, transmisión, difusión, divulgación o cualquier forma de revelación de datos personales realizada a una persona distinta al titular, responsable o encargado del tratamiento de datos personales. Los datos personales que comuniquen deben ser exactos, completos y actualizados.
Tratamiento: Cualquier operación o conjunto de operaciones realizadas sobre datos personales, ya sea por procedimientos técnicos de carácter automatizado, parcialmente automatizado o no automatizado, tales como: la recogida, recopilación, obtención, registro, organización, estructuración, conservación, custodia, adaptación, modificación, eliminación, indexación, extracción, consulta, elaboración, utilización, posesión, aprovechamiento, distribución, cesión, comunicación o transferencia, o cualquier otra forma de habilitación de acceso, cotejo, interconexión, limitación, supresión, destrucción y, en general, cualquier uso de datos personales.” (énfasis agregado).
El artículo 5 de la LOPDP dispone lo siguiente:
“Art. 5.- Integrantes del sistema de protección de datos personales.- Son parte del sistema de protección de datos personales, los siguientes: 1) Titular; 2) Responsable del tratamiento; 3) Encargado del tratamiento; 4) Destinatario; 5) Autoridad de Protección de Datos Personales; y, 6) Delegado de protección de datos personales.”
El artículo 34 y 35 de la LOPDP mencionan:
“Art. 34.- Acceso a datos personales por parte del encargado.- No se considerará transferencia o comunicación en el caso de que el encargado acceda a datos personales para la prestación de un servicio al responsable del tratamiento de datos personales. El tercero que ha accedido legítimamente a datos personales en estas consideraciones, será considerado encargado del tratamiento. El tratamiento de datos personales realizado por el encargado deberá estar regulado por un contrato, en el que se establezca de manera clara y precisa que el encargado del tratamiento de datos personales tratará únicamente los mismos conforme las instrucciones del responsable y que no los utilizará para finalidades diferentes a las señaladas en el contrato, ni que los transferirá o comunicará ni siquiera para su conservación a otras personas. Una vez que se haya cumplido la prestación contractual, los datos personales deberán ser destruidos o devueltos al responsable del tratamiento de datos personales bajo la supervisión de la Autoridad de Protección de Datos Personales. El encargado será responsable de las infracciones derivadas del incumplimiento de las condiciones de tratamiento de datos personales establecidas en la presente Ley.
Art. 35.- Acceso a datos personales por parte de terceros.- No se considerará transferencia o comunicación cuando el acceso a datos personales por un tercero sea necesario para la prestación de un servicio al responsable del tratamiento de datos personales. El tercero que ha accedido a datos personales en estas condiciones debió hacerlo legítimamente. El tratamiento de datos personales realizado por terceros deberá estar regulado por un contrato, en el que se establezca de manera clara y precisa que el encargado del tratamiento de datos personales tratará únicamente los mismos conforme las instrucciones del responsable y que no los utilizará para finalidades diferentes a las señaladas en el contrato, ni que los transferirá o comunicará ni siquiera para su conservación a otras personas. Una vez que se haya cumplido la prestación contractual, los datos personales deberán ser destruidos o devueltos al responsable del tratamiento de datos personales bajo la supervisión de la autoridad de protección de datos personales. El tercero será responsable de las infracciones derivadas del incumplimiento de las condiciones de tratamiento de datos personales establecidas en la presente Ley.” (énfasis agregado).
En concordancia con lo previamente mencionado el Acuerdo Ministerial N° 5216 en su última reforma 2021 emitió el Reglamento de Información Confidencial en Sistema Nacional de Salud donde en su artículo 7 menciona lo siguiente:
“Art. 7.- Por documentos que contienen información de salud se entienden: historias clínicas, resultados de exámenes de laboratorio, imagenología y otros procedimientos, tarjetas de registro de atenciones médicas con indicación de diagnóstico y tratamientos, siendo los datos consignados en ellos confidenciales. El uso de los documentos que contienen información de salud no se podrá autorizar para fines diferentes a los concernientes a la atención de los/las usuarios/as, evaluación de la calidad de los servicios, análisis estadístico, investigación y docencia. Toda persona que intervenga en su elaboración o que tenga acceso a su contenido, está obligada a guardar la confidencialidad respecto de la información constante en los documentos antes mencionados. La autorización para el uso de estos documentos antes señalados, es potestad privativa del/a usuario/a o representante legal. En caso de investigaciones realizadas por autoridades públicas competentes sobre violaciones a derechos de las personas, no podrá invocarse reserva de accesibilidad a la información contenida en los documentos que contienen información de salud.” (énfasis agregado).
En este sentido, el Código Orgánico Monetario y Financiero Libro III Ley General Seguros (“COMF III”) en su artículo 3 dispone:
“Art. 3.- Son empresas que realicen operaciones de seguros las compañías anónimas y cooperativas de seguros constituidas en el territorio nacional y las sucursales de empresas extranjeras, establecidas en el país, en concordancia con lo dispuesto en la presente Ley y cuyo objeto exclusivo es el negocio de asumir directa o indirectamente o aceptar y ceder riesgos en base a primas. Las empresas de seguros podrán desarrollar otras actividades afines o complementarias con el giro normal de sus negocios, excepto aquellas que tengan relación con los asesores productores de seguros, intermediarios de seguros y peritos de seguros con previa autorización de la Superintendencia de Compañías, Valores y Seguros. Las empresas de seguros son: de seguros generales, de seguros de vida y las que operaban al 3 de abril de 1998 en conjunto en las dos actividades. «Las empresas de seguros que se constituyeron a partir del 3 de abril de 1998, sólo podrán operar en seguros generales o en seguros de vida». Nota: Frase entre comillas del inciso segundo, fue declarada inconstitucional por Resolución de la Corte Constitucional No. 5, publicada en Registro Oficial Suplemento 57 de 24 de Julio del 2018. Las de seguros generales.- Son aquellas que aseguren los riesgos causados por afecciones, pérdidas o daños de la salud, de los bienes o del patrimonio y los riesgos de fianza o garantías. Las de seguros de vida.- Son aquellas que cubren los riesgos de las personas o que garanticen a éstas dentro o al término de un plazo, un capital o una renta periódica para el asegurado y sus beneficiarios. Las empresas de seguros de vida, tendrán objeto exclusivo y deberán constituirse con capital, administración y contabilidad propias. Las empresas de seguros que operen conjuntamente en los ramos de seguros generales y en el ramo de seguros de vida, continuarán manteniendo contabilidades separadas.” (énfasis agregado).
El artículo 7 del COMF III establece:
“Art. 7.- Son asesores productores de seguros: a) Los agentes de seguros, personas naturales que a nombre de una empresa de seguros se dedican a gestionar y obtener contratos de seguros, se regirán por el contrato de trabajo suscrito entre las partes y no podrán prestar tales servicios en más de una entidad aseguradora por clase de seguros; y, los agentes de seguros, personas naturales que a nombre de una o varias empresas de seguros se dedican a obtener contratos de seguros, se regirán por el contrato mercantil de agenciamientos suscrito entre las partes; b) Las agencias asesoras productoras de seguros, personas jurídicas con organización cuya única actividad es la de gestionar y obtener contratos de seguros para una o varias empresas de seguros o de medicina prepagada autorizada a operar en el país. Las empresas de seguros serán solidariamente responsables por los actos ordenados o ejecutados por los agentes de seguros y las agencias asesoras productoras de seguros dentro de las facultades contenidas en los respectivos contratos.” (énfasis agregado).
Con base en la normativa previamente citada, es menester precisar la figura del responsable y del encargado del tratamiento como uno de los sujetos principales integrantes del sistema de protección de datos personales en el tratamiento de datos personales y el ciclo de vida de los mismos. De acuerdo con lo establecido por la LOPDP el responsable del tratamiento es toda persona natural o jurídica de naturaleza pública o privada, autoridad pública, u otro organismo que decida sobre la finalidad de tratamiento de los datos personales. Cabe mencionar que se considera tratamiento de datos personales a cualquier conjunto de operaciones que se realice sobre esto, ya sea desde el mero acceso a información que contenga datos personales hasta la eliminación o conservación de los mismos. Por otro lado, la figura del encargado del tratamiento de datos personales corresponde a una persona natural o jurídica, de naturaleza pública o privada, autoridad pública u otro organismo que trate datos personales a nombre y por cuenta de un responsable de tratamiento, en este sentido, se tiene que entender a este integrante dentro del ciclo de vida del dato en relación con el artículo 34 y 35 de la LOPDP.
El artículo 34 menciona que, el “[a]cceso a datos personales por parte del encargado.- No se considerará transferencia o comunicación en el caso de que el encargado acceda a datos personales para la prestación de un servicio al responsable del tratamiento (…)”, es así que el tratamiento de datos personales por parte de un encargado a los datos del responsable del tratamiento no puede considerarse una transferencia ni comunicación de datos personales de acuerdo con lo establecido en la misma LOPDP, por lo que su acción rectora es encargar. En concordancia, a lo mencionado el artículo 35 de la LOPDP menciona que:
“Acceso a datos personales por parte de terceros.- No se considerará transferencia o comunicación cuando el acceso a datos personales por un tercero sea necesario para la prestación de un servicio al responsable del tratamiento de datos personales. El tercero que ha accedido a datos personales en estas condiciones debió hacerlo legítimamente.
El tratamiento de datos personales realizado por terceros deberá estar regulado por un contrato, en el que se establezca de manera clara y precisa que el encargado (…)” (énfasis agregado).
Es así que el artículo previamente citado, es necesario analizarlo para el presente caso en tres aspectos específicos. El primero, corresponde a que hace referencia a terceros que tengan acceso a datos personales, siendo esto una acción considerada una forma de tratamiento, por lo que se debe entender que el tercero que tenga el mero acceso -como mínimo- va a ejecutar un tratamiento a datos personales que estén en posesión del responsable del tratamiento. Esto se relaciona con el segundo aspecto, que hace referencia a que este acceso sea necesario para la prestación de un servicio al responsable del tratamiento, esto hace que éste se convierta en un encargado del tratamiento debido a que pasa a realizar un tratamiento de datos personales que fue solicitado – contratado- por parte del responsable del tratamiento, y tiene acceso a datos personales a los cuales, en ciertos casos, por sí solo no hubiera podido obtener. Además, en ciertos casos, algunos encargados del tratamiento de datos personales pueden ser identificados, ya que su actividad económica depende directamente de la existencia de otro actor con el que mantienen una relación funcional o comercial. Por ejemplo, los negocios que son reclutadores de personal para otras empresas, esto por sí solos no tendrían una función, ya que su esencia es buscar personas que encajen en perfiles específicos solicitados por otras empresas. El tercer aspecto por analizar es que el artículo previamente citado, en su segundo párrafo, establece que este acceso por parte de terceros que se dé para la prestación de un servicio debe contar con un contrato de encargo, por lo tanto, la LOPDP, convierte a dicho sujeto en un encargado del tratamiento de datos personales.
Ahora bien, una vez aclaradas las figuras del responsable y del encargado del tratamiento es necesario mencionar que dentro de los integrantes del sistema de protección de datos personales también forma parte de éste el destinatario, a quien la norma lo define como cualquier persona natural o jurídica a quien se le comunican datos personales. En este sentido se aclara que todo destinatario al momento que trata datos personales y los destina para una finalidad específica se convierte o asume la calidad de un responsable del tratamiento, por lo tanto, en este sentido, todo destinatario que trate datos personales será un responsable de tratamiento. Así mismo, es necesario dejar en claro que un destinatario nunca podrá detentar la calidad de encargado.
Así también, es oportuno analizar la definición que la LOPDP da al destinatario, ya que la señala como la “[p]ersona natural o jurídica que ha sido comunicada con datos personales”. En este sentido, el legislador al usar el verbo rector “comunicar”, éste se relaciona en concordancia con la definición que da posteriormente el artículo 4 de la LOPDP respecto del concepto “transferencia o comunicación”, mencionando que se considerará como tales a la “[m]anifestación, declaración, entrega, consulta, interconexión, cesión, transmisión, difusión, divulgación o cualquier forma de revelación de datos personales realizada a una persona distinta al titular, responsable o encargado del tratamiento de datos personales. Los datos personales que comuniquen deben ser exactos, completos y actualizados” (énfasis agregado), es así que hay que entender que las acciones de transferencia y/o comunicación no constituyen bajo ninguna circunstancia en un encargo de tratamiento de datos personales con base en los artículos 34 y 35 de la LOPDP.
Con base en el análisis previamente realizado, esta Autoridad se permite señalar de manera enfática, que en la legislación ecuatoriana no existe ni es lógicamente aplicable el concepto de “responsables independientes”, esto debido a que el mero hecho de ser un responsable implica que una persona natural o jurídica, de naturaleza pública o privada, autoridad pública u otro organismo, trata en su actividad datos personales para uno o varios tratamientos de datos personales decidiendo la finalidad de los mismos en forma independiente y autónoma, ya que si trataría datos con otro responsable serían responsables conjuntos. Por lo que se aclara que esta figura no existe en la legislación ecuatoriana, por lo que se recomienda se abstenga de usar dichos conceptos, ya que puede generar una confusión a los administrados.
Subsumiendo, el análisis previamente realizado al caso concreto consultado y tomando en cuenta lo mencionado por todas las personas jurídicas a quienes se ha solicitado su criterio jurídico previamente citado para determinar el alcance de la interrogante propuesta, se establece que un hospital – o centro de salud de cualquier naturaleza – cumple con los requisitos para ser considerado como responsable de tratamiento respecto a su giro de negocio y para las finalidades específicas que sean necesarias para brindar servicios relacionados a la salud, de los cuales se van a proporcionar datos personales por parte de los pacientes -titulares de datos personales- y se van a obtener nuevos datos personales sensibles de salud después de procesar la información de los pacientes como es el caso de obtención de análisis médicos. Por otro lado, las compañías de seguros y las empresas asesoras productoras de seguros tienen su propio giro de negocio, cuyo alcance específico se encuentra señalados en el COMF III. Para las compañías de seguros se reconocen que éstas tienen como “objeto exclusivo (…) el negocio de asumir directa o indirectamente o aceptar y ceder riesgos en base a primas”, lo que les convierte en responsables de tratamiento para los fines específicos para los cuales destinan los datos personales de los asegurados -titulares de datos personales- y, en este sentido el titular de datos personales contrata directamente con la empresa de seguros o, en su defecto, a través de una empresas asesora y productora de seguros -bróker-, lo que se convierte a la empresa de seguros en responsable del tratamiento del servicio que el asegurado haya contratado.
En el caso de las empresas asesoras y productoras de seguros, el COMF III establece como su objeto “la de gestionar y obtener contratos de seguros para una o varias empresas de seguros o de medicina prepagada autorizada a operar en el país”, por lo que dentro del ciclo de vida de cada dato personal que obtengan de los asegurados -titulares de datos personales que sean personas naturales- y mientras traten datos personales, tendrán la calidad de responsable de tratamiento. Sin embargo, estas mismas empresas podrán detentar la calidad de encargado de tratamiento siempre y cuando en el ciclo de vida del dato y por la esencia del giro de su negocio realicen un tratamiento prestando un servicio a la empresa aseguradora.
En este sentido, se identifican para la presente Consulta, tres momentos específicos y cruciales donde se tratan datos personales para finalidades específicas. El primer momento es el tratamiento de datos personales por parte del establecimiento de salud, el cual destina para sus finalidades propias relacionadas a servicios de salud. El segundo momento se da cuando el titular de datos personales solicita que se transfiera la información de sus datos médicos de salud a la empresa de seguros ya sea la aseguradora o la empresa asesora y productora de seguros y estas últimas reciben la información. Finalmente, el tercer momento, se da cuando la empresa de seguros comienza a dar tratamiento a los datos personales recibidos para sus propias finalidades. En este sentido se detalla en el cuadro a continuación la calidad que ostentan cada empresa en cada uno de los momentos detallados:
Es así que, como se detalla anteriormente, en el caso concreto planteado por el consultante, a la empresa de seguros y/o asesora y productora de seguros se los considera un destinatario en el momento de la transferencia de la información por parte del establecimiento de salud. Esto, debido a que el hospital realiza la entrega de información, la cual es una forma de transferencia según la LOPDP, sin embargo, al momento que la empresa de seguros y/o la empresa asesora y productora de seguros destina la información que recibió para sus propias finalidades asume la calidad de responsable del tratamiento para estas finalidades específicas propias de su giro de negocio. Distinto sería si la empresa aseguradora o asesora de seguros tiene un contrato directo con el establecimiento de salud donde tenga acceso a datos personales, lo que debería analizarse de manera específica en cada caso concreto.
Para mayor claridad se detalla el flujo de datos a continuación:
ES: establecimiento de salud
SB: seguros y bróker
RT: responsable de tratamiento
D: destinatario
Adicionalmente, cabe señalar que, al tratarse de datos personales sensibles de salud, estos son objeto de una mayor protección ya que pertenecen a la esfera íntima de la persona, por lo que tanto el hospital como las empresas de seguros deben cumplir con todos los requisitos que establecen la LOPDP respecto a la legitimación que se debe tener para tratar los mismos, tanto desde su recolección, su procesamiento, conservación hasta la eliminación. En este sentido se debe proteger los mismos en su confidencialidad, integridad y disponibilidad implementando medidas de seguridad orientadas a garantizar estos tres aspectos de los datos personales. Es así que, el Reglamento de Información Confidencial en Sistema Nacional de Salud, debe aplicarse de manera concordante con la LOPDP, en este sentido este menciona que “[l]a autorización para el uso de estos documentos antes señalados, es potestad privativa del/a usuario/a o representante legal (…)” por lo que es necesario que previo al envío de datos personales por parte de un hospital a una empresa de seguros o asesora y productora de seguros se deberá cumplir con todos los requisitos de transferencia de datos personales establecidos en el Capítulo V de la LOPDP y, además, con lo establecido en el Reglamento previamente citado.
Pronunciamiento
En atención a los términos de la consulta realizada mediante Oficio SN del 25 de marzo de 2025, al análisis realizado y dando respuesta a la consulta planteada por el Consultante se determina lo siguiente:
“¿Se debe considerar que las COMPAÑÍAS DE SEGUROS son ENCARGADAS DE DATOS PERSONALES al tenor de lo dispuesto en el artículo 34 de la LOPDP cuando éstas acceden a la información de los pacientes recolectada y transmitida por un ESTABLECIMIENTO DE SALUD, si esta transmisión se hace por cuenta y por pedido de los pacientes contratantes del seguro, es decir sin que exista relación contractual entre el establecimiento y la aseguradora?”
No. Las compañías de seguros y/o productoras y asesoras de seguros, en el momento en el que se les entrega información por parte de un establecimiento de salud, reciben los datos personales de titulares en calidad de destinatarias. Sin embargo, cuando estas mismas compañías de seguros y/o productoras y asesoras de seguros dan una finalidad propia a su giro de negocio a dichos datos, es decir, realizan un tratamiento a la información recibida para realizar sus propias finalidades, detentan la calidad de responsables de tratamiento.
Este pronunciamiento debe ser entendido en su integridad y su aplicación es de exclusiva responsabilidad del Consultante. Esta respuesta no tiene carácter vinculante ni genera efectos jurídicos generales, pues constituye únicamente una opinión técnica sobre la normativa aplicable en materia de protección de datos personales.
Su contenido no puede, en ningún caso, ser invocado para limitar, condicionar o impedir el ejercicio de las facultades de supervisión, control y sanción que corresponden a la Superintendencia de Protección de Datos Personales.