Preguntas
¿Cuál es el proceso de tratamiento de datos personales que deben seguir los establecimientos de salud, fabricantes, y/o titulares de registros sanitarios con respecto a la trazabilidad de las tarjetas de implante?
Análisis
Con base en la normativa previamente detallada, la CRE reconoce el derecho de protección de datos personales. De esta manera, esta garantía normativa se encuentra tutelada en la LOPDP, ley que goza con el carácter de orgánica por lo que regula el mandato constitucional em forma expresa. No obstante, previo a ejecutar un tratamiento de datos se debe contar con el habilitante que corresponda, es decir, tener una legitimación de carácter legal o disponer del consentimiento del titular de los datos. En este sentido, la CRE contempla que solo normas con rango de ley pueden ordenar el tratamiento de datos personales y de acuerdo con la misma las nomas con jerarquía de ley solo pueden ser emitidas por el poder legislativo esto es la Asamblea Nacional como se menciona en los artículos 118 y 120 CRE. Además, la LOPDP de manera expresa prevé que no todo dato personal contiene la misma carga de información identificable, por tal motivo se reconocen categorías especiales de datos, mismas que incorporan una mayor carga de información de un titular y pertenecen a la esfera más íntima de la persona, por lo cual deben recibir un mayor nivel de protección y seguridad. Es así que, con base en la ampliación de consulta presentada por CORPOMEDICA y la Resolución correspondiente del ARCSA, la tarjeta de implante contempla en su tratamiento datos de carácter básico y especial al ser de salud. Dicho dispositivo es una fuente que proporciona a los pacientes la información de la tarjeta de implante incorporada en el cuerpo humano y dependiendo del procedimiento o de la afección del paciente, este dispositivo médico tendrá información diferente según el caso clínico. En consecuencia, la tarjeta de implante identifica directamente a un titular de datos personales, y para la identificación y trazabilidad de este dispositivo se necesitan datos de categoría especial, es decir, de salud por lo que requiere un mayor de nivel de protección. Para poder realizar un tratamiento de datos personales sensibles se debe contar con una base de legitimación y, adicionalmente, se debe dar íntegro cumplimiento a lo establecido en el artículo 26 de la LOPDP. Por consiguiente, el tratamiento respecto a la fabricación, provisión y/o comercialización de tarjetas de implantes, las cuales llegan a almacenar datos de salud de un titular, deben cumplir con lo establecido en el numeral 19 del artículo 66 CRE y, contar con la debida legitimación establecida en el artículo 7 de la LOPDP junto con los principios establecidos en el artículo 10 LOPDP. Al ser un tratamiento de datos personales sensibles es necesario realizar el análisis de riesgo con la finalidad de poder identificar estos, las medidas de control aplicables y, si efectivamente es viable llevarlo a cabo. Una vez identificado que el tratamiento de datos personales conlleva un alto riesgo para los derechos y libertades del titular, es menester realizar una evaluación de impacto, puesto que así se podrá determinar la idoneidad, la necesidad, y la proporcionalidad del tratamiento como el impacto qué puede o podrá generarse a los derechos y libertades fundamentales de los titulares. En contexto con la normativa detallada, todos los establecimientos de salud, fabricantes y/o titulares de registro sanitario tienen la obligación disponer toda la información respectiva de las tarjetas de implante a fin de establecer la trazabilidad del dispositivo médico implantable para poder identificar y ejecutar las acciones necesarias en caso de presentarse los eventos adversos establecidos en el artículo 27 de la Resolución N°ARCSA-DE-2023-016-AKRG. Sin embargo, no se puede considerar que la base de legitimación para dicho tratamiento es la normativa establecida en la Resolución N° ARCSA-DE-2023-016-AKRG, ya que de acuerdo con el artículo 66.19 CRE, los tratamientos de datos personales solamente pueden estar legitimados en una norma con rango de Ley, por lo que en el presente caso concreto, si bien el ARCSA es la autoridad competente y emitió su normativa la cual es aplicable, la misma debe estar en armonía con la CRE y la LOPDP, por lo que no puede ser tomada como mandato legal por no tener dicho rango normativo, como una base de legitimación de tratamiento. Por ello, deberá cumplir con otra base que legitime el tratamiento de datos personales, el cual en el presente caso debería ser el consentimiento del titular de datos personales y, adicionalmente cumplir con los principios constitucionales y los contemplados en la LOPDP, especialmente lo relacionado a: finalidad, pertinencia y minimización; y, proporcionalidad. En atención ello, los establecimientos de salud, fabricantes y/o titulares de registro pueden realizar el tratamiento de datos personales con respecto a la trazabilidad de las tarjetas de implante de conformidad con la Resolución N°. ARCSA-DE-2023-016-AKRG, solicitando el consentimiento informado de los titulares, en vista de que deben salvaguardar la vida e integridad del paciente. No obstante, solamente se deberán tratar los datos relativos a: 1. Nombre del Establecimiento en el que se realiza el implante; 2. Identificación del paciente (nombre y apellido); 3. Fecha del implante; 4. Código ECRI o GMDN y Nombre Genérico del Dispositivo Médico de Uso Humano; 5. Nombre comercial del Dispositivo Médico de Uso Humano; 6. Número de lote o serie del Dispositivo Médico de Uso Humano; 7. Nombre y dirección del fabricante; 8. Nombre y dirección del importador; 9. Número del registro sanitario; y, 10. UDI, cuando aplique, en función a lo dispuesto mediante la Resolución N°. ARCSA-DE-2023-016-AKRG.
Pronunciamiento
Considerando la consulta presentada por COPROMEDICA mediante Oficio S/N de noviembre 28 de 2024 y dentro del contexto del análisis desarrollado, se concluye que los establecimientos de salud, fabricantes y/o titulares de registro sanitario deben cumplir con la Resolución N°. ARCSA-DE-2023-016-AKRG, sin embargo, se deberá solicitar el consentimiento de los titulares de datos personales y, deberán tratar únicamente los datos personales prescritos en el artículo 32 de la Resolución antes indicada, para lo cual se recomienda implementar las medidas de control adecuadas con el objeto de garantizar mayor nivel de protección y seguridad de los datos, y garantizar en todo momento los principios de finalidad, pertinencia y minimización de datos personales, y de proporcionalidad contemplados en los literales d., e. y f. del artículo 10 LOPDP. En atención a las consultas específicas planteadas por el consultante se contesta lo siguiente: “¿Cuál es el proceso de tratamiento de datos personales que deben seguir los establecimientos de salud, fabricantes, y/o titulares de registros sanitarios con respecto a la trazabilidad de las tarjetas de implante?”. “(…) se consulta ¿Cuál es el procedimiento de tratamiento de datos personales que deben realizar los establecimientos de salud, fabricantes y/o titulares de registros sanitarios, que manejan datos personales a través “tarjetas de implante” de los dispositivos médicos invasivos (implantes)? (…)” La SPDP determina que el ciclo de vida del dato en este tratamiento, inicia con la trazabilidad de las tarjetas de implante siempre que se solicite el consentimiento de los titulares, en este sentido la finalidad del tratamiento de acuerdo con la con la Resolución N° ARCSA-DE-2023-016-AKRG es establecer la trazabilidad del dispositivo médico implantable para identificar y ejecutar las acciones que se requieran en caso de presentarse eventos adversos que puedan afectar al paciente. Una vez terminada la finalidad para la cual se recabaron los datos personales, los mismos deberán ser conservados en otra base de datos de manera pasiva por el tiempo justificado necesario, posterior del cual los datos deberán ser eliminados. “(…) Y, de ser el caso ¿Qué finalidad del dato sería la pertinente en este caso? Esto, considerando las disposiciones previstas en la Ley Orgánica de Protección de Datos Personales y su Reglamento.” Como se mencionó anteriormente, la finalidad para tratar los datos personales de los pacientes es la mencionada en la Resolución N° ARCSA-DE-2023-016-AKRG, la cual establece la trazabilidad del dispositivo médico implantable para identificar y ejecutar las acciones que se requieran en caso de presentarse eventos adversos que puedan afectar al paciente. El presente pronunciamiento deberá ser entendido en su integridad y se limita a la consulta específica presentada por la consultante, siendo de exclusiva responsabilidad de la entidad consultante su aplicación.