Especial para El Seguro en acción
Introducción al tema
Leyendo días atrás la página digital de “El País”[1], me encontré con una noticia que me llevó a reflexionar con mayor profundidad sobre el tema de nuestro título.
En efecto, la publicación titulada “Crece el fraude electrónico” señalaba que mientras el fraude electrónico crece y cambia de cara vertiginosamente, las medidas tomadas por sus potenciales víctimas para protegerse tienden a ser estáticas.
Decía que, en una entrevista con Efe, el director ejecutivo de Easy Solutions, una multinacional de origen colombiano dedicada a la detección y prevención del fraude electrónico, afirmó que ningún ámbito conectado a Internet, salvo que esté adecuadamente protegido, está a salvo de la acción de los «hackers». Afirmaba el ejecutivo que adoptar leyes contra la delincuencia electrónica no siempre es la solución pues “legislar lleva tiempo y los ataques evolucionan más rápidamente que las regulaciones».
Para este ingeniero de sistemas formado en Bogotá, el ciberataque sufrido por Sony, atribuido a «hackers» de Corea del Norte, es el mejor ejemplo reciente para comprender que el peligro está en todas partes.
Señalaba asimismo que «los hackers no se quedaron en la industria financiera», sector que fue el primero en ser víctima de los fraudes electrónicos; a medida que la conectividad ha ido siendo mayor, los delincuentes electrónicos han puesto su mira en sectores como la salud, que les proporciona recursos mediante la venta de los historiales médicos o cobrando «rescate» por devolverlos.
El negocio de la detección y prevención de fraudes electrónicos mueve al año en el mundo unos 4.700 millones de dólares, de los cuales 546 millones, un 22,5 % del total, corresponde a Latinoamérica, según las cifras que maneja Easy Solutions.
Nuestro enfoque
En ocasión de la conferencia dictada en el IV Congreso del Grupo de Trabajo internacional de A.I.D.A. (sigla que es mundialmente utilizada en francés por los más de 63 países que conforman la Asociación Internacional de Derecho de Seguros) que hace del objeto de su estudio, la influencia de las Nuevas (y no tan nuevas) tecnologías en la prevención y los seguros, tuvimos oportunidad de acercarnos al tema de la e-salud[2] y, en especial, de la seguridad de las historias clínicas electrónicas , así como conocer otras experiencias sobre este tema existentes en el mundo.
En esta oportunidad, intentaremos responder a las siguientes interrogantes:
- ¿Expediente clínico electrónico es sinónimo de historia clínica electrónica?;
- ¿Qué recaudos deben tomarse en torno a la historia clínica electrónica, como documento y como conjunto de datos, a fin de salvaguardar la privacidad y la confidencialidad de los datos en un ambiente cibernético “seguro”?;
- ¿Qué papel juegan en este tema las Leyes de protección de datos personales, como ser en Uruguay la Ley N° 18.331 de 2008?;
- ¿Cuánto influyen las Regulaciones específicas relativas al expediente clínico electrónico o historia clínica electrónica?
Asimismo, efectuaremos una reflexión final acerca de la Seguridad ciberespacial, pues todo el tema de la e-salud, incluida la historia clínica electrónica, se basa en plataformas de Internet y en web institucionales, y por lo tanto cabe preguntarse si es suficiente con la seguridad actual en este sentido.
¿Expediente clínico electrónico es sinónimo de historia clínica electrónica?
Veamos la definición contenida en una plataforma de servicios de México: https://www.isis-salud.com/Especificaciones- Definición ISO Expediente Clínico Electrónico:
“El expediente clínico electrónico es un repositorio (lugar de almacenamiento) de los datos del paciente en formato digital, que se almacenan e intercambian de manera segura y puede ser accedido por múltiples usuarios autorizados. Contiene información retrospectiva, concurrente y prospectiva y su principal propósito es soportar de manera continua, eficiente, con calidad e integral la atención y cuidados de salud.”
Se resaltan como virtudes del sistema que mediante el expediente clínico electrónico se puede brindar información más completa a los médicos y habilitar la comunicación al instante entre médicos de distintas unidades. De esta forma se logra mejorar la forma de trabajo de los médicos y elevar la calidad de atención a los derechohabientes.
El Expediente Clínico Electrónico del Paciente, interactúa con sistemas como el de Laboratorio, Banco de Sangre, Hemodiálisis y otros, usando mensajería conforme a los estándares internacionales a través de una plataforma que se comunica con otros sistemas a nivel nacional.
En la República Oriental del Uruguay, el Decreto 396/003 del año 2003, da una definición de la historia clínica electrónica con un alcance similar al de expediente clínico electrónico.
Dice el mencionado Decreto: “ A los efectos de este Decreto, se entiende por historia clínica electrónica el conjunto de datos clínicos, sociales y financieros referidos a la salud de una persona, procesados a través de medios informáticos o telemáticos.”
Como vemos, el concepto de Expediente clínico electrónico supera simplemente la recopilación de datos clínicos o de salud del paciente, y la confusión o asimilación al concepto de historia clínica electrónica, es corriente, dando a este último concepto una amplitud también mayor que la simple recopilación de datos médicos.
La Historia clínica electrónica como documento y como conjunto de datos
Siguiendo en este punto las enseñanzas del Dr. Carlos Delpiazzo, destacado profesor uruguayo especialista en Derecho informático, señalamos que el estudio de la temática relacionada a la historia clínica requiere de un doble enfoque: debemos analizar la historia clínica como documento y como conjunto de datos.[3]
En ambos enfoques, surge como necesario el prestar la debida atención a los aspectos de privacidad, confidencialidad y protección de los datos contenidos en la historia clínica electrónica.
La Historia clínica como documento, parte del concepto habitual de documento, como cosa material, con una finalidad representativa, que se usa como prueba, con distinto valor probatorio de acuerdo a si es una escritura pública o un acto privado.
Un documento al que calificamos de electrónico, es aquel que, o bien es formado por el computador o lo es por medio del computador.
En el primer caso el computador no se limita a materializar una voluntad externa, sino que también determina el contenido de esa voluntad. Cuando se programa un computador para que frente a determinado supuesto emita una consecuencia, en realidad tenemos un documento electrónico en sentido estricto, formado por el computador.
Si el documento en cambio es formado por medio del computador, el computador simplemente manifiesta una voluntad ya expresada. Por ejemplo, el médico consigna determinadas características referidas a la situación del paciente al que acaba de examinar y en lugar de hacerlo de puño y letra, lo hace a través del computador, lo imprime y lo guarda en la historia clínica tradicional. En este caso utilizó el computador como una herramienta para documentar, pero lo tradujo luego a un soporte papel. En sentido amplio, también a éste se le llama documento electrónico.[4]
Respecto pues, a la historia clínica electrónica como documento, debemos analizar tres elementos: su valor probatorio, su autenticidad y su seguridad.
En cuanto a su valor probatorio, cabe preguntarse si la historia clínica puede ser tratada automáticamente, y en tal sentido puede ser admitida como medio de prueba, y además si puede ser valorada por el juez como tal medio de prueba.
En Uruguay la respuesta a ambas preguntas es afirmativa, en base a distintas normas, ya desde el año 1.988 con la Ley N° 16.002 y posteriormente la Ley N° 16.736 de 1.996 y Decretos reglamentarios.
En base a la normativa, puede considerarse equivalente a una escritura pública, porque la ley dice que la documentación emergente de la transmisión por medios informáticos o telemáticos hará plena fe, lo que equivale a decir que se considera que lo que allí está, es lo que es y por lo tanto será necesario en todo caso realizar prueba en contrario si se trata de acreditar que lo que allí se consigna, no es lo que es.
En cuanto a su autenticidad, con el surgimiento de la informática se ha pasado del campo del «documentador hombre», al campo del «documentador máquina», y por lo tanto los medios tradicionales de autenticación, y de modo particular la firma, ya no sirven.
Tal cambio obliga a acudir a otros elementos de autenticación. En la jerga habitual del Derecho informático, se habla de la firma electrónica, que lejos de ser una firma es un conjunto de códigos secretos, combinaciones de cifras o letras o de ambas, de la encriptación, de determinadas características del reconocimiento por el computador de algún rasgo biométrico, o algún otro elemento biunívocamente asociable a un determinado sujeto.[5]
Respecto a la seguridad, debemos analizar la incidencia en este tema de la firma electrónica y de la intangibilidad del documento.
En cuanto a la seguridad y la firma electrónica, cabe señalar primeramente que la temática de la seguridad del documento electrónico no se agota con la firma electrónica pero es un aspecto de suma importancia vinculado con la certeza de que lo que en él se consignó emana de quien se dice que emana. No solo se trata de disponer de buenos códigos secretos sino de que esos códigos secretos sean manejados exclusivamente por quienes los deban manejar.
Si el código secreto es dejado en otras manos o a la vista en el consultorio compartido, puede ocurrir algo mucho más sofisticado que la falsificación de la firma porque en realidad aquí no va a existir falsificación. La contraseña va a ser correcta y va a ser necesario probar que alguien se valió de ese elemento para autenticar algo que no le pertenece o para alterar, por la posibilidad de acceso a esa clave, un determinado contenido
En cuanto a la seguridad y la intangibilidad del documento electrónico, partimos de la base que un sistema informático que no fuere seguro, que no estuviere dotado de unas reglas básicas de confiabilidad, podría verse expuesto, por ejemplo, a la posibilidad de ser alterado por otra persona que tuviera un acceso no controlado a esa historia clínica electrónica.
No puede ser igual el acceso a la historia clínica por el médico tratante que por el funcionario de la oficina de Registros Médicos. Este podrá relevar determinada información y probablemente no toda, pero no podrá modificar esa información.
Es decir que estaríamos frente a dos hipótesis distintas de acceso, con características diversas en cuanto a su alcance.
La Historia clínica como conjunto de datos, se relaciona con el rol de las leyes de protección de datos en vistas a lograr la debida privacidad y guardar la debida confidencialidad de los datos en ella consignados.
Lo primero que viene a la mente en cuanto a la historia clínica como conjunto de datos, es la evolución en el tratamiento de los datos que las leyes de protección de datos han sufrido en el correr de los años.
En este sentido, la doctrina habla de leyes de protección de datos de primera, segunda y tercera generación.
Las leyes de primera generación, se centran en el problema de los datos concentrados en grandes bases de datos que permitían el conocimiento de toda esa información a través de distintas modalidades de ingreso, en tiempo prácticamente real. Se buscaba proteger el derecho a la intimidad, a la privacidad
Las leyes de segunda generación ponen énfasis en la circulación de datos. La existencia de mucha mayor cantidad de datos descentralizados en múltiples bases de datos, muchas de ellas conectadas entre sí, de manera que esos datos viajan y permanecen.
Buscan proteger a los individuos en una nueva manifestación del derecho a la intimidad, que se ha llamado libertad informática, que consiste en saber dónde hay datos que refieren a mi persona, qué datos hay con relación a mí, y si hay datos erróneos, que esos datos puedan ser rectificados, y en su caso eliminados.
La tercera generación de normas sobre protección de datos, apuntan al trasiego internacional de datos. Teniendo en cuenta el fenómeno telemático, ya no tiene demasiado sentido proteger con normas nacionales el dato personal, porque el dato personal atraviesa las fronteras de los Estados sin pedirle permiso a nadie, sin pasar bajo el control de ninguna oficina aduanera ni de ninguna otra autoridad.[6]
Así, en la Unión Europea las normas se expresan en Directivas, normas de Derecho comunitario, supranacional, realidad todavía no extrapolable a nuestro Mercosur. Este aún no admite un Derecho supranacional sino que sólo admite un Derecho de igual naturaleza intergubernamental, es decir, no superior al Derecho de cada uno de los Estados.
En Uruguay, la Ley de protección de datos es la N° 18.331 de 2008 que modificó la anterior ley sobre el tema, la Ley N° 17.838 de 2004.
Cabe resaltar que la Ley de 2008 protege especialmente los datos sensibles y dedica todo un capítulo IV a reglarlo. Sin dudas la salud es un dato sensible y queda incluida dentro de la protección de este capítulo y de la normativa toda.
El artículo 5 consagra que la actuación de los responsables de las bases de datos, tanto públicos como privados, y, en general, de todos quienes actúen en relación a datos personales de terceros, deberá ajustarse a los siguientes principios generales:
- Legalidad: se centra en la debida inscripción de las bases;
- Veracidad: exige datos veraces, adecuados, ecuánimes y no excesivos;
- Finalidad: apunta a que los datos no sean utilizados para fines distintos al motivo de su recolección;
- D) Previo consentimiento informado: consagra que el tratamiento de datos personales es lícito cuando el titular hubiere prestado su consentimiento libre, previo, expreso e informado, el que deberá documentarse.
- E) Seguridad de los datos: el responsable o usuario de base deberá adoptar medidas para garantizar la seguridad y confidencialidad de los datos.
- F) Reserva: exige el uso reservado de los datos, la no difusión a terceros, el guardar a su respecto, el debido secreto profesional.
- G) Responsabilidad: el responsable de la base de datos lo es por violación a la ley analizada.
El capítulo IV como dijimos, refiere a los datos sensibles
Dice el Artículo 18: “Datos sensibles.- Ninguna persona puede ser obligada a proporcionar datos sensibles. Éstos sólo podrán ser objeto de tratamiento con el consentimiento expreso y escrito del titular”.
Los datos sensibles sólo pueden ser recolectados y objeto de tratamiento cuando medien razones de interés general autorizadas por ley, o cuando el organismo solicitante tenga mandato legal para hacerlo. También podrán ser tratados con finalidades estadísticas o científicas cuando se disocien de sus titulares.
Y específicamente en cuanto a los datos relativos a la salud, consagra el Artículo 19: “Datos relativos a la salud.- Los establecimientos sanitarios públicos o privados y los profesionales vinculados a las ciencias de la salud pueden recolectar y tratar los datos personales relativos a la salud física o mental de los pacientes que acudan a los mismos o que estén o hubieren estado bajo tratamiento de aquéllos, respetando los principios del secreto profesional, la normativa específica y lo establecido en la presente ley”.
Por cierto, la Ley N° 18.331 prevé asimismo, mecanismos de defensa del titular del dato. Consagra en el artículo 37 la llamada acción de Habeas data, estableciendo: “Toda persona tendrá derecho a entablar una acción judicial efectiva para tomar conocimiento de los datos referidos a su persona y de su finalidad y uso, que consten en bases de datos públicos o privados; y en caso de error, falsedad, prohibición de tratamiento, discriminación o desactualización, a exigir su rectificación, inclusión, supresión o lo que entienda corresponder”.
El papel de las Regulaciones específicas relativas al expediente clínico electrónico o historia clínica electrónica
En Uruguay existen normas reglamentarias sobre las historias clínicas que establecen su régimen en cuanto a contenido, archivo y aspectos de seguridad.
Ya el Decreto N° 258/992 del año 1992 se encargaba de regular el tratamiento electrónico de los datos en salud consagrando: “El médico debe llevar un registro escrito de todos los procedimientos, sean diagnósticos o terapéuticos que indique al paciente, estando obligado a consignar la semiología consignada y la evolución del caso. Dicho registro, llevado en ficha o historia clínica, sea en forma escrita, electrónica u otra, constituirá de por sí, documentación auténtica y hará plena fe de su contenido a todos los efectos”.
Luego el Decreto N° 204/ 001 de 23 de mayo de 2001 reguló en el mismo sentido y finalmente el Decreto Nº 396/003 sobre “Historia clínica electrónica única de cada persona” reglamentó en debida forma el tema.
En así que en su artículo 1°, el Decreto 396/003 declara de interés público el establecimiento de la historia clínica electrónica única de cada persona, desde el registro perinatal hasta el fallecimiento.
En el artículo 3º, referido al valor probatorio, declara que toda historia clínica en medio electrónico constituye documentación auténtica y como tal será válida y admisible como medio probatorio, haciendo plena fe a todos los efectos, siempre que esté debidamente autenticada.
Su artículo 4º se encarga de la autenticidad y declara que se considerará debidamente autenticada toda historia clínica en medio electrónico cuyo contenido esté validado por una o más firmas electrónicas mediante claves u otras técnicas seguras de acuerdo al estado de la tecnología informática.
Respecto a la seguridad, el artículo 5º establece que a efectos de dotar de seguridad a las historias clínicas electrónicas, será de responsabilidad de cada institución de asistencia médica, pública o privada, particular o colectiva, determinar las formas y procedimientos de administración y custodia de las claves de acceso y demás técnicas que se usen.
El artículo 6° complementa el tema de seguridad y estatuye que la divulgación de la clave o contraseña personal de cualquier sujeto que disponga de la misma, constituirá falta gravísima, aún cuando la clave o contraseña no llegase a ser utilizada.
En cuanto a los principios y objetivos, el artículo 8° consagra que el sistema de historia clínica electrónica única de cada persona, deberá ajustarse en todo momento a los siguientes principios generales:
- finalidad; B) veracidad; C) confidencialidad; D) accesibilidad; E) titularidad particular.
En suma, consagra que los datos consignados en la historia clínica no podrán ser usados en forma nominada para otros fines que no sean los asistenciales. Los datos relativos a la salud de la persona se consideran personales y sensibles, por lo que no podrán ser objeto de tratamiento nominado alguno por medios informáticos o telemáticos, a menos que medie para ello expreso consentimiento informado del interesado.
Reflexión final: ¿existe seguridad en el ciberespacio?
Dado que el tema de la e-salud y de la historia o expediente clínico electrónico se basa en la utilización de web institucionales y plataformas de Internet de uso nacional e internacional, cabe preguntarse por la seguridad general de la Internet. En especial, recordando el artículo que citamos en nuestra introducción al tema que nos convoca…
Sin pretender profundizar en el tema, sino simplemente como planteo final para la reflexión, presento el caso de las llaves de seguridad de Internet.
Resulta ser que un uruguayo, el Ingeniero Carlos Martínez, posee una de las siete llaves de seguridad de Internet.[7]
Se trata de siete llaves físicas mediante las cuales es posible acceder a la clave maestra con la que se puede tomar por completo el control de Internet.
Cada servicio de Internet (sitios y correos) tiene un número identificador, llamado IP. Es como el número de la cédula de identidad: personal e intransferible. Para que las personas no tengan que recordar estos números se inventó un sistema llamado DNS que traduce esos números en el nombre de los sitios (que adoptan el formato: www.XXXX.com, o .com.YY).
Estos expertos verifican que el nombre de cada web corresponda con ese número. Todos esos datos están en un archivo. Lo que hace el Ing. Martínez, junto al resto de los portadores de llaves, es actualizar la clave de ese documento para que no sea vulnerado. Una vez cada tres meses, 7 integrantes llegan a Los Ángeles, acceden a una caja que contiene tarjetas inteligentes que activan un sistema que produce esa clave maestra.
Si un cibercriminal pudiera acceder a ese archivo podría hacerse del control de la información mundial. Y por ejemplo podría hacer que una persona ingrese a un sitio web falso de un banco y le roben dinero de su cuenta.
En realidad son 14 expertos en seguridad informática de todo el mundo que poseen una llave cada uno; 7 trabajan en una sede de la ICANN (sigla en inglés de la Corporación de Internet para la Asignación de Nombres y Números) del lado este y otros 7 en la sede del lado oeste, de Estados Unidos. O sea, el sistema ofrece el backup de los 7 que manipulan las llaves cada vez.
Es obvia la importancia de esta tarea, pero asimismo su vulnerabilidad.
En reportaje del Diario “El País” de 9 de marzo de 2014 afirmaba el Ing. Martínez que la llave la tiene guardada “apropiadamente” y que no la saca sino para ir a Los Ángeles y cuando eso ocurre la lleva en su equipaje de mano…
Como reflexión final, luego de leer la nota mi sensación era de satisfacción inicial, por el importante rol de un uruguayo, y seguidamente de relativa incertidumbre e inseguridad.
Esto ya que me preguntaba si esa llave, que es la llave de la cual depende buena parte, al menos una séptima parte, de la seguridad del ciberespacio, ya no solo de nuestra historia clínica electrónica, ¿estaría segura en un equipaje de mano?… dejo planteada, a los estimados lectores, la interrogante.
Dra. Andrea Signorino Barbat
Doctora en Derecho y Ciencias Sociales, Traductora Pública, Universidad de la República Oriental del Uruguay.
Presidente de CILA- Comité Ibero-Latinoamericano de AIDA (Association Internationale du Droit des Assurances) , Presidente de AIDA-Sección Uruguaya, Presidente del Grupo de Nuevas Tecnologías y Seguros en CILA, Presidente de la Asociación Uruguaya de Derecho Marítimo, Miembro de la Comisión Honoraria Asesora del Poder Ejecutivo en seguros,
Asesora legal experta en Derecho de seguros, Profesora de grado y postgrado en materia de seguros en Argentina, Brasil, Colombia y Uruguay.
[1] http://www.elpais.com.uy/vida-actual/crece-fraude-electronico.html
[2] Podemos sintetizar que la e- salud es la aplicación de la tecnología a la salud para mejorar las herramientas de los actores que intervienen en el proceso sanitario con el fin de mejorar la calidad de la atención de los pacientes. Comprende no solo la historia clínica electrónica, sino también la Telemedicina, los equipos de trabajo virtuales para el cuidado del paciente, la difusión de información al paciente y al especialista, entre otros.
[3] Dr. Carlos Delpiazzo. Artículo: La historia clínica electrónica en www.elderechodigital.com.uy/sumplemento derecho médico/doctrina
[4] Dr. Carlos Delpiazzo en op.citado.
[5] Dr. Carlos Delpiazzo en op. citado.
[6] Dr. Carlos Delpiazzo en op.citado
[7] En base a la publicación del Diario “El País” de Montevideo, Uruguay, en fecha 9 de marzo de 2014.
