Política de Protección de Datos Personales
Normativa integral de gobernanza, confidencialidad y custodia de datos personales y sensibles de salud en Centro Médico EndoGastro Puno.
Control Documental y Responsabilidad Institucional
Registro oficial de aprobación y vigencia institucional
Este documento establece las políticas de protección de datos aprobadas por el Titular-Gerente de EndoGastro. Toda persona que accede a los servicios o colabora con el centro médico se encuentra sujeta a los deberes de confidencialidad y seguridad aquí expuestos.
1. Propósito y Alcance
El presente documento establece los principios, medidas técnicas, organizativas y procedimientos de seguridad adoptados por Centro Médico EndoGastro Puno para garantizar la confidencialidad, integridad y disponibilidad de los datos personales y datos sensibles de salud, en riguroso cumplimiento de la Ley N.° 29733 (Ley de Protección de Datos Personales), su Reglamento aprobado mediante Decreto Supremo N.° 016-2024-JUS y las directivas técnicas de la Autoridad Nacional de Protección de Datos Personales (ANPD).
Ámbito de Aplicación:
- Datos de identificación y contacto de pacientes (DNI, nombres, teléfono, residencia).
- Historias clínicas, diagnósticos y notas de evolución médica.
- Imágenes, informes y videos endoscópicos (gastroscopía, colonoscopía, CPRE).
- Resultados de patología, biopsias, test de aliento y laboratorio clínico.
- Recetas médicas, planes farmacológicos y registros de enfermería (kardex).
- Comprobantes de pago, seguros médicos y datos administrativos vinculados.
2. Principios Rectores de Protección de Datos
Principio de Licitud
El tratamiento cuenta con una base legal válida: consentimiento expreso, contrato de prestación de salud u obligación legal sanitaria.
Principio de Finalidad
Los datos se recaban con fines explícitos y legítimos vinculados a la atención clínica; queda prohibido su uso para fines incompatibles.
Principio de Proporcionalidad
Solo se recopilan los datos estrictamente indispensables y adecuados para el acto médico o la gestión administrativa conexa.
Principio de Calidad
Los datos deben mantenerse exactos, completos y actualizados para garantizar decisiones clínicas precisas y seguras.
Seguridad y Confidencialidad
Se aplican salvaguardas técnicas y organizativas para evitar accesos no autorizados, pérdidas, adulteraciones o divulgaciones.
Responsabilidad Demostrada
EndoGastro asume la carga de la prueba de conformidad con el Art. 9 del Reglamento, conservando trazabilidad del consentimiento y las medidas adoptadas.
3. Tratamiento de Datos Sensibles de Salud y Plazos Legales
Según el marco legal peruano, los datos de salud son datos personales sensibles. Su tratamiento requiere consentimiento expreso y se rige por los plazos de conservación estipulados en la NTS N.° 139-MINSA/2018/DGAIN (Norma Técnica de Salud para la Gestión de la Historia Clínica, aprobada por R.M. 214-2018/MINSA):
| Categoría de Dato | Base Legal | Plazo Mínimo de Conservación | Fundamento Normativo |
|---|---|---|---|
| Historia clínica y notas médicas | Atención de salud / Consentimiento | 20 años desde la última atención | NTS N.° 139-MINSA (5 archivo activo + 15 pasivo) |
| Imágenes y videos endoscópicos | Atención de salud / Consentimiento | 20 años (incorporados a la HC) | NTS N.° 139-MINSA/2018/DGAIN |
| Resultados de laboratorio y biopsias | Atención de salud / Consentimiento | 20 años | NTS N.° 139-MINSA/2018/DGAIN |
| Recetas y órdenes farmacológicas | Atención médica | 20 años | NTS N.° 139-MINSA/2018/DGAIN |
| Comprobantes de pago y boletas | Obligación legal tributaria | 5 años | Código Tributario del Perú (SUNAT) |
| Solicitudes y expedientes ARCO | Ley 29733 | 5 años | Criterio de prescripción administrativa |
4. Ejercicio de Derechos del Paciente (ARCO)
Todo titular de datos personales tiene derecho a solicitar ante EndoGastro el acceso, actualización o tutela de su información personal.
Plazos Legales de Respuesta (Art. 69, D.S. N.° 016-2024-JUS):
Conforme a la normativa sectorial sanitaria, la solicitud de supresión de historias clínicas, informes o imágenes endoscópicas no procederá mientras rija el plazo de custodia obligatoria de 20 años estipulado por el Ministerio de Salud (MINSA). En dichos casos, se informará la improcedencia legal y se restringirá el acceso exclusivamente a fines asistenciales y médico-legales.
5. Distinción Fundamental del Consentimiento
EndoGastro distingue con claridad dos actos de consentimiento jurídicamente independientes:
Autoriza la ejecución del procedimiento clínico, diagnóstico o sedación anestésica (ej. endoscopía alta, colonoscopía). Es un requisito médico obligatorio para realizar la intervención asistencial.
Autoriza el tratamiento sistemático de datos personales y sensibles con fines específicos. Se recaba de forma expresa, diferenciada y nunca mediante casillas premarcadas o formularios genéricos.
Para pacientes menores de 14 años, el consentimiento es otorgado por sus representantes legales. Entre 14 y 18 años, el menor es informado en lenguaje comprensible y concurre con el consentimiento de sus tutores según corresponda.
6. Transferencias de Datos y Almacenamiento
Los datos de historias clínicas, pacientes y registros asistenciales se alojan y procesan en servidores ubicados en la República del Perú. EndoGastro no utiliza hojas de cálculo externas ni servicios de nube personales para tratar expedientes de pacientes.
Para la operación web y el soporte de aplicaciones, se emplean servicios técnicos con acuerdos de protección de datos (DPA) y cláusulas contractuales estándar:
- Cloudflare Inc.: Red de distribución perimetral (CDN y seguridad WAF para el tráfico web).
- Google LLC: Firebase Cloud Messaging (identificadores técnicos de dispositivos para notificaciones).
- Apple Inc.: Apple Push Notification service (identificadores técnicos para dispositivos iOS).
7. Medidas de Seguridad y Respuesta ante Incidentes
Controles Técnicos
- • Cifrado TLS de extremo a extremo en todo el tráfico web y móvil.
- • Control de acceso basado en roles (RBAC) bajo principio de necesidad estricta.
- • Respaldo automático diario de bases de datos.
- • Protección perimetral contra ataques de denegación y filtración.
Controles Organizativos
- • Archivos físicos bajo llave con acceso restringido al personal autorizado.
- • Acuerdos de confidencialidad médica suscritos por todo el personal.
- • Procedimiento de respuesta y notificación ante la APDP en un plazo máximo de 48 horas ante brechas de seguridad.
- • Eliminación física mediante trituración grado P-4 para documentos caducados.
¿Deseas ejercer tus derechos ARCO o consultar sobre tus datos?
Puedes enviar tu solicitud por escrito adjuntando copia de tu DNI a nuestros canales formales. Atendemos todas las solicitudes en los plazos legales establecidos.