Unidad Reguladora y de Control de Datos Personales

Montevideo, 29 de junio de 2021

VISTO: La consulta realizada por la organización civil sin fines de lucro con personería denominada “Reconstruyamos Dolores”, con relación a las comunicaciones entre instituciones relativas a contactos de personas Covid-19 positivas para su rastreo.

RESULTANDO: I. Que a la consultante se le requirió el desarrollo de un sistema para la comunicación entre una entidad pública y una privada, de información de contactos de personas COVID-19 positivas.

II. Que las instituciones mencionadas recolectan los datos de sus pacientes (nombre, domicilio, teléfono, día del contacto, vínculo familiar, laboral, etc.) que han sido diagnosticados positivos de COVID-19, así como de sus contactos. En caso de que estos últimos sean usuarios de otro prestador, son comunicados a éste en forma telefónica, por correos electrónicos, planillas entre otras, lo que hace que la comunicación se vuelva lenta y requiera esfuerzo, dificultando la trazabilidad.

III. Que a efectos de facilitar la comunicación se pretende desarrollar una base de datos a la que tendrá acceso personal de ambas instituciones, donde se activan/desactivan los casos positivos según se detectan y evolucionan, desde la que se gestiona además la comunicación con los contactos que la persona positiva haya tenido. Esta base de datos tendrá un hosting en los servidores de alguna de estas instituciones.

IV. Que existe actualmente un sistema a cargo del Ministerio de Salud Pública, quien es el encargado de establecer las políticas y estrategias en materia de salud, así como toda la red de instituciones médicas públicas y privadas, red integrada por estas dos instituciones que ya tienen sus procesos y procedimientos específicos para la realización de este tratamiento de datos y la trazabilidad objeto también de esta consulta, debido a la pandemia.

CONSIDERANDO: I. Que los datos que se quieren comunicar entre las instituciones son datos sensibles de salud, los que ostentan un nivel de protección especial de conformidad con la Ley N° 18.331, de 11 de agosto de 2008, artículos. 4° lit. E), 18 y 19.

II. Que los datos personales recolectados por las instituciones se basan en el consentimiento otorgado por su titular, siendo su finalidad la que su prestador lo contacte y transmita entre las instituciones, pero no así para que sea transmitida a un tercero como en este caso lo es la consultante.

III. Que la comunicación de datos de acuerdo con el artículo 17 de la Ley para ser realizada en forma, debe cumplir con la existencia de interés legítimo del emisor, del destinatario y el previo consentimiento de los titulares o la aplicación de alguna de las excepciones dispuestas en él, lo que no se ha acreditado en este caso.  

ATENTO: a lo expuesto e informado,

El Consejo Ejecutivo de la Unidad Reguladora y de Control de Datos Personales

DICTAMINA:

1°.  La consultante podrá desarrollar la base de datos indicada en la consulta, pero en caso de asumir algún rol en la gestión de la información, sólo podrá hacerlo en calidad de encargado de tratamiento de las instituciones involucradas.

2°. En caso de que se genere una base de datos con información de ambas instituciones, ésta será responsabilidad de ambas, las que serán responsables además por el cumplimiento de todas las medidas necesarias en materia de protección de datos personales. En ese sentido, es importante destacar la necesidad de que se determinen procesos internos para el tratamiento de la información que aseguren el ejercicio de los derechos de la protección de datos, en particular el derecho a la información y el derecho a la comunicación de datos personales, máxime tratándose potencialmente de datos sensibles.

3°. Las instituciones mencionadas deben tener presente la existencia de un sistema con idéntico contenido llevado adelante por el Ministerio de Salud Pública, por lo que se sugiere relevar en forma previa a la implantación la opinión de dicha institución.

Fdo. por: Dr. Felipe Rotondo

Consejo Ejecutivo

URCDP