Vulneración de datos personales: aviso al paciente

Una vulneración de datos personales que afecte significativamente derechos patrimoniales o morales debe informarse de inmediato a la persona titular, conforme al artículo 19 de la ley federal para particulares. Documenta lo ocurrido, contiene la exposición y valora el alcance con apoyo técnico y jurídico; no esperes al cierre mensual.

La secretaria se asoma a tu puerta con el teléfono: “La receta se fue a otro número”. Hay una conversación abierta, un archivo enviado y alguien que todavía no ha respondido. El primer impulso es borrar el mensaje y confiar en que nadie lo haya visto. Para atender el incidente necesitas conservar la evidencia y saber qué información salió.

¿Cuándo se avisa una vulneración de datos personales?

La Ley Federal de Protección de Datos Personales en Posesión de los Particulares establece en su artículo 19 el deber de informar de forma inmediata cuando la vulneración afecte significativamente los derechos patrimoniales o morales de las personas titulares. El propósito es que puedan tomar medidas para defender sus derechos.

El alcance importa. Una cuenta comprometida, un documento enviado a un destinatario equivocado o una pérdida de información necesitan revisión de sus circunstancias; no basta nombrar el incidente para saber qué datos quedaron expuestos, quién pudo recibirlos y qué consecuencias puede tener para la persona.

La ley no dice en ese artículo que puedes esperar setenta y dos horas. Tampoco exige tener una explicación perfecta antes de reconocer que ocurrió algo. Si el supuesto de aviso se cumple, la investigación y la comunicación deben organizarse sin usar una como pretexto para aplazar la otra.

El artículo 18 exige medidas administrativas, técnicas y físicas de seguridad. El 20 se refiere a la confidencialidad de quienes intervienen en el tratamiento. Son deberes relacionados, pero distintos del aviso a la persona afectada.

Recupera hechos antes de escribir una versión definitiva

Anota cuándo se detectó el problema, quién lo advirtió, qué documento o cuenta intervino y qué acciones se han tomado. Conserva el mensaje, la referencia del archivo y los registros disponibles con acceso restringido. No circules el expediente entre varias personas para preguntar si “esto cuenta como incidente”.

La evidencia también contiene datos personales.

Si necesitas apoyo técnico, identifica lo que requiere revisar y comparte solo lo necesario por el medio acordado, porque reenviar el material completo sin control puede ampliar la exposición mientras intentas explicar la primera y terminar creando una segunda lista de destinatarios.

Para mí, separar lo confirmado de lo probable es indispensable al redactar ese registro. “El archivo se envió a este número” describe un hecho diferente de “lo leyó alguien”, y ninguno se vuelve más cierto por escribirlo con mucha seguridad.

Imagina otra escena: una colaboradora encuentra abierta una sesión en la computadora que usa el personal de mantenimiento. No vio a nadie consultando expedientes. Conviene registrar lo que observó y revisar accesos y actividad, sin afirmar de entrada que hubo extracción masiva ni concluir que no pasó nada porque falta una captura.

La bitácora ayuda a reconstruir movimientos registrados

En Amélie, Bitácora de actividad muestra movimientos con fecha y responsable. Tiene filtros Desde, Hasta y Tipo, con categorías como Pacientes, Citas, Cobros, Expediente y Recetas.

Imagen ilustrativa.

Puedes acotar el periodo y revisar las acciones que aparecen registradas para compararlas con la cronología del incidente, sin asumir que esa vista enumera todos los accesos posibles, demuestra quién leyó un archivo fuera de la plataforma o reemplaza una investigación técnica.

No encontrar un movimiento no cierra el caso. La guía de bitácora del consultorio explica su uso administrativo; ante un incidente, conviene precisar qué registra y qué información adicional puede aportar el soporte.

Si ya no corresponde que alguien tenga acceso, aplica el procedimiento de revocación del acceso del asistente y comprueba el resultado. Esa medida atiende una cuenta; no retira automáticamente archivos que hayan salido ni sustituye el aviso que resulte necesario.

Comunica lo que sabes y organiza el seguimiento

La persona necesita entender qué ocurrió con sus datos y cómo podrá resolver dudas. Prepara una comunicación clara con los hechos comprobados, el alcance que conoces, las medidas adoptadas y un contacto responsable, conforme a las disposiciones aplicables y a la valoración del caso.

No culpes al paciente.

Tampoco prometas que un archivo desapareció de todos los dispositivos si no puedes comprobarlo, ni atribuyas la responsabilidad a una persona solo porque su nombre aparece en un movimiento; la bitácora aporta registros que deben interpretarse junto con los demás hechos.

Un paréntesis de trabajo: “ya lo está viendo sistemas” no identifica un responsable. Deja un nombre y una siguiente acción para que el seguimiento continúe aunque cambie el turno de recepción.

Conserva la cronología, las comunicaciones y la comprobación de las medidas adoptadas en un registro de acceso limitado. Después revisa qué permitió el incidente: destinatarios sin cotejar, sesiones compartidas, permisos innecesarios o un procedimiento que depende de la memoria.

La llamada sobre la receta enviada al número equivocado merece terminar con una acción verificable y seguimiento. Borrar el recado del teléfono puede limpiar la pantalla; no explica qué pasó con los datos ni atiende los derechos de su titular.