Política de Tratamiento de Datos Personales

Garantizar el correcto Tratamiento de Datos Personales de las personas que tienen algún tipo de relación con las actividades operacionales de Sociedad Cardiovascular del Caribe Colombiano S.A.S., en pro de dar cumplimiento con lo establecido en la normatividad legal vigente con relación al tema y mejorar continuamente la prestación de servicios.

• Adoptar las disposiciones establecidas en la regulación legal vigente sobre el Tratamiento de Datos Personales de las personas que tienen algún tipo de relación con las actividades operacionales de la institución.
• Garantizar el cumplimiento de los compromisos que tiene la institución como Responsable del Tratamiento de Datos Personales, según lo establecido en la regulación legal vigente.
• Establecer los mecanismos que pueden ser utilizados por las personas que deseen realizar alguna solicitud o queja en referencia a sus derechos establecidos en la ley regulatoria para el Tratamiento de Datos Personales.

En el desarrollo, interpretación y aplicación de la Ley 1581 de 2012, la institución aplicará de manera armónica e integral los siguientes principios:

1. Principio de legalidad: El Tratamiento de datos es una actividad reglada que debe sujetarse a lo establecido en la ley y en las demás disposiciones que la desarrollen.
2. Principio de finalidad: El Tratamiento debe obedecer a una finalidad legítima de acuerdo con la Constitución y la Ley, la cual debe ser informada al Titular.
3. Principio de libertad: El Tratamiento solo puede ejercerse con el consentimiento previo, expreso e informado del Titular. Los datos personales no podrán ser obtenidos o divulgados sin previa autorización, o en ausencia de mandato legal o judicial que releve el consentimiento.
4. Principio de veracidad o calidad: La información sujeta a Tratamiento debe ser veraz, completa, exacta, actualizada, comprobable y comprensible. Está prohibido el Tratamiento de datos parciales, incompletos, fraccionados o que induzcan a error.
5. Principio de transparencia: Debe garantizarse el derecho del Titular a obtener del Responsable o del Encargado del Tratamiento, en cualquier momento y sin restricciones, información acerca de la existencia de datos que le conciernan.
6. Principio de acceso y circulación restringida: El Tratamiento se sujeta a los límites derivados de la naturaleza de los datos personales, de la ley y la Constitución. Los datos personales, salvo la información pública, no podrán estar disponibles en Internet u otros medios de divulgación masiva.
7. Principio de seguridad: La información sujeta a Tratamiento se deberá manejar con las medidas técnicas, humanas y administrativas necesarias para otorgar seguridad a los registros evitando su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento.
8. Principio de confidencialidad: Todas las personas que intervengan en el Tratamiento de datos personales que no tengan la naturaleza de públicos están obligadas a garantizar la reserva de la información, inclusive después de finalizada su relación con la institución.

En las actividades misionales de la institución se recolecta información variada y proveniente de distintas fuentes, acerca de pacientes, empleados, contratistas, proveedores, estudiantes practicantes, etc., la cual puede incluir, pero no limitarse a:

• Nombre y apellidos.
• Tipo y número de identificación personal (registro civil, tarjeta de identidad, cédula de ciudadanía, pasaporte, cédula de extranjería o carné diplomático).
• Lugar y fecha de nacimiento, y nacionalidad.
• Edad, sexo, estado civil, idiomas que habla y creencias religiosas.
• Nivel educativo, profesión y ocupación, e información laboral general.
• Dirección física habitual, dirección de correo electrónico, número de teléfono fijo, celular y fax.
• Empleador, su ubicación y sus datos de contacto.
• Información clínica del paciente incluidos antecedentes, resultados de exámenes patológicos y clínicos, consultas, formulaciones, diagnósticos, atenciones médicas y de enfermería general y especial, consultas entre especialistas, etc.
• Contactos familiares, personales y/o de responsables legales.
• Entidad responsable o aseguradora de los servicios de salud.
• Información personal obtenida durante la revisión de sus peticiones o quejas o brindada a través de encuestas u otros instrumentos institucionales.

La institución se compromete a cumplir cabalmente con los siguientes deberes, sin perjuicio de las demás disposiciones previstas en la normatividad legal regulatoria:

1. Garantizar al Titular, en todo tiempo, el pleno y efectivo ejercicio del derecho de hábeas data.
2. Solicitar y conservar copia de la respectiva autorización otorgada por el Titular.
3. Informar debidamente al Titular sobre la finalidad de la recolección y los derechos que le asisten por virtud de la autorización otorgada.
4. Conservar la información bajo las condiciones de seguridad necesarias para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento.
5. Garantizar que la información que se suministre al Encargado del Tratamiento sea veraz, completa, exacta, actualizada, comprobable y comprensible.
6. Actualizar la información, comunicando de forma oportuna al Encargado del Tratamiento todas las novedades respecto de los datos previamente suministrados.
7. Rectificar la información cuando sea incorrecta y comunicar lo pertinente al Encargado del Tratamiento.
8. Suministrar al Encargado del Tratamiento únicamente datos cuyo Tratamiento esté previamente autorizado.
9. Exigir al Encargado del Tratamiento, en todo momento, el respeto a las condiciones de seguridad y privacidad de la información del Titular.
10. Tramitar las consultas y reclamos formulados en los términos señalados en la normativa legal vigente.
11. Adoptar un manual interno de políticas y procedimientos para garantizar el adecuado cumplimiento de la normatividad legal vigente.
12. Informar al Encargado del Tratamiento cuando determinada información se encuentre en discusión por parte del Titular.
13. Informar a solicitud del Titular sobre el uso dado a sus datos.
14. Informar a la autoridad de protección de datos cuando se presenten violaciones a los códigos de seguridad y existan riesgos en la administración de la información.
15. Cumplir las instrucciones y requerimientos que imparta la Superintendencia de Industria y Comercio.

La institución se compromete a que su personal encargado del Tratamiento de datos personales cumplirá con los siguientes deberes:

1. Garantizar al Titular, en todo tiempo, el pleno y efectivo ejercicio del derecho de hábeas data.
2. Conservar la información bajo las condiciones de seguridad necesarias para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento.
3. Realizar oportunamente la actualización, rectificación o supresión de los datos en los términos expuestos en la normatividad legal vigente.
4. Actualizar la información reportada por los Responsables del Tratamiento dentro de los cinco (5) días hábiles contados a partir de su recibo.
5. Tramitar las consultas y los reclamos formulados por los Titulares en los términos señalados en la normatividad legal vigente.
6. Adoptar un manual interno de políticas y procedimientos para garantizar el adecuado cumplimiento de la normatividad.
7. Registrar en la base de datos la leyenda "reclamo en trámite" en la forma en que se regula en la normatividad legal vigente.
8. Insertar en la base de datos la leyenda "información en discusión judicial" una vez notificado por parte de la autoridad competente.
9. Abstenerse de circular información que esté siendo controvertida por el Titular y cuyo bloqueo haya sido ordenado por la Superintendencia de Industria y Comercio.
10. Permitir el acceso a la información únicamente a las personas que pueden tener acceso a ella.
11. Informar a la Superintendencia de Industria y Comercio cuando se presenten violaciones a los códigos de seguridad.
12. Cumplir las instrucciones y requerimientos que imparta la Superintendencia de Industria y Comercio.

El Tratamiento de datos requiere la autorización previa e informada del Titular, la cual deberá ser obtenida por cualquier medio que pueda ser objeto de consulta posterior. La institución manifiesta su compromiso con dar cumplimiento a este requerimiento mediante los mecanismos, procedimientos e instrumentos en los que sea necesario obtener autorización de tratamiento de datos.

En el fiel cumplimiento de lo establecido en la regulación legal vigente, no es necesario obtener autorización de tratamiento de datos en los siguientes casos:

• Cuando la información sea requerida por una entidad pública o administrativa en ejercicio de sus funciones legales o por orden judicial.
• Cuando son datos de naturaleza pública.
• Cuando es un caso de urgencia médica o sanitaria.
• Cuando el tratamiento de información es autorizado por la ley para fines históricos, estadísticos o científicos.
• Cuando los datos están relacionados con el Registro Civil de las Personas.

Los datos recolectados en el desarrollo de las actividades misionales de la institución tendrán las siguientes finalidades, sin ser estas taxativas:

• Ejercer un control de acceso a las instalaciones institucionales, con el fin de garantizar la seguridad de las personas, bienes, infraestructura e información.
• Ejercer monitoreo y control permanente de las personas que se encuentran en las instalaciones de la institución.
• Garantizar una comunicación ágil y rápida entre las partes involucradas, haciendo uso de los diversos medios de comunicación existentes.
• Transferir y/o compartir la información requerida por empresas promotoras de salud o responsables de pagos por los servicios de los pacientes, asesores jurídicos, autoridades fiscales, administrativas o judiciales, y proveedores o terceros en operaciones conjuntas.
• Transferir y/o compartir la información requerida por las distintas áreas de la institución para el correcto desarrollo de los procesos y de las actividades operacionales.
• Ejercer un contacto permanente con los usuarios, que permita hacer un seguimiento de su estado de salud, brindar información institucional y evaluar la prestación de los servicios.
• Prestar los servicios de salud que el paciente requiera.
• Llevar a cabo estudios investigativos y estadísticos que contribuyan con la implementación constante de mejoras de los servicios ofrecidos.
• Ejercer actividades de verificación relacionadas con la comprobación del cumplimiento de los requisitos exigidos por la ley para el desarrollo de la ocupación del personal vinculado laboralmente.

La institución reconoce los siguientes derechos de los titulares, establecidos en la regulación legal vigente:

1. Conocer, actualizar y rectificar sus datos personales frente a los Responsables o Encargados del Tratamiento.
2. Solicitar prueba de la autorización otorgada al Responsable del Tratamiento salvo cuando expresamente se exceptúe como requisito para el Tratamiento, de conformidad con lo previsto en el artículo 10 de la Ley 1581 de 2012.
3. Ser informado por el Responsable o el Encargado del Tratamiento, previa solicitud, respecto del uso que les ha dado a sus datos personales.
4. Presentar ante la Superintendencia de Industria y Comercio quejas por infracciones a lo dispuesto en la regulación legal vigente.
5. Revocar la autorización y/o solicitar la supresión del dato cuando en el Tratamiento no se respeten los principios, derechos y garantías constitucionales y legales.
6. Acceder en forma gratuita a sus datos personales que hayan sido objeto de Tratamiento.

Para garantizar que los Titulares y sus apoderados puedan ejercer sus derechos con relación al tratamiento de datos personales, la institución pone a su disposición el procedimiento GGE-GP-PRO-01 para "Presentación y gestión de solicitudes de Tratamiento de Datos", el cual está habilitado al público en general y partes interesadas.

Puede radicar su solicitud a través de nuestro módulo PQRSD o comunicándose con nuestras líneas de atención.

En el evento que el titular solicite información respecto al tratamiento de sus datos personales, esta será suministrada por la institución por el mismo medio que fue formulada la solicitud y corresponderá totalmente a aquella que repose en la base de datos administrada.

Se hace claridad sobre a quiénes se les puede suministrar la información:

• A los Titulares, sus causahabientes o sus representantes legales, suministrando documento escrito que otorgue el derecho o que cumplan con los requisitos de acreditación que la ley exige.
• A las entidades públicas o administrativas en ejercicio de sus funciones legales o por orden judicial, presentando el respectivo oficio.
• A los terceros autorizados por el Titular o por la ley, suministrando documento escrito que otorgue el derecho.

La institución reafirma su compromiso con garantizar que toda la información existente en sus bases de datos sea manejada con los respectivos protocolos de seguridad, respaldo, privacidad y confidencialidad, que eviten que un tercero sin autorización acceda a esta.

Todo empleado o colaborador que acceda a la información confidencial y/o datos personales en ejercicio de sus funciones deberá:

• A. Garantizar la confidencialidad de la información y no divulgarla a terceros sin autorización expresa.
• B. Utilizar la información únicamente para los fines relacionados con su labor dentro de la IPS.
• C. No extraer, reproducir o almacenar información de pacientes o de la empresa en dispositivos personales sin autorización.
• D. Informar de inmediato a la entidad sobre cualquier incidente de seguridad que pueda comprometer la confidencialidad de los datos.
• E. Cumplir con las normas de seguridad establecidas por la institución para la protección de la información.

Queda expresamente prohibido a los empleados y colaboradores:

• A. Compartir, divulgar o hacer uso indebido de la información personal y/o sensible de los pacientes y demás interesados.
• B. Usar la información con fines distintos a los autorizados o en beneficio propio o de terceros.
• C. Acceder a información de pacientes sin justificación laboral o sin autorización expresa.
• D. Modificar, alterar o destruir información sin la debida autorización.

El incumplimiento de las disposiciones establecidas en este documento podrá generar sanciones de acuerdo con la normatividad vigente:

• Sanciones disciplinarias: Pueden incluir desde llamados de atención hasta la terminación del contrato laboral o comercial.
• Sanciones administrativas y legales: De acuerdo con lo establecido en la Ley 1581 de 2012 y el Decreto 1074 de 2015, el mal uso de la información puede generar multas y sanciones impuestas por la Superintendencia de Industria y Comercio (SIC).
• Acciones penales: En casos graves, el uso indebido de información puede derivar en denuncias penales por delitos como violación de datos personales (Art. 269F del Código Penal Colombiano).

Todos los empleados y colaboradores que tengan acceso a información personal de pacientes y terceros dentro del desarrollo de sus labores deberán firmar un acuerdo de confidencialidad en el que se comprometen a cumplir con las disposiciones aquí establecidas y las propias que contenga el acuerdo en mención.