Nacer

1. Introducción

La Universidad de Antioquia, en cumplimiento de la Ley Estatutaria 1581 de 2012, expidió la Resolución Rectoral 38017 del 08 de noviembre de 2013 [aquí], por la cual se adopta el Manual de Política de Tratamiento de Información y Protección de Datos Personales de la institución. En esta misma línea el Grupo Nacer, Salud Sexual y Reproductiva SSR de la Facultad de Medicina, adopta las especificaciones descritas en dicho manual y define algunos lineamientos adicionales, dada la especificidad de sus procesos.

Este documento presenta la política de Tratamiento de Información y Protección de Datos Personales del grupo Nacer, SSR en la que se incluyen los lineamientos que deben tener en cuenta todas las personas que tienen acceso a dichos datos.

2. Objetivos

Describir el tipo de datos personales que maneja Nacer, SSR y el tratamiento que realiza de éstos, con el fin de cumplir con criterios de seguridad y calidad de dicha información.

Definir lineamientos específicos para garantizar el tratamiento adecuado de los datos personales, dando cumplimiento a la normatividad vigente.

3. Alcance

Las especificaciones y directrices definidas en el presente documento son aplicables en el desarrollo de cada uno de los procesos y proyectos de Nacer, SSR en los que se manejan datos personales.  Esta política aplica desde la captación inicial del dato hasta el cierre del evento o actividad para la cual se generó e incluye la seguridad de los datos sensibles que requieren ser conservados.

4. Responsabilidad

La definición de la Política de tratamiento de datos es responsabilidad de la Dirección de Nacer, SSR. El Grupo Primario y la líder de calidad asesoran a la dirección en el proceso.

La implementación del presente documento es responsabilidad de todas las personas que apoyan las actividades que desarrolla Nacer, SSR y que tienen acceso a la información objeto de esta Política.

El seguimiento y control de su implementación es responsabilidad de la coordinación técnica, los líderes de los procesos y del Equipo de Gestión de información y gestión del conocimiento. El comité técnico es el medio a través del cual se informará su cumplimiento.

5. Identificación Institucional

Nacer, SSR es un grupo de investigación, docencia y extensión, adscrito a la Facultad de Medicina de la Universidad de Antioquia. Está conformado por un equipo de profesionales de diferentes disciplinas que trabaja por la salud de las mujeres, los niños y sus familias, mediante el desarrollo de proyectos de investigación, asesoría y asistencia técnica, capacitación, vigilancia en salud pública y evaluación de programas y servicios.

Se encuentra ubicado en el Edificio de Extensión, en la calle 70 No. 52 - 72 oficina 504, en la ciudad de Medellín. Teléfono: 219 54 00. Página web:  www.udea.edu.co/nacer

6. Política de Tratamiento de Información y Protección de Datos Personales

El Grupo Nacer, SSR se acoge a los principios de legalidad, finalidad, libertad, veracidad, calidad, transparencia, acceso y circulación restringida, disponibilidad, seguridad y confidencialidad de los datos personales, definidos por la Ley Estatutaria 1581 de 2012; y considerando la especificidad de sus actividades, define los siguientes lineamientos como su Política de Tratamiento de Información y Protección de Datos Personales, los cuales deben ser acatados por todos los integrantes del grupo, independiente de su tipo de contrato o vínculo.

¿Cuáles son los deberes de los integrantes de Nacer, SSR en el marco de la Política de tratamiento de información y protección de datos personales?

Respetar y cumplir las disposiciones relacionadas con seguridad de la información y tratamiento de datos personales en los términos autorizados por la Ley.  Este deber implica:

• Informar al titular sobre la finalidad de la recopilación y tratamiento de datos, y los derechos que le asisten. Esta parte de la política aplica para los casos en que se utilizan bases de datos para actividades promocionales de eventos, campañas, convocatorias, difusión de información de interés en salud pública, entre otros.

• Usar adecuadamente la infraestructura y la tecnología dispuestas para el manejo de datos personales.

• Recolectar, almacenar y procesar los datos requeridos para el ejercicio de las actividades, garantizando su veracidad, temporalidad, seguridad, tratamiento y custodia.

• Respetar y cumplir las restricciones de acceso a las aplicaciones, bases de datos y niveles de anidamiento definidas por el Manual de Estructura Documental de Nacer, SSR y las especificaciones de los contratos que desarrolla el grupo.

• Conservar la información a la que se tenga acceso bajo las condiciones de seguridad necesarias para impedir su alteración o pérdida.

• Tener especial cuidado con el uso de datos personales de niños, niñas y adolescentes, así como de los grupos más vulnerables como los indígenas, los desplazados, la población migrante, los reinsertados, y los líderes sociales, y acatar las normas que protegen los derechos de estos grupos poblacionales.

• No publicar la información que involucra datos personales recopilados en el marco de contratos o de procesos propios del grupo Nacer, SSR, en ningún medio de divulgación o de comunicación masiva, que ponga en riesgo o vulnere el derecho a la privacidad de la(s) persona(s) titular(es) de dicha información.

• No circular, publicar o ceder las bases de datos de los usuarios o de los casos analizados en los eventos de interés en salud pública o en evaluaciones de calidad, sin causa contractual o legal que la permita. La dirección de Nacer, SSR definió las personas autorizadas para hacer la entrega de la información, cuando haya lugar, bajo los términos previstos por la Ley; estas directrices están documentadas en el sistema de gestión por procesos.

• Informar a la coordinación técnica cuando se presenten situaciones que pongan en riesgo la seguridad de los datos. A su vez este profesional informará al Comité Primario tales situaciones para controlar de manera anticipada los riesgos detectados.

• Gestionar las quejas, reclamos y sugerencias recibidas, en relación con la protección de datos personales, según los tiempos previstos en la normatividad. Esta responsabilidad se delega a la coordinación técnica, quien presentará un informe de los resultados de la gestión al Comité Primario.

• Conocer la normatividad vigente sobre protección de datos personales y adoptarla cuando aplique.

• Publicar la presente Política de tratamiento de información y protección de datos personales.

¿Cuáles son los derechos del titular de la información de datos personales?

• Conocer la política de tratamiento de datos de Nacer, SSR.

• Conocer, actualizar y rectificar sus datos.

• Autorizar o no a Nacer, SSR de la universidad de Antioquia para el tratamiento de sus datos.

• Estar informado por Nacer, SSR, previa a una solicitud, del uso de los datos. El canal de información es el correo electrónico, donde se pone en conocimiento al titular de este procedimiento o mediante respuesta expresa a solicitudes específicas.

• Autorizar o no a Nacer, SSR para que su hoja de vida sea incluida en los procesos contractuales. En cualquier momento puede solicitar que se elimine su información del banco de hojas de vida que maneja la organización.

• Anular la autorización para el tratamiento de datos cuando considere que no se cumplieron las garantías legales, constitucionales o se evidencie un tratamiento diferente al establecido en esta política por parte de Nacer, SSR.

• Previa solicitud formal, el titular de los datos puede acceder a la totalidad de su información almacenada en Nacer, SSR, la cual se exporta en formatos PDF y se aloja en un aplicativo de gestión documental. El usuario recibirá las credenciales e instrucciones necesarias para acceder al sistema y revisar toda su información, así como un enlace de gestión de solicitudes para eliminar uno o múltiples documentos de su propiedad.

• Cuando el titular no desee recibir mensajes, ni información de Nacer, SSR o promocionales de eventos, el correo electrónico tiene una aplicación que envía por defecto una leyenda que indica "Para no recibir más correos clic aquí".

¿Cuáles son las fuentes de las cuales Nacer, SSR obtiene datos personales?

Según el ejercicio de sus actividades misionales y contractuales, se pueden obtener de los procesos de vigilancia de eventos de interés en salud pública, asesoría, asistencia técnica, monitoreo y evaluación, capacitación, investigación, gestión del talento humano (hojas de vida y/o convocatorias) y gestión logística y administrativa.

Una parte de los datos se obtienen de fuentes primarias mediante firmas de asistencia a eventos, inscripciones a actividades convocadas por la Universidad de Antioquia, envío de correos y hojas de vida por parte de los interesados en participar de convocatorias, llamadas telefónicas que realizan los usuarios o entrega directa de la información a Nacer, SSR. Otros datos llegan por fuentes secundarias y estos generalmente están ligados a contratos o convenios que maneja Nacer, SSR, ejemplo Sistema de Vigilancia en Salud Pública SIVIGILA, Registro Único de Afiliados a la seguridad social- nacimientos y defunciones RUAF, información enviada por las direcciones territoriales de salud, por las Instituciones Prestadoras de Servicios de Salud IPS, por las Empresas Administradoras de Planes de Beneficios EAPB y por otras organizaciones comprometidas directa o indirectamente en el desarrollo de contratos.

¿Qué tipo de datos personales e institucionales recopila el grupo Nacer, SSR?

Los datos personales que se manejan son los siguientes: nombres y apellidos, documentos de identificación, número de certificado de defunción o de nacido vivo, edad, sexo, estado civil, grupo étnico o grupo poblacional, afiliación al sistema general de seguridad Social, direcciones de residencia o laboral, teléfonos, correos electrónicos, personas de contacto o acudientes, honorarios, curriculum vitae, filiación política, religiosa, preferencias sexuales, identidad de género, antecedentes disciplinarios o jurídicos, antecedentes personales de enfermedad y demás datos pertinentes a una historia clínica.

Los datos de las instituciones que Nacer, SSR recopila tienen que ver con: el nombre de las IPS que prestaron la atención, el de las Empresas Administradoras de Planes de Beneficios EAPB a las cuales estaban afiliadas las personas, la identificación de las personas que participan en los análisis institucionales y el seguimiento a planes de acción institucionales.

¿Cómo se usa esta información?

Nacer, SSR recopila, almacena, procesa, actualiza y utiliza los datos personales sólo para el ejercicio de las actividades misionales y contractuales. Para esto posee la autorización de las entidades contratantes y de los usuarios que proveen sus datos.

Nacer, SSR hace uso de la información y el manejo de autorizaciones y consentimientos de acuerdo al proceso específico. Todos los integrantes de Nacer, SSR que manejan información sensible deben firmar un acuerdo de confidencialidad.

Las bases de datos de contactos se almacenan garantizando la confidencialidad y solo se utilizan para la promoción de eventos relacionados con la actividad académica o el desarrollo de los proyectos que la organización ejecuta. Para el envío de la información masiva a los contactos, Nacer, SSR hace uso de la Aplicación Mailer Lite. Cada usuario recibe solamente su propia información; los datos de otros usuarios quedan como copias ocultas.

El procesamiento de la información derivada de contratos o convenios se realiza guardando la confidencialidad de los datos personales. En ningún caso se publican datos personales que vulneren la identidad o la seguridad de la persona. La información se presenta de manera agrupada para fines de interés en salud pública.

¿A quién entrega Nacer, SSR información con datos personales?

• Titulares o sus representantes legales.

• Interventores o supervisores de contratos, según quede establecido en los términos de los mismos.

• A terceros, previa autorización por comunicado oficial del Titular.

• Entidades públicas o administrativas en ejercicio de funciones legales o por orden judicial.

En el caso que una entidad requiera datos derivados de la ejecución de los contratos suscritos entre la Universidad de Antioquia - Nacer, SSR y otras instituciones, el interesado remitirá la solicitud al supervisor o referente técnico de la entidad contratante, debido a que se reconoce a este último como el titular de la información. Nacer, SSR no entregará información con datos personales a ningún actor que no esté autorizado.

¿Cuáles son los eventos en los cuales no se requiere la autorización del titular de la información?

• Cuando los datos se reciben de registros clínicos revisados bajo el marco de un contrato con una institución; sin embargo, Nacer, SSR mantiene los principios generales de manejo seguro y protección de esta información.

• Datos de naturaleza pública.

• Tratamiento de información con fines educativos, históricos, estadísticos o científicos. Para esto, Nacer, SSR elimina los datos sensibles que puedan identificar o asociar a una persona (nombres, documentos de identidad, número de certificado de defunción o nacido vivo, nombres de acudientes, nombres de las instituciones que prestaron la atención, nombres de las Empresas Administradoras de Planes de Beneficios a las cuales estaban afiliadas las personas, identificación de las personas que participan en los análisis institucionales y seguimiento a planes de acción).

• Gestionar y firmar contratos.

• En respuesta a acciones legales y en defensa de estas.

• Información requerida por entidades públicas o administrativas en ejercicio de funciones legales o por orden judicial.

¿A dónde se transfieren los datos personales de los que dispone el grupo Nacer, SSR?

Los datos pertinentes a la información de interés en salud pública pueden ser transmitidos a servidores alojados en países extranjeros bajo políticas de seguridad, cuyos estándares mínimos tienen relación con:

• Administración in house de bases de datos y segmentación adecuada de la misma.

• Acceso a través de aplicaciones cliente que cuenten con una arquitectura mínima de tres capas, de modo que se permitan disminuir la superficie de ataque y documenten las posibles brechas de seguridad en lo referente a inyección SQL y prácticas similares

• Políticas documentadas de gestión de usuarios

¿Cómo se notifican los cambios de la política de Tratamiento de Información y Protección de Datos Personales?

La Política y sus modificaciones se pueden consultar en su versión más actualizada en la página web www.udea.edu.co/nacer

Cualquier inquietud relativa a este documento, puede comunicarse al correo electrónico: nacer@udea.edu.co