Reglamento para la interoperabilidad e intercambio seguro de datos de salud: qué decide y qué cambia en la práctica

Qué decide el documento y quién lo publica. El Ministerio de Salud (MS) y el Ministerio de Ciencia, Innovación, Tecnología y Telecomunicaciones (MICITT) promulgan un reglamento que establece el marco normativo, de gobernanza y de coordinación para la interoperabilidad y el intercambio seguro, estandarizado y progresivo de los datos de salud entre prestadores de servicios de salud públicos, privados y mixtos que operen en el territorio nacional. La fuente oficial es la publicación en La Gaceta (documento presentado como Decreto Ejecutivo; ver publicación en el sitio de la Imprenta Nacional enlazada en la evidencia).

A quién afecta. El reglamento se aplica a los prestadores de servicios de salud públicos, privados y mixtos que habiliten, implementen o participen voluntariamente en procesos o servicios de interoperabilidad de datos de salud en Costa Rica. También les aplica, en lo que corresponda, a los proveedores tecnológicos y a los encargados del tratamiento que intervengan por cuenta de esos prestadores. Además, será aplicable a personas físicas o jurídicas que por disposición legal deban suministrar o intercambiar datos de salud mediante mecanismos comprendidos en el Modelo Nacional de Interoperabilidad en Salud.

Qué cambia en la práctica. Se crea y define el “Modelo Nacional de Interoperabilidad en Salud” como marco de referencia técnico y de gobernanza. El Modelo se sustentará en una arquitectura federada, modular y evolutiva: por regla general los datos clínicos permanecen bajo la custodia del prestador que los genera y no se crea un repositorio centralizado de expedientes clínicos. Sí podrán existir componentes compartidos (por ejemplo, identificación, autenticación, localización, terminologías, trazabilidad y registro de auditoría) siempre que no almacenen contenido clínico de forma persistente. El reglamento obliga a que la interoperabilidad se realice con estándares oficiales, guías nacionales de implementación y medidas de seguridad, y precisa que la interoperabilidad es facultativa: quien decida interoperar está obligado a cumplir lo establecido en el reglamento.

Responsabilidades y roles concretos. El MS ejercerá la rectoría en materia sanitaria: definirá y oficializará estándares clínicos, semánticos y guías nacionales de interoperabilidad; publicará instrumentos técnicos, validará pruebas técnicas y publicará el Plan de Implementación Progresiva y la especificación técnica inicial del Modelo. El MICITT proveerá los marcos y lineamientos tecnológicos y de ciberseguridad dentro de sus competencias y coordinará con el MS la elaboración de requisitos de seguridad y aspectos de identidad digital y arquitectura tecnológica. La PRODHAB es la autoridad competente para la protección de datos personales y podrá requerir criterios técnicos al MS cuando lo estime pertinente.

Obligaciones concretas para prestadores y proveedores tecnológicos. Los prestadores que participen en interoperabilidad deben: implementar los estándares y guías oficiales; administrar y custodiar su infraestructura tecnológica; garantizar la calidad, integridad, trazabilidad y disponibilidad de los datos que generen e intercambien; implementar controles de acceso, autenticación, autorización y auditoría; mantener medidas de seguridad y continuidad operativa; gestionar riesgos y atender incidentes; inscribir la base de datos sujeta a interoperabilidad y sus protocolos de actuación ante la PRODHAB; y garantizar que sus proveedores tecnológicos cumplan las obligaciones aplicables. Los contratos con proveedores tecnológicos deben establecer condiciones sobre finalidades, confidencialidad, medidas de seguridad, subcontratación, ubicación y transferencia de datos, gestión de incidentes y devolución o migración de datos al finalizar la relación contractual. La contratación de terceros no exime al prestador de su responsabilidad como responsable de la base de datos.

Protección de datos y consentimiento. El reglamento reitera que el tratamiento e intercambio de datos de salud se rigen por la Ley “Protección de la Persona Frente al Tratamiento de sus Datos Personales”, Nº 8968, y su Reglamento. Cuando el consentimiento sea la base jurídica aplicable, este debe ser expreso, libre, inequívoco, informado y verificable. El tratamiento e intercambio sin consentimiento sólo pueden ocurrir en los supuestos previstos en la ley (por ejemplo, obligaciones legales o las excepciones señaladas en la Ley Nº 8968 y su Reglamento). El titular puede revocar el consentimiento de forma expresa, total o parcial; la revocación no tiene efectos retroactivos sobre tratamientos legítimos ya realizados y no afecta tratamientos con otra base jurídica. En situaciones de emergencia en que la persona no pueda manifestar su voluntad, se permite el acceso estrictamente necesario y debidamente registrado para proteger la vida o la salud.

Seguridad de la información y gestión de incidentes. Los responsables y encargados del tratamiento deben adoptar medidas técnicas, organizativas, físicas y administrativas proporcionales a los riesgos para proteger confidencialidad, integridad, disponibilidad, autenticidad y trazabilidad de los datos de salud durante todo su ciclo de vida. Deben contar con procedimientos para detección, gestión, documentación y reporte de incidentes y, cuando corresponda por el “Reglamento para la Gobernanza en Ciberseguridad y la Resiliencia Cibernética de las Instituciones Gubernamentales” (Decreto Nº 45061-MICITT), comunicar incidentes al CSIRT-CR. Si un incidente compromete datos personales de salud, el responsable debe informar a las personas afectadas y, cuando corresponda, a la PRODHAB según los plazos y condiciones legales.

Límites y condiciones que importan en la práctica. El reglamento establece con claridad varios límites: 1) no se crea ni autoriza, por el solo hecho de interoperar, un repositorio centralizado de expedientes clínicos; 2) la participación en el Modelo es voluntaria, pero quien opte por interoperar deberá cumplir los requisitos del reglamento y de los instrumentos técnicos; 3) la rectoría del MS no obliga a que el Estado provea, financie, opere ni mantenga la infraestructura tecnológica de los prestadores; y 4) la condición de responsable u encargado respecto de componentes compartidos debe quedar formalizada en el instrumento jurídico o administrativo que asigne la operación y responsabilidades, sin que la operación conferida otorgue derechos sobre los datos intercambiados para fines distintos a los asignados.

Plazos y vigencia. El reglamento rige a partir de su publicación en el Diario Oficial La Gaceta, según lo establecido en el propio texto. En el Transitorio I se dispone que el Ministerio de Salud tiene un plazo máximo de cinco meses contados desde la entrada en vigencia del Decreto para desarrollar y publicar en su sitio web la especificación técnica inicial del Modelo Nacional de Interoperabilidad en Salud y su Plan de Implementación Progresiva. Ese Plan debe fijar etapas, secuencia de incorporación de categorías de prestadores, plazos, hitos, condiciones técnicas y mecanismos de asistencia técnica. En el Transitorio II, los prestadores que ya tenían procesos de interoperabilidad antes de la entrada en vigencia deberán ajustarse al Modelo en los plazos que establezca el Plan. El reglamento remite a instrumentos técnicos y a la publicación en el sitio web del MS para detalles operativos, fechas de exigibilidad particulares, plazos de transición y versiones de guías y estándares.

Qué queda por definirse en documentos posteriores. El texto obliga al MS y al MICITT a publicar instrumentos técnicos, las Guías Nacionales de Interoperabilidad, la especificación inicial del Modelo y el Plan de Implementación Progresiva con fechas de exigibilidad, plazos de transición y requisitos mínimos para incorporación. Esos documentos contendrán los detalles concretos (fechas por categoría de prestadores, criterios técnicos de conformidad, herramientas de prueba y requisitos de seguridad sectoriales) que no están desarrollados dentro del cuerpo del reglamento.

Fuente oficial. Esta explicación está basada exclusivamente en el texto del "Reglamento de Interoperabilidad e Intercambio Seguro de Datos de Salud y reconocimiento del derecho de las personas a la disponibilidad de sus datos de salud" publicado en La Gaceta (Decreto Ejecutivo), disponible en el sitio de la Imprenta Nacional según el documento aportado en la evidencia.