Aunque los titulares suelen enfocarse en vulnerabilidades y accesos indebidos al Expediente Digital Único en Salud (EDUS), existe un entramado legal y técnico que la Caja Costarricense de Seguro Social (CCSS) asegura haber implementado para garantizar la confidencialidad de los datos sensibles. Estos protocolos, inscritos ante la PRODHAB y respaldados por las Leyes 8968 y 9162, refuerzan la idea de que los diagnósticos, incluyendo casos de VIH, no pueden ser divulgados sin consentimiento expreso del paciente.
Normas habilitantes y convenios
De acuerdo con el artículo 60 del Reglamento a la Ley 9162, la CCSS solo puede compartir datos con instituciones públicas si existe:
Norma habilitante.
Convenio previo con objetivos claros en salud pública.
Un ejemplo es el convenio CCSS-CONAPDIS, que exige consentimiento informado del paciente para que se gestionen beneficios o certificaciones de discapacidad. En contraste, la CCSS aclaró que con el IMAS no se comparten diagnósticos médicos.
Protocolos mínimos inscritos
El Protocolo mínimo para el tratamiento de los datos personales del EDUS-ARCA se encuentra inscrito ante la Agencia de Protección de Datos de los Habitantes (PRODHAB). Este regula la transferencia, confidencialidad y trazabilidad de la información, en apego a la Ley 8968 de protección de datos personales.
Asimismo, la Resolución N.° 525-2023 de PRODHAB establece obligaciones reforzadas para la CCSS en casos de transferencia de datos.
Control de accesos y bitácoras
El Manual Operativo del Reglamento del EDUS – Asignación de Nivel de Acceso (GM-AES-MO-001) determina que cada funcionario solo puede consultar la información estrictamente necesaria según su rol.
El sistema implementa bitácoras electrónicas que registran cada acción: accesos, consultas y modificaciones realizadas en sesiones activas, garantizando trazabilidad y posibilidad de auditoría.
Capacitación y deber de secreto
La Gerencia Médica coordina capacitaciones continuas en protección de datos personales para el personal institucional. La normativa obliga a todos los funcionarios a guardar secreto profesional y funcional, incluso después de terminada su relación laboral con la CCSS.
Esto significa que un médico, administrativo o técnico que tuvo acceso a datos sensibles no puede revelarlos en ningún momento futuro, so pena de sanciones legales.
Reflexión final
El EDUS no es solo un sistema tecnológico, sino una plataforma atravesada por normativa, protocolos y responsabilidades éticas. Si bien existen debilidades señaladas por auditorías externas, la CCSS también ha desplegado un marco legal robusto: consentimiento informado, inscripción de protocolos, convenios supervisados y auditorías trazables.
El reto ahora es cerrar la brecha entre lo normado y la práctica, asegurando que cada paciente pueda confiar en que su información más íntima está verdaderamente protegida.
Firma:
Alberto Cabezas Villalobos, Periodista costarricense acreditado en el programa “Entre Todos” de Radio Victoria (Heredia). Especializado en administración de empresas y educación. Secretario de la Asociación Agencia para el Desarrollo Accesible sin Fronteras; Secretario de Relaciones Internacionales de la Confederación Unitaria de Trabajadores; Presidente de la Comisión de Accesibilidad de la Confederación Unitaria de Trabajadores; Miembro del Foro Nacional Consultivo de Personas con Discapacidad.
