EDUS

El problema que dice venir a resolver

Quien lo firma sostiene que el EDUS, creado por la Ley 9162 de 2013, ha permitido unificar la información clínica y mejorar la continuidad de la atención, pero que la evolución tecnológica, el crecimiento del volumen de datos y las amenazas de accesos indebidos dejaron al descubierto límites en la ley vigente.

Cita el ciberataque de 2022 a la infraestructura tecnológica de la CCSS y hallazgos de auditorías internas y externas: cuentas de usuario que no se desactivan cuando la persona deja de trabajar, perfiles con permisos excesivos, accesos de personal no autorizado y falta de protocolos uniformes para avisar de incidentes de seguridad.

Afirma que sin una reforma integral quedan vacíos legales y se afecta la confianza de las personas usuarias, y menciona los casos del sistema de salud británico, el estonio y el canadiense como ejemplos de países que aprovechan sus repositorios de datos de salud bajo marcos legales sólidos.

Qué dice el texto

• Para qué se usan los datos: La finalidad principal es la atención en salud: diagnóstico, prevención, rehabilitación y seguimiento. Se admiten usos secundarios como investigación biomédica, innovación, análisis epidemiológico, docencia y compras públicas estratégicas.
• El resguardo en esos usos: Los usos secundarios exigen anonimización (que la persona ya no pueda identificarse) o seudonimización (separar los datos del nombre, guardando aparte la llave), y consentimiento informado cuando los datos sí identifican a alguien.
• Derechos del paciente: Puede acceder a su información, saber quién entró a sus datos, corregir errores, oponerse a usos no asistenciales salvo que una ley lo disponga, revocar consentimientos y pedir anonimización, bloqueo o borrado cuando proceda.
• El control de accesos: La CCSS debe dar accesos diferenciados según el perfil de cada funcionario, bajo la regla del acceso mínimo necesario, y dejar registro auditable de consultas y cambios con usuario, fecha, hora y finalidad.
• Obligaciones de la CCSS: Debe garantizar seguridad y confidencialidad, definir un modelo de gobernanza con accesos segmentados, hacer evaluaciones periódicas de riesgo, habilitar canales para ejercer derechos y emitir protocolos de consentimiento y revocatoria.
• A quién aplica: Alcanza a la CCSS, sus dependencias y a toda entidad pública o privada que por ley, convenio o contrato acceda o procese datos del EDUS. Es de orden público e irrenunciable; lo no previsto se rige por la Ley 8968 de protección de datos.
• La plata y el reglamento: La CCSS define la estrategia de sostenibilidad financiera del EDUS y las instituciones públicas deben apoyarla a conseguir financiamiento interno o externo. El reglamento de la ley lo emite la CCSS en un plazo máximo de seis meses.