La Superintendencia de Protección de Datos Personales emitió recientemente un pronunciamiento técnico relevante para las compañías de seguros y establecimientos de salud, en relación con el tratamiento de datos personales sensibles, particularmente información médica.

Es importante subrayar que este pronunciamiento no tiene carácter vinculante ni genera efectos jurídicos generales. No obstante, constituye una opinión técnica especializada en materia de protección de datos personales, que puede orientar a los actores involucrados respecto a sus obligaciones legales.

Contexto de la consulta

El análisis de la Superintendencia responde a una consulta presentada mediante Oficio SN, de fecha 25 de marzo de 2025, en la que se planteó lo siguiente:

“¿Se debe considerar que las compañías de seguros son encargadas de datos personales al tenor de lo dispuesto en el artículo 34 de la LOPDP cuando acceden a la información de los pacientes recolectada y transmitida por un establecimiento de salud, si esta transmisión se hace por cuenta y por pedido de los pacientes contratantes del seguro, sin que exista relación contractual entre el establecimiento y la aseguradora?”

Criterio de la Autoridad

Luego de un análisis exhaustivo, la Autoridad concluyó que tanto los establecimientos de salud como las compañías de seguros que reciben y tratan datos personales lo hacen en calidad de responsables del tratamiento, no como encargados, en los siguientes escenarios:

1. Prestación médica directa: El establecimiento de salud trata los datos personales con fines asistenciales. Actúa como responsable del tratamiento.

2. Transferencia a aseguradoras: La información médica es transferida a la aseguradora a pedido del paciente. En este caso, la aseguradora es destinataria de los datos.

3. Tratamiento con fines propios: La aseguradora o intermediario (productora o asesora de seguros) utiliza los datos personales para finalidades comerciales o contractuales propias, por lo que actúa también como responsable del tratamiento.

Este pronunciamiento deja claro que, incluso si los datos personales provienen de una transferencia legítima realizada por el paciente a través de un establecimiento de salud, la compañía de seguros que los procesa para sus propios fines debe cumplir con todas las obligaciones que la Ley Orgánica de Protección de Datos Personales (LOPDP) impone a los responsables del tratamiento, incluyendo:

• Adopción de medidas de seguridad adecuadas.

• Garantía de confidencialidad y transparencia.

• Gestión responsable del consentimiento informado.

• Protección reforzada al tratarse de datos sensibles de salud.

Las compañías de seguros, así como las productoras y asesoras de seguros, no son encargadas del tratamiento cuando acceden y utilizan información médica para sus propias finalidades comerciales o contractuales.

En tales casos, son responsables del tratamiento y deben cumplir con todas las obligaciones establecidas en la LOPDP.