Un trabajador de una empresa contratista va a un centro médico, se hace los exámenes que exige la faena, y el resultado termina cargado en la plataforma de acreditación de la mandante. Tres empresas y una plataforma tocaron el mismo dato de salud. Si mañana ese dato se filtra, ¿quién responde?
La pregunta no es teórica. De ella dependen quién firma qué contrato, quién debe informar al trabajador y quién queda expuesto ante una fiscalización.
La distinción, en una línea
El artículo 15 bis de la Ley N° 21.719 distingue ambas figuras al disponer que «el responsable puede efectuar el tratamiento de datos en forma directa o a través de un tercero mandatario o encargado. En este último caso, el tercero mandatario o encargado realiza el tratamiento de datos personales conforme al encargo y a las instrucciones que le imparta el responsable, quedándole prohibido su tratamiento para un objeto distinto del convenido con el responsable».
Es decir: responsable es quien decide para qué se tratan los datos; encargado es quien los trata siguiendo instrucciones ajenas. Quien decide, responde.
El error que se comete siempre: repartir por empresa
Lo habitual es intentar asignar una etiqueta a cada compañía —«la mandante es responsable, el resto son encargados»— y descubrir después que no calza. No calza porque el rol se define por flujo, no por empresa. La misma organización puede ser responsable en un tratamiento y encargada en otro, el mismo día.
La empresa contratista
Es responsable de los datos de su propio personal: los contrató, decide qué exámenes pide, mantiene su ficha laboral. Y es encargada cuando la mandante le entrega datos para un fin determinado, por ejemplo un listado de personal autorizado para una tarea específica.
El centro médico o prestador de salud ocupacional
Es responsable de la ficha clínica que genera. No la trata por instrucción de nadie: la genera en ejercicio de un acto médico, y su contenido queda sujeto a las normas sanitarias. La empresa que paga el examen no adquiere por eso la calidad de responsable del dato clínico.
Esta es la confusión más costosa que vemos: se asume que quien paga es dueño del resultado. No lo es. El artículo 16 bis de la Ley N° 21.719 reserva el tratamiento de los datos de salud a los fines previstos por las leyes especiales en materia sanitaria, y prohíbe la cesión de los recolectados en el ámbito laboral salvo autorización legal expresa.
La empresa mandante
Es responsable respecto de la información que decide exigir para autorizar el ingreso a su faena: qué requisitos pide, con qué criterios, por cuánto tiempo los conserva. Lo que no puede es convertirse, sin decirlo, en depositaria de fichas clínicas de personas que no son sus dependientes.
La plataforma de acreditación
Es encargada, casi siempre de la mandante. Y es el actor que con más frecuencia queda sin contrato de encargo, porque el vínculo se documentó como una compra de software y no como un tratamiento de datos por cuenta ajena. El artículo 15 bis le prohíbe expresamente tratar esos datos «para un objeto distinto del convenido con el responsable».
Por qué conviene resolverlo antes y no después
Tres razones concretas:
- Los contratos. Un encargo de tratamiento exige instrucciones escritas. Si no existen, la discusión sobre quién autorizó qué se resuelve por lo que aparezca en los correos.
- El deber de informar. Alguien tiene que decirle al trabajador qué datos suyos se tratan y con qué finalidad. Si los tres suponen que lo hace otro, no lo hace ninguno.
- La respuesta a una solicitud. Cuando un trabajador pida acceso a sus datos, el artículo 11 de la Ley N° 21.719 obliga al responsable a pronunciarse dentro de treinta días corridos, plazo prorrogable por una sola vez hasta por treinta días corridos más. En la práctica, si nadie sabe a quién le corresponde responder, buena parte de ese plazo se consume en averiguarlo.
Cómo se hace el mapa, en la práctica
El ejercicio es más simple de lo que parece y no requiere abogados en la primera pasada. Para cada flujo —examen preocupacional, acreditación, control de acceso, telemetría, transporte de personal— se responden cuatro preguntas:
- ¿Qué dato entra, y es sensible?
- ¿Quién decidió que se tratara, y con qué finalidad?
- ¿Quién lo toca materialmente, y por cuenta de quién?
- ¿Qué cruza de una empresa a otra, y con qué base?
Al terminar, la mayoría de las organizaciones descubre dos o tres flujos que nadie había mapeado. Suelen ser los que más exposición generan, precisamente porque nadie los estaba mirando.
La solución técnica que evita la discusión
Hay una forma de reducir el problema en su origen: que el dato clínico no se mueva. Si el prestador conserva la ficha y hacia la faena viaja solo la conclusión de aptitud, la mandante deja de recibir datos de salud y la discusión sobre su rol respecto de ese dato desaparece, porque el dato nunca llegó. Es la arquitectura sobre la que está construido GesDoc, y la razón por la que la empresa recibe un estado en vez de un archivo.
Para el mapa completo de tratamientos, los contratos de encargo y el registro que hay que poder mostrar, está SIDAP.