Guías
Protección de datos para nutricionistas en Colombia: Ley 1581
Qué exige la Ley 1581 de 2012 a una consulta de nutrición en Colombia: autorización previa para datos sensibles, política de tratamiento, el RNBD y quién está realmente obligado a registrarse.
El régimen colombiano descansa sobre una idea simple: para tratar datos sensibles necesitas autorización previa, expresa e informada. Los datos de salud lo son siempre. Esta guía baja eso a lo que tienes que tener firmado, escrito y documentado en consulta.
El marco es la Ley 1581 de 2012, desarrollada por el Decreto 1074 de 2015 —que compila el antiguo Decreto 1377 de 2013—. La autoridad es la Superintendencia de Industria y Comercio (SIC), a través de su Delegatura para la Protección de Datos Personales.
Datos sensibles y autorización previa
El artículo 5 de la Ley 1581 define como sensibles los datos que afectan la intimidad del titular o cuyo uso indebido puede generar discriminación, e incluye expresamente los relativos a la salud. Para tratarlos necesitas autorización previa, expresa e informada del titular, y hay dos obligaciones adicionales que se olvidan con frecuencia:
- Informar al titular que se trata de datos sensibles y cuáles son.
- Informar de forma explícita que no está obligado a autorizar su tratamiento.
La política de tratamiento de la información
Es un documento obligatorio, distinto del aviso de privacidad, y debe estar a disposición del titular. Como mínimo debe recoger:
- Identificación, dirección física o electrónica y teléfono del responsable.
- El tratamiento al que se someterán los datos y su finalidad.
- Los derechos que le asisten al titular.
- El área o persona responsable de atender consultas y reclamos.
- El procedimiento para que el titular ejerza sus derechos.
- La fecha de entrada en vigencia y el periodo de vigencia de la base de datos.
¿Tienes que registrarte en el RNBD?
Probablemente no, y conviene saberlo porque circula mucha información desactualizada. El Registro Nacional de Bases de Datos nació con un alcance amplio, pero el Decreto 090 de 2018 redujo el universo de obligados.
| Quién eres | ¿Debes inscribirte en el RNBD? |
|---|---|
| Profesional independiente (persona natural) | No — el Decreto 090 de 2018 exime a las personas naturales |
| Sociedad con activos totales inferiores a 100.000 UVT | No |
| Sociedad con activos totales superiores a 100.000 UVT | Sí |
| Entidad sin ánimo de lucro sobre ese mismo umbral | Sí |
| Entidad de naturaleza pública | Sí |
Consultas y reclamos
La ley fija plazos concretos para atender al titular, y son cortos. Tener un canal declarado y un procedimiento escrito no es burocracia: es lo que te permite responder dentro de plazo sin improvisar.
| Trámite | Plazo de respuesta | Prórroga |
|---|---|---|
| Consulta | 10 días hábiles | Hasta 5 días hábiles más, informando el motivo |
| Reclamo | 15 días hábiles | Hasta 8 días hábiles más, informando el motivo |
Cómo convive con la historia clínica
La Resolución 1995 de 1999 te obliga a conservar la historia clínica un mínimo de veinte años desde la última atención, repartidos entre archivo de gestión y archivo central. La ley de datos, por su parte, exige suprimir lo que ya no tiene finalidad. Se concilian igual que en el resto de la región: la obligación de conservación es una finalidad legítima, pero el uso activo del dato termina cuando termina la relación asistencial.
Medidas de seguridad
- Usuario nominal y contraseña propia para cada persona con acceso, con segundo factor donde se pueda.
- Cifrado de los equipos y dispositivos donde se consulten historias.
- Copias de seguridad con restauración probada.
- Acuerdos de confidencialidad con todo el personal y colaboradores.
- Registro de accesos cuando la herramienta lo permita.
- Archivo físico bajo llave para lo que siga en papel.
Encargados del tratamiento
Tu software de gestión, la pasarela de pagos, el correo y el almacenamiento en la nube son encargados del tratamiento: tratan datos por cuenta tuya. La responsabilidad frente al paciente sigue siendo tuya, así que pide a cada proveedor el acuerdo correspondiente y confirma dónde se alojan los datos antes de contratar.
Preguntas frecuentes
¿La autorización puede ser verbal?
La ley admite distintas formas siempre que quede prueba de la autorización. En datos sensibles conviene siempre la forma escrita o electrónica con constancia, porque la carga de demostrarla es tuya.
¿Necesito autorización para enviar recordatorios de cita?
Los recordatorios ligados a la prestación del servicio se enmarcan en la finalidad ya autorizada. El envío de promociones o contenidos comerciales es una finalidad distinta y necesita su propia autorización.
¿Qué pasa si el paciente revoca la autorización?
Debes cesar el tratamiento para las finalidades revocadas, pero la historia clínica se conserva por la obligación legal de la Resolución 1995. Explícaselo por escrito y documenta la decisión.
¿Aplica si atiendo por telemedicina desde otro país?
Si tratas datos de titulares en Colombia puede alcanzarte el régimen colombiano, y a la vez el del país donde estés establecido. Lo prudente es alinear tus prácticas al estándar más exigente de los dos.
Esta guía es informativa y no constituye asesoramiento legal. Consulta la normativa vigente en tu país y, si tienes dudas, con un profesional.
Próximo paso
Lleva la nutrición clínica al siguiente nivel con Almendra
Diseña planes, gestiona pacientes y automatiza seguimientos en una sola plataforma.