INS - Resolución 0457 de 2020

AA E oi INSTITUTO NACIONAL DE SALUD RESOLUCION NÚMERO 0457 DE 2020 (03 JUN 2020 ) Por medio de la cual se adiciona el anexo No. 02 de la Resolución 1607 de 2014 y se actualizala Política de Tratamiento de Datos Personales del Instituto Nacional de Salud LA DIRECTORA GENERAL DEL INSTITUTO NACIONAL DE SALUD En ejercicio de sus facultades constitucionales y legales, en especial las conferidas por elDecreto 470 de 1968, los numerales 8, 11 y 17 del artículo 9 del Decreto 4109 de 2011, y losnumerales 1, 16, 27 del artículo 5 del Decreto 2774 de 2012, y CONSIDERANDO: El Instituto Nacional de Salud — INS — es una Entidad de naturaleza científica y técnica, del ordennacional, creado por el Decreto 470 de 1968, con cambio de naturaleza mediante el Decreto 4109 de 2011 y reestructurado mediante los Decretos 2774 y 2775 del 28 de diciembre de 2012,adscrita al Ministerio de Salud y Protección Social, perteneciente al Sistema Nacional de Ciencia,Tecnología e Innovación, que tiene la responsabilidad de cumplir con las obligaciones yactividades establecidas por la Ley 1581 de 2012 “Por la cual se dictan disposiciones generalespara la protección de datos personales y demás normas concordantes y reglamentaras.

Que de conformidad con el Decreto 4109 de 2011 el Instituto Nacional de Salud -INS, en sucarácter de autoridad científico técnica tendrá como objeto: (i) el desarrollo y la gestión delconocimiento científico en salud y biomedicina para contribuir a mejorar las condiciones de saludde las personas; (ii) realizar investigación científica básica y aplicada en salud y biomedicina; (m)la promoción de la investigación científica, la innovación y la formulación de estudios de acuerdocon las prioridades de salud pública de conocimiento del Instituto; (iv) la vigilancia y seguridadsanitaria en los temas de su competencia; la producción de insumos y biológicos; y (v) actuarcomo laboratorio nacional de referencia y coordinador de las redes especiales, en el marco delSistema General de Seguridad Social en Salud y del Sistema de Ciencia, Tecnología e Innovación. Que la Constitución política de Colombia, define en su artículo 15 que todas las personas tienenderecho a su intimidad personal y familiar y a su buen nombre, y el Estado debe respetarlos yhacerlos respetar. De igual modo, tiene derecho a conocer, actualizar y rectificar las informacionesque se hayan recogido sobre ellas en bancos de datos y en archivos de entidades públicas yprivadas. Que la ley Estatutaria No, 1581 de 2012 “por la cual se dictan disposiciones generales para laprotección de datos personales” establece en su artículo 1°: “Objeto. La presente ley tiene porobjeto desarrollar el derecho constitucional que tienen todas las personas a conocer, actualizar yrectificar las informaciones que se hayan recogido sobre ellas en bases de datos o archivos, y losdemás derechos, libertades y garantías constitucionales a que se refiere el artículo 15 de laConstitución Política; así como el derecho a la información consagrado en el artículo 20 de lamisma”

Que el artículo 2° de la norma anteriormente mencionada establece: “Ámbito de aplicación. Losprincipios y disposiciones contenidas en la presente ley serán aplicables a los datos personalesregistrados en cualquier base de datos que los haga susceptibles de tratamiento por entidades denaturaleza pública o privada.RESOLUCIÓN NÚMERO — (457 DE 03 JUN 202AoJA No 2 Por medio de la cual se adiciona el anexo No. 02 de la Resolución 1607 de 2014 y se actualizala Política de Tratamiento de Datos Personales del Instituto Nacional de Salud La presente ley aplicará al tratamiento de datos personales efectuado en territorio colombiano ocuando al Responsable del Tratamiento o Encargado del Tratamiento no establecido en territorionacional le sea aplicable la legislación colombiana en virtud de normas y tratados internacionales internacionales. (...) Parágrafo. Los principios sobre protección de datos serán aplicables a todaslas bases de datos, incluidas las exceptuadas en el presente artículo, con los límites dispuestos enla presente ley y sin reñir con los datos que tienen características de estar amparados por lareserva legal. En el evento que la normatividad especial que regule las bases de datosexceptuadas prevea principios que tengan en consideración la naturaleza especial de datos, losmismos aplicarán de manera concurrente a los previstos en la presente ley.”

Que ley estatutaria 1581 de 2012 fue reglamentada mediante el decreto 1377 de 2013 que en suartículo No. 13 determina los requerimientos mínimos que debe contener las políticas detratamiento de información desarrolladas por responsables de los tratamientos de datos. Que la Resolución 1607 de 2014 del Instituto Nacional de Salud por medio de la cual “se adopta elreglamento de propiedad intelectual de Instituto Nacional de Salud-INS, la política para laprotección de datos personales establecida en la ley estatutaria No. 1581 de 2012 y se dictanotras disposiciones” mediante su anexo numero 2 regula el uso de las “Bases de datos contentivasde información del INS y políticas de manejo de la información para la protección de datospersonales”. Que se hace necesario ajustar la Resolución prenombrada al interior del Instituto en virtud de losseñalamientos establecidos por la ley y la Superintendencia de Industria y Comercio por tanto seadicionará el anexo No. 2 de la misma. Que El Instituto Nacional de Salud está comprometido con el cumplimiento de la regulación enmateria de protección de datos personales que son suministrados por la ciudadanía en general, através de la cual se garantizan los derechos de la privacidad y la intimidad de los titulares de losdatos personales y se define el compromiso de la Entidad en cumplimiento de los deberes comoresponsables del tratamiento de esta información. Que con base en lo anterior,

RESUELVE:

ARTICULO 1. ADICIÓN. Se modifica el Anexo No. 2 de la Resolución 1607 de 2014 adicionando lassiguientes disposiciones: (...) ARTÍCULO DÉCIMO: OBJETIVO. Establecer los criterios de recolección, almacenamiento,actualización, uso, circulación y supresión de los datos personales de los ciudadanos tratados por elInstituto Nacional de Salud, a los cuales tenga acceso a través del desarrollo de sus actividadesmisionales, de acuerdo con la normatividad vigente.

ARTICULO DÉCIMO PRIMERO. ALCANCE. Los lineamientos contenidos en esta política son deobligatorio y estricto cumplimiento para todo el Talento Humano del Instituto Nacional de Salud, sinimportar el tipo de vinculación, que en el ejercicio de sus funciones manejen información personalregistrada en las bases de datos de la Entidad, quien actúa en calidad de Responsable deltratamiento de los datos personales, en cumplimiento de lo establecido en la Ley 1581 de 2012.

ARTICULO DÉCIMO SEGUNDO. DEFINICIONES.

Autorización: Consentimiento previo, expreso e informado del Titular para llevar a cabo elTratamiento de sus Datos Personales.

Aviso de Privacidad: Comunicación verbal o escrita generada por el Responsable, dirigida al titularpara el tratamiento de sus datos personales, mediante la cual se le informa acerca de la existencia delas Políticas de Tratamiento de información que le serán aplicables, la forma de acceder a las mismasy las finalidades del tratamiento que se pretende dar a los datos personales.03 JUN 2020RESOLUCIÓN NÚMERO 0457 DE HOJA No 3

Por medio de la cual se adiciona el anexo No. 02 de la Resolución 1607 de 2014 y se actualizala Política de Tratamiento de Datos Personales del Instituto Nacional de Salud Base de Datos: Conjunto organizado de datos personales que sea objeto de tratamiento.

Confidencialidad: Se refiere a la privacidad de los elementos de información almacenados yprocesados en un sistema informático, basándose en este principio, las herramientas de seguridadinformática deben proteger el sistema de invasiones y accesos por parte de personas o programasno autorizados. Este principio es particularmente importante en sistemas distribuidos, es decir,aquellos en los que los usuarios, computadores y datos residen en dispositivos diferentes, peroestán física y lógicamente interconectados.

Dato Personal: Cualquier información vinculada o que pueda asociarse a una O varias personasnaturales determinadas o determinables, como su nombre o número de identificación, o sus rasgosfísicos.

Dato Público: Es el dato que no sea semiprivado, privado o sensible. Son considerados datospúblicos, entre otros, los datos relativos al estado civil de las personas, a su profesión u oficio y a sucalidad de comerciante o de servidor público. Por su naturaleza, los datos públicos pueden estarcontenidos, entre otros, en registros públicos, documentos públicos, gacetas y boletines oficiales ysentencias judiciales debidamente ejecutoriadas que no estén sometidas a reserva.

Datos Sensibles: Información que afecta la intimidad del titular o cuyo uso indebido puede generarsu discriminación, tales como aquellos que revelen el origen racial o étnico, la orientación política, lasconvicciones religiosas o filosóficas, la pertenencia a sindicatos, organizaciones sociales, dederechos humanos o que promueva intereses de cualquier partido político o que garanticen losderechos y garantías de partidos políticos de oposición, así como los datos relativos a la salud, a lavida sexual, y a los datos biométricos. La Ley Estatutaria de Protección de Datos Personalesconsidera dentro de la categoría de datos especiales los datos sensibles y los relativos a las niñas,niños y adolescentes, Artículos 5° y 7° respectivamente.

Disponibilidad: Se refiere a la continuidad de acceso a los elementos de informaciónalmacenados y procesados en un sistema informático. Basándose en este principio, lasherramientas de seguridad informática deber reforzar la permanencia del sistema informático, encondiciones de actividad adecuadas para que los usuarios accedan a los datos con la frecuencia ydedicación que requieran, este principio es importante en sistemas informáticos cuyoscompromisos con el usuario, es prestar servicio permanente.

Encargado del Tratamiento: Persona natural o jurídica, pública o privada, que por sí misma o enasocio con otros, realice el tratamiento de datos personales por cuenta del responsable delTratamiento. En los eventos en que el Responsable no ejerza como Encargado de la base de datos,se identificará expresamente quién será el Encargado.

Integridad: Se refiere a la validez y consistencia de los elementos de información almacenados yprocesados en un sistema informático. Basándose en este principio, las herramientas deseguridad informática deben asegurar que los procesos de actualización estén bien sincronizadosy no se dupliquen, de forma que todos los elementos del sistema manipulen adecuadamente losmismos datos. Este principio es importante en sistemas descentralizados, es decir, aquellos en losque diferentes usuarios, computadores y procesos comparten la misma información.

Responsable del Tratamiento: Persona natural o jurídica, pública o privada, que por sí misma o enasocio con otros, decida sobre la base de datos y/o el tratamiento de los datos.

Titular: Persona natural cuyos datos personales sean objeto de tratamiento.

Tratamiento: Cualquier operación o conjunto de operaciones sobre datos personales, tales como larecolección, almacenamiento, uso, circulación o supresión.

Transferencia: La transferencia de datos tiene lugar cuando el Responsable y/o Encargado delTratamiento de datos personales, ubicado en Colombia, envía la información o los datos personales aun receptor, que a su vez es Responsable del Tratamiento y se encuentra dentro o fuera del país.o 03 JUN 2020RESOLUCIÓN NUMERO 0457 DE HOJA No 4

Por medio de la cual se adiciona el anexo No. 02 de la Resolución 1607 de 2014 y se actualizala Política de Tratamiento de Datos Personales del Instituto Nacional de Salud Transmisión: Tratamiento de datos personales que implica la comunicación de los mismos dentro ofuera del territorio de la República de Colombia cuando tenga por objeto la realización de untratamiento por el Encargado por cuenta del Responsable. ARTICULO DÉCIMO TERCERO. RESPONSABLE DEL TRATAMIENTO. El Instituto Nacional deSalud, entidad de naturaleza científica y técnica, con personería jurídica, autonomía administrativa ypatrimonio propio creado mediante Decreto 470 de 1968, con cambio de naturaleza medianteDecreto 4109 de 2011 y reestructurado a través del Decreto 2774 de 2012, adscrita al Ministerio deSalud y Protección Social, perteneciente al Sistema General de Seguridad Social en Salud y alSistema Nacional de Ciencia, Tecnología e Innovación, identificada con NIT 899.999.403, condomicilio principal en la Av. Calle 26 No. 51 — 20 de la ciudad de Bogotá, Colombia, página webwww.ins.gov.co, correo electrónico contactenos@ins.gov.co y teléfono 2207700, será el responsabledel tratamiento de los datos personales a los cuales tenga acceso en el cumplimiento de susfunciones y actividades misionales. ARTICULO DÉCIMO CUARTO. TRATAMIENTO Y FINALIDAD. El tratamiento de datos personalesque realizará el Instituto Nacional de Salud atenderá de forma estricta los deberes de seguridad,confidencialidad, integridad y disponibilidad, ordenados por la Ley 1581 de 2012, el Decreto 1377 de2013 y demás normas concordantes, y se manejará acorde con el cumplimiento de los objetivos yfunciones institucionales, en especial:

1. El desarrollo y la gestión del conocimiento científico en salud y biomedicina para contribuir a mejorar las condiciones de salud de las personas.

2. Realizar investigación científica básica y aplicada en salud y biomedicina.

3. La promoción de la investigación cientifica, la innovación y la formulación de estudios deacuerdo con las prioridades de salud pública de conocimiento del Instituto.4. La vigilancia y seguridad sanitaria en los temas de su competencia; la producción de insumosy biológicos.

5. Actuar como Laboratorio Nacional de Referencia y coordinador de las redes especiales, en elmarco del Sistema General de Seguridad Social en Salud y del Sistema de Ciencia,Tecnología e Innovación.

ARTICULO DÉCIMO QUINTO. TRATAMIENTO DE DATOS SENSIBLES. El Instituto Nacional deSalud realiza el tratamiento de datos sensibles acorde con el artículo 6° y 17 de la ley 1581 de 2012, para su cuyo caso, se restringe el tratamiento de estos datos al personal estrictamente indispensable, atendiendo a losdeberes establecidos por la ley. Toda labor de tratamiento de datos sensibles deberá corresponder al ejercicio de las funcioneslegales atribuidas a la Entidad o a las finalidades mencionadas en la autorización otorgada por eltitular, excepto cuando la ley exima de su presentación. ARTICULO DÉCIMO SEXTO. DERECHOS DE NIÑOS, NIÑAS Y ADOLESENTES. Se prohíbe elTratamiento de datos personales de niños, niñas y adolescentes, excepto cuando se trate de datosde naturaleza pública, de conformidad con lo establecido en el artículo 7 de la Ley 1581 de 2012 ycuando dicho Tratamiento cumpla con los siguientes parámetros y requisitos:

1. Que responda y respete el interés superior de los niños, niñas y adolescentes.2. Que se asegure el respeto de sus derechos fundamentales.

Cumplidos los anteriores requisitos, el representante legal del niño, niña o adolescente otorgará laautorización previo ejercicio del menor de su derecho a ser escuchado, opinión que será valoradateniendo en cuenta la madurez, autonomía y capacidad para entender el asunto. ARTICULO DÉCIMO SÉPTIMO. DERECHOS DE LOS TITULARES. Los titulares de datospersonales tienen derecho a:03 JUN 2020RESOLUCIÓN NÚMERO 0457 DE HOJA No 5 Por medio de la cual se adiciona el anexo No. 02 de la Resolución 1607 de 2014 y se actualiza la Política de Tratamiento de Datos Personales del Instituto Nacional de Salud Acceder de forma gratuita a los datos proporcionados que hayan sido objeto de tratamiento.2. Conocer, actualizar y rectificar su información frente a datos parciales, inexactos, incompletos,fraccionados, que induzcan a error, o aquellos cuyo tratamiento esté prohibido o no haya sidoautorizado.Solicitar prueba de la autorización otorgada al Instituto. Presentar ante la Superintendencia de Industria y Comercio (SIC) quejas por infracciones a lodispuesto en la normatividad vigente.5. Revocar la autorización y/o solicitar la supresión del dato, siempre que no exista un deber

legal o contractual que impida eliminarlos.6. Abstenerse de responder las preguntas sobre datos sensibles. Tendrá carácter facultativo lasrespuestas que versen sobre datos sensibles o sobre datos de las niñas y niños yadolescentes. ARTICULO DÉCIMO OCTAVO. ÁREA RESPONSABLE DE LA ATENCIÓN DE PETICIONES,CONSULTAS Y RECLAMOS SOBRE DATOS PERSONALES Y PROCEDIMIENTO INTERNO. ElGrupo de Atención al Ciudadano es la dependencia que tiene a cargo la recepción de las solicitudesde los titulares para hacer efectivos sus derechos. La solicitud deberá presentarse a través de los canales de atención oficiales dispuestos por laEntidad, los cuales son:a) Ventanilla única de correspondencia en la dirección: Avenida calle 26 No 51-20 Can, BogotáD.C, Colombia, con atención de lunes a viernes en horario de 8:15 am a 4:45 pm. b) Aplicativo de PQRSD, el cual puede ser encontrado en la ruta:www.ins.gov.co/atencionalciudadano, en el espacio: “Formulario de contacto”. c) A través de las líneas de atención al ciudadano: (PQRSD): (57 +1)3244576Teléfono Conmutador: (57 +1)2207700 Opción 2 Línea Gratuita Nacional: 018000113400 conatención de lunes a viernes en horario de 8:15 am a 4:45 pm. d) A través del chat dispuesto en la página web: www.ins.gov.coe) Enviando un correo electrónico al email: contactenos@ins.gov.co ARTICULO DÉCIMO NOVENO. PROCEDIMIENTO PARA EL EJERCICIO DEL DERECHO DEHABEAS DATA: En cumplimiento de las normas sobre protección de datos personales, el InstitutoNacional de Salud presenta el procedimiento y requisitos mínimos para el ejercicio de sus derechos:

Para la radicación y atención de la solicitud, se requiere suministrar por parte del interesado, lasiguiente información: Nombre completo (nombres y apellidos);Tipo y número de documento de identificación;Copia de documento de identificación;Datos de contacto y medio para recibir respuesta a la solicitud (dirección física y/ocorreo electrónico) e informar sobre el estado del trámite; e. Motivo(s) o hechos(s) que da(n) lugar a la solicitud con una descripción precisa ycompleta de los hechos que dan lugar al reclamo.f Documentos y demás pruebas pertinentes que quiera hacer valer.g. En caso de presentar solicitud a nombre de un tercero, deberá remitir:i. Nombre completo (nombres y apellidos) del tercero que autoriza;ii. Copia de documento de identificación del tercero que autoriza; iti. El documento de autorización del titular (tercero que autoriza) para este trámite.h. Firma (si aplica). El término máximo previsto por la ley para resolver las reclamaciones es de quince (15) días hábiles,contado a partir del día siguiente a la fecha de su recibo. Cuando no fuere posible atender el reclamodentro de dicho término, el Instituto Nacional de Salud informará al interesado los motivos de lademora y la fecha en que se atenderá su reclamo, la cual en ningún caso podrá superar los ocho (8)días hábiles siguientes al vencimiento del primer término.03 JUN 2020RESOLUCION NUMERO 0457 DE HOJA No 6

Por medio de la cual se adiciona el anexo No. 02 de la Resolución 1607 de 2014 y se actualizala Política de Tratamiento de Datos Personales del Instituto Nacional de Salud La respuesta a la consulta deberá comunicarse al solicitante en un término máximo de diez (10) díashábiles contados a partir de la fecha de recibo de esta. Cuando no fuere posible atender la consultadentro de dicho término, se informará al interesado, expresando los motivos de la demora yseñalando la fecha en que se atenderá su consulta, la cual en ningún caso podrá superar los cinco (5)días hábiles siguientes al vencimiento del primer término. Una vez cumplidos los términos señalados por la Ley 1581 de 2012 y las demás normas que lareglamenten o complementen, el Titular al que se deniegue, total o parcialmente, el ejercicio de losderechos de acceso, actualización, rectificación, supresión y revocación podrá poner su caso enconocimiento de la Superintendencia de Industria y Comercio —Delegatura para la Protección deDatos Personales.

PARAGAFO: La Oficina Asesora Jurídica como Oficial de Protección de Datos Personales, segúnartículo 8°, numeral II, de la resolución No. 186 de 2019 expedida por el INS, asesorará a losresponsables de atender los reclamos y consultas que presenten los titulares de derechos sobreinformación contentiva de datos personales, al interior de cada dependencia del INS. Con el fin debrindar dicha asesoría a las áreas competentes de la respuesta, se estableció el correodatospersonales@ins.gov.co.

De igual forma, durante el año, constatará el trámite de todas las solicitudes presentadas por de losTitulares de los datos personales para el ejercicio de sus derechos. ARTICULO VIGÉSIMO. ARTICULACIÓN CON EL MODELO INTEGRADO DE PLANEACIÓN YGESTIÓN (MIPG). Esta política institucional, se articula con la política de Seguridad Digital y lapolítica de Transparencia, acceso a la información pública y lucha contra la corrupción del ModeloIntegrado de Planeación y Gestión, en cumplimiento al decreto 1499 de 2017 publicado en lasinstalaciones del INS y en la página electrónica institucional de la Entidad. ARTÍCULO VIGÉSIMO PRIMERO. VIGENCIA DE LAS BASES DE DATOS. Las bases de datos enlas que se registrarán los datos personales tendrán una vigencia igual al tiempo en que se mantengay utilice la información para las finalidades descritas en esta política. Los datos personales proporcionados se conservarán mientras no se solicite su supresión por elinteresado y siempre que no exista un deber legal de conservarlos.” ARTÍCULO 2°. VIGENCIA. La presente Resolución adiciona el Anexo No. 2° de la Resolución No.1607 del 14 de diciembre de 2014, y se publicará a través de la página Web.

La presente Resolución rige a partir de la fecha de su expedición. PUBLIQUESE COMUNÍQUESE Y CÚMPLASE MARTHA LUCÍA OSPINA MARTÍNEZDIRECTORA GENERAL Proyectó: Alejandra Vega Sarmiento - Oficina Asesora JurídicaProyectó: Katherine Buendía Franco — Oficina Asesora JurídicaProyectó: Sebastián Beltrán — Oficina Asesora JurídicaRevisó: Amanda Julieth Rivera_ Grupo de Atención al CiudadanoRevisó: Carolina Monroy Calvo — Asesora de la Dirección General.Aprobó: Elsa Marlén Baracaldo — Jefe Oficina TICsAprobó: Luis Ernesto Flórez Simanca Jefe Oficina Asesora weal \