MINSALUD - Concepto Jurídico 202011601051591 de 2020

202011601051591 Al contestar por favor cite estos datos:

Radicado No.: 202011601051591

Fecha: 14-07-2020

Página 1 de 5 Bogotá D.C.

URGENTE Asunto: Consulta sobre tratamiento de información solicitada en las auditorías a la Entidades Promotoras de Salud por entes municipales.

Radicado No. 202042300943042. Respetada señora Hemos recibido su comunicación, en la que solicita concepto jurídico respecto del tratamiento de la información solicitada en las auditorías realizadas por los municipios a las Entidades Promotoras de Salud EPS, ya que algunas de ellas presuntamente se niegan a entregar la información soportándose en la Ley de Habeas Data, por lo cual, me permito señalar lo siguiente: El artículo 291 de la Ley 1438 de 20112, establece que los entes territoriales en su función de administrar el régimen subsidiado deberán realizar seguimiento y control de los afiliados dentro de su jurisdicción, garantizado que exista el acceso oportuno y de calidad al plan de beneficios en salud. Por su parte, el artículo 2.6.1.2.1.1. del Decreto 780 de 20163 señala que por parte de las entidades territoriales se deberán vigilar que las EPS cumplan con todas sus obligaciones frente a los usuarios así: “ARTÍCULO 2.6.1.2.1.1. SEGUIMIENTO Y CONTROL DEL RÉGIMEN SUBSIDIADO. Las entidades territoriales vigilarán permanentemente que las EPS cumplan con todas sus obligaciones frente a los usuarios. De evidenciarse fallas o incumplimientos en las obligaciones de las EPS, estas serán objeto de requerimiento por parte de las entidades territoriales para

que subsanen los incumplimientos y de no hacerlo, remitirán a la Superintendencia Nacional de Salud, los informes correspondientes. 1 ARTÍCULO 29. ADMINISTRACIÓN DEL RÉGIMEN SUBSIDIADO. Los entes territoriales administrarán el Régimen Subsidiado mediante el seguimiento y control del aseguramiento de los afiliados dentro de su jurisdicción, garantizando el acceso oportuno y de calidad al Plan de Beneficios. 2 Por medio de la cual se reforma el Sistema General de Seguridad Social en Salud y se dictan otras disposiciones. 3 Por medio del cual se expide el Decreto Único Reglamentario del Sector Salud y Protección Social 202011601051591 Al contestar por favor cite estos datos:

Radicado No.: 202011601051591

Fecha: 14-07-2020

Página 2 de 5 Según lo previsto por la ley, la vigilancia incluirá el seguimiento a los procesos de afiliación, el reporte de novedades, la garantía del acceso a los servicios, la red contratada para la prestación de los servicios de salud, el suministro de medicamentos, el pago a la red prestadora de servicios, la satisfacción de los usuarios, la oportunidad en la prestación de los servicios, la prestación de servicios de promoción y prevención, así como otros que permitan mejorar la calidad en la atención al afiliado, sin perjuicio de las demás obligaciones establecidas en las normas vigentes.” La Superintendencia Nacional de Salud, mediante la Circular 001 de 20204, impartió instrucciones sobre el ejercicio de las funciones de inspección, vigilancia y control a nivel territorial, y señaló: “Por otra parte, el artículo 36 de la Ley 1122 de 2007 creó el Sistema de inspección, Vigilancia

y Control del Sistema General de Seguridad Social en Salud - SGSSS como un conjunto de normas, agentes, y procesos articulados entre sí. el cual está en cabeza de la Superintendencia, así mismo, el articulo 39 ídem señaló que corresponde a ésta fijar las políticas de Inspección, Vigilancia y Control del SGSSS, por tanto, las autoridades administrativas del sector salud en sus diferentes niveles ….... Atendiendo la anterior, corresponde a las entidades territoriales del nivel departamental, distrital y municipal, ejercer funciones de inspección, vigilancia y control en su jurisdicción a ámbito territorial de competencia, relativas al aseguramiento y la prestación de servicios de salud, las cuales deben ejercerse dentro del sistema de inspección, vigilancia y control en cabeza de esta superintendencia”. (negrilla y Subraya fuera de texto). Igualmente, a través de la Circular 001 de 2020, la Superintendencia Nacional de Salud dio instrucciones a las Entidades Promotoras de Salud y entidades territoriales para la realización de las auditorías, señalado que es obligación de las EPS lo siguiente: “Para los fines del ejercicio de la inspección y vigilancia del aseguramiento y la prestación de servicios definidos en la presente Circular, se imparten las siguientes instrucciones:

A. A las Entidades Promotoras de Salud de los Regímenes Contributivo y Subsidiado Las Entidades Promotoras de Salud de los Regímenes Contributivo y Subsidiado deberán:

1. Suministrar oportunamente la totalidad de la información requerida por las Entidades Territoriales de los diferentes niveles, en el ejercicio de sus funciones de inspección, vigilancia y control.

2. Contar con los recursos humanos, técnicos y logísticos que permitan el desarrollo de la auditoria por parte de las entidades territoriales de los diferentes niveles, para lo cual deberán 4 por la cual se imparten instrucciones sobre el ejercicio de las funciones de inspección, vigilancia y control a nivel territorial, haciendo obligatoria la adopción e implementación de la guía de auditora y del informe de auditoría dentro de los plazos establecidos

202011601051591 Al contestar por favor cite estos datos:

Radicado No.: 202011601051591

Fecha: 14-07-2020

Página 3 de 5 entregar la información a la autoridad departamental, distrital o municipal que esté Llevando a cabo la auditoría.” Por su parte, el artículo 35 de la Ley 1122 de 20075 definió las acciones de inspección y vigilancia, así: “A. Inspección: La inspección, es el conjunto de actividades y acciones encaminadas al seguimiento, monitoreo y evaluación del Sistema General de Seguridad Social en Salud y que sirven para solicitar, confirmar y analizar de manera puntual la información que se requiera sobre la situación de los servicios de salud y sus recursos, sobre la situación jurídica, financiera, técnica-científica, administrativa y económica de las entidades sometidas a vigilancia de la Superintendencia Nacional de Salud dentro del ámbito de su competencia. Son funciones de inspección entre otras las visitas, la revisión de documentos, el seguimiento de peticiones de interés general o particular y la práctica de investigaciones administrativas. (negrilla y subrayada fuera de texto).

B. Vigilancia: La vigilancia, consiste en la atribución de la Superintendencia Nacional de Salud

para advertir, prevenir, orientar, asistir y propender porque las entidades encargadas del financiamiento, aseguramiento, prestación del servicio de salud, atención al usuario, participación social y demás sujetos de vigilancia de la Superintendencia Nacional de Salud, cumplan con las normas que regulan el Sistema General de Seguridad Social en Salud para el desarrollo de este.” Ahora, respecto a la protección de datos, el artículo 10 de la Ley Estatutaria 1581 de 20126, señaló los casos en que no es necesario contar con autorización del titular de la información para el tratamiento de sus datos: “ARTÍCULO 10. CASOS EN QUE NO ES NECESARIA LA AUTORIZACIÓN. La autorización del Titular no será necesaria cuando se trate de: a) Información requerida por una entidad pública o administrativa en ejercicio de sus funciones legales o por orden judicial; b) Datos de naturaleza pública; c) Casos de urgencia médica o sanitaria; d) Tratamiento de información autorizado por la ley para fines históricos, estadísticos o científicos; e) Datos relacionados con el Registro Civil de las Personas. 5 Por la cual se hacen algunas modificaciones en el Sistema General de Seguridad Social en Salud y se dictan otras disposiciones. 6 Por la cual se dictan disposiciones generales para la protección de datos personales. 202011601051591 Al contestar por favor cite estos datos:

Radicado No.: 202011601051591

Fecha: 14-07-2020

Página 4 de 5 Quien acceda a los datos personales sin que medie autorización previa deberá en todo caso cumplir con las disposiciones contenidas en la presente ley.” (Negrilla y subrayas fueras de texto). La corte Constitucional en la sentencia C-748 del 6 de octubre de 20117, efectuó el

estudio de constitucionalidad del Proyecto de la Ley Estatutaria 1581 de 2012, y respecto de lo previsto en el artículo 10, indicó: “En relación, con las autoridades públicas o administrativas, señaló la Corporación que tal facultad “no puede convertirse en un escenario proclive al abuso del poder informático, esta vez en cabeza de los funcionarios del Estado. Así, el hecho que el legislador estatutario haya determinado que el dato personal puede ser requerido por toda entidad pública, bajo el condicionamiento que la petición se sustente en la conexidad directa con alguna de sus funciones, de acompasarse con la garantía irrestricta del derecho al hábeas data del titular de la información. En efecto, amén de la infinidad de posibilidades en que bajo este expediente puede accederse al dato personal, la aplicación del precepto bajo análisis debe subordinarse a que la entidad administrativa receptora cumpla con las obligaciones de protección y garantía que se derivan del citado derecho fundamental, en especial la vigencia de los principios de finalidad, utilidad y circulación restringida. Para la Corte, esto se logra a través de dos condiciones: (i) el carácter calificado del vínculo entre la divulgación del dato y el cumplimiento de las funciones de la entidad del poder Ejecutivo; y (ii) la adscripción a dichas entidades de los deberes y obligaciones que la normatividad estatutaria predica de los usuarios de la información, habida consideración que ese grupo de condiciones permite la protección adecuada del derecho. En relación con el primero señaló la Corporación que “la modalidad de divulgación del dato personal prevista en el precepto analizado devendrá legítima, cuando la motivación de

la solicitud de información esté basada en una clara y específica competencia funcional de la entidad.” Respecto a la segunda condición, la Corte estimó que una vez la entidad administrativa accede al dato personal adopta la posición jurídica de usuario dentro del proceso de administración de datos personales, lo que de forma lógica le impone el deber de garantizar los derechos fundamentales del titular de la información, previstos en la Constitución Política y en consecuencia deberán: “(i) guardar reserva de la información que les sea suministrada por los operadores y utilizarla únicamente para los fines que justificaron la entrega, esto es, aquellos relacionados con la competencia funcional específica que motivó la solicitud de suministro del dato personal; (ii) informar a los titulares del dato el uso que le esté dando al mismo; (iii) conservar con las debidas seguridades la información recibida para 7 Magistrado Ponente: JORGE IGNACIO PRETELT CHALJUB Referencia: expediente PE-032. Control constitucional al Proyecto de Ley Estatutaria No. 184 de 2010 Senado; 046 de 2010 Cámara, “por la cual se dictan disposiciones generales para la protección de datos personales” 202011601051591 Al contestar por favor cite estos datos:

Radicado No.: 202011601051591

Fecha: 14-07-2020

Página 5 de 5 impedir su deterioro, pérdida, alteración, uso no autorizado o fraudulento; y (iv) cumplir con las instrucciones que imparta la autoridad de control, en relación con el cumplimiento de la legislación estatutaria.” Entonces, en concordancia con el artículo 10 de la Ley 1581 de 2012, la información

solicitada por los entes municipales en el marco de la auditoría e inspección y vigilancia que realizan a las Entidades Promotoras de Salud, no vulnera el régimen general del habeas data, ya que están cumpliendo una función legal que busca determinar que las EPS estén garantizando y cumpliendo adecuadamente la función del aseguramiento con sus afiliados. Ahora, es importante señalar que de conformidad con el artículo cuarto de la Ley 1581 de 2012 y de acuerdo a lo señalado en la sentencia C-748 del 6 de octubre de 2011, todas las personas que intervengan en el tratamiento de datos personales que no tengan la naturaleza de públicos, están obligadas a garantizar la reserva de la información, inclusive después de finalizada su relación con alguna de las labores que comprende el tratamiento, pudiendo sólo realizar suministro o comunicación de datos personales cuando ello corresponda al desarrollo de las actividades autorizadas ley y en los términos de la misma. El anterior concepto tiene los efectos determinados en el artículo 28 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, sustituido en su Título II, por el artículo 1 de la Ley 1755 de 2015. Cordialmente;