1. Introducción

La protección de la intimidad es el objeto de un derecho fundamental, se persigue la tutela de los aspectos mas sensibles de la personalidad que inciden en la construcción de la propia identidad. La singularidad de la persona humana se arraiga en su historicidad; las vivencias invididuales, familiares,  los sucesos sociales dan forma y moldean a cada persona como un ser nuevo, único e irrepetible. El hombre, en sentido de especie y no de género, es propietario absoluto de aquella historia personal que se materializa en las nociones de intimidad y privacidad.

En los tiempos que corren, a pesar de ser un bien preciado, la zona de reserva vinculada a la intimidad y privacidad de las personas se vulnera en forma sistemática en especial a partir de la circulación y proliferación de bancos y registros de datos personales administrados por grupos interesados en conocer aquella información, con el objeto de disminuir hipótesis de riesgo, en especial en aquellas relaciones comerciales, laborales o financieras en donde las cualidades personales pueden llegar a ser definitorias a la hora de la efectiva contratación.

Con el desarrollo de la informática se han potenciado los sistemas de almacenamiento y recopilación de datos personales; las posibilidades de entrecruzarlos permiten tener información acabada sobre datos sensibles de cualquier persona; este torbellino informático fragiliza la indemnidad informativa personal.
Los mecanismos propuestos para limitar la expansión y el manejo arbitrario de los datos personales consisten en generar acciones de control y acceso sobre el acopio de la información personal obrante en bancos de datos.

La facultad reconocida para facilitar el acceso y el control de la información sensible se ha denominado “autodeterminación informativa”, también se encuentran referencias similares tales como el “derecho personal a los datos personales” .
Desde otra perspectiva se indica la presencia de una nueva rama del derecho, conocida como “Derecho de la Protección de Datos Personales”, definiéndola como "aquella parte de la legislación que protege el derecho fundamental de libertad, en particular el derecho individual a la intimidad respecto del procesamiento manual o automático de datos” .
En el ámbito del derecho continental ibérico se ha precisado que la “libertad informática” engloba un nuevo derecho fundamental, característico de la tercera generación, que tiene por finalidad "garantizar la facultad de las personas de conocer y acceder a las informaciones que les conciernen, archivadas en bancos de datos; controlar su calidad, lo que implica la posibilidad de corregir o cancelar los datos inexactos o indebidamente procesados, y disponer sobre su transmisión" .

En estos casos la protección del “dato personal” se vincula con el principio de autonomía en el sentido que cada persona pueda ejercer el derecho al acceso a la información, para luego poder peticionar la rectificación, actualización o la supresión de sus datos personales.   
El derecho de/a la protección de datos personales o hábeas data es de naturaleza instrumental, ya que a través de su ejercicio se materializa la protección de los derechos fundamentales a la intimidad y privacidad, de ahí la denominación de aquellos como garantías, más que como derechos.  En la doctrina constitucional nacional se ha precisado que "...dentro del ámbito tutelar de los derechos personales, y en afinidad con las garantías clásicas frente al Estado, hay "derechos" denominados tales que, en rigor, sirven y se usan para la defensa de otros derechos; a aquellos denominados derechos que se dirigen a proteger otros derechos se les asigna la categoría y naturaleza de garantías. 
 
2. Protección de datos personales en contextos de atención médica e investigación clínica.  Del Secreto Médico al Hábeas Data.
 
La protección tradicional de la intimidad dentro del contexto del ámbito de la atención médica, como ya se ha visto, ha girado alrededor del deber de sigilo y prudencia, conocido desde hace más de veinticinco siglos como el “secreto médico”; luego, en especial durante las últimas tres décadas, por influjo de la bioética, se ha desarrollado la regla de la confidencialidad. En la actualidad, en nuestro medio, y desde el último lustro, tiene particular relevancia la generación de normas vinculadas a la protección de datos personales, algunas de ellas reconocidas bajo la denominación de “Hábeas Data”.

Las normas referidas a la protección de datos personales y hábeas data no deben interpretarse como excluyentes de las disposiciones que regulan el respeto por la confidencialidad en las relaciones clínica o científicas; para cumplir acabadamente con el respeto por la intimidad en el ámbito de salud deberán armonizarse adecuadamente ambos grupos normativos. 
Uno de los primeros antecedentes normativos asociados a la protección de datos personales puede encontrarse en los “Principios rectores para la reglamentación de los ficheros computarizados de datos personales” de la Organización de las Naciones Unidas en donde se establecía que “no deberían registrarse datos que puedan originar una discriminación ilícita o arbitraria, en particular información sobre el origen racial o étnico, color, vida sexual, opiniones políticas, convicciones religiosas, filosóficas o de otro tipo o sobre la participación en una asociación o la afiliación de un sindicato” .

La labor legislativa más fecunda vinculada a la protección del dato personal y sensible aconteció en el ámbito de la Unión Europea, en donde el principal antecedente se reconoce en la  “Convención para la protección de los individuos con relación al procesamiento automático de datos personales”  que sentó los “Principios básicos para la protección de datos”, tales como la obtención y finalidad legítima y la calidad del dato.
La regulación actual europea reconoce uno de los más importantes precedentes en la Directiva 95/46/CE del Parlamento Europeo y Consejo denominada “Protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos”; a su vez la mayoría de los países que integran la unión poseen normas especiales de protección de datos personales, algunas con anterioridad a esa Directiva.

En la Argentina la normativa vigente ha tomado como antecedente la legislación comparada europea, en especial aquellas provenientes de Italia, Dinamarca, Austria, Alemania, Francia, Irlanda, entre otras . Son normas de alcance general que tutelan la indemnidad y calidad de los datos personales que se almacenen en registros, archivos,  bancos de datos o cualquier otro medio de tratamiento de datos;  la Ley de Protección de Datos Personales y Hábeas Data  (LPDP) establece la protección de los datos personales independientemente se trate de registros públicos o privados, con el objetivo de tutelar el derecho al honor y a la intimidad de las personas, y al mismo tiempo garantizar el acceso a aquellas bases de datos.

La LPDT reglamenta de algún modo la garantía constitucional, conocida como Hábeas Data, prevista en el artículo 43, que indica que “...Toda persona podrá interponer esta acción (amparo) para tomar conocimiento de los datos a ella referidos y de su finalidad, que consten en registros o bancos de datos públicos, o los privados destinados a proveer informes, y en caso de falsedad o discriminación, para exigir la supresión, rectificación, confidencialidad o actualización de aquéllos. No podrá afectarse el secreto de las fuentes de información periodística.”.

En el ámbito local la Constitución de la Ciudad de Buenos Aires ha incorporado la misma garantía de la Constitución Nacional en el artículo 16 al disponer que  “Toda persona tiene, mediante una acción de amparo, libre acceso a todo registro, archivo o banco de datos que conste en organismos públicos o en los privados destinados a proveer informes, a fin de conocer cualquier asiento sobre su persona, su fuente, origen, finalidad o uso que del mismo se haga.”.

La LPDP establece en su artículo 1°, en consonancia con la disposición constitucional, que los registros o bancos deben tener estar destinados a dar informes; esto ha dado lugar a una interpretación restrictiva que entendía que solamente se incluían a aquellos registros cuyo destino era la provisión de información a terceros; al mismo tiempo se generaba otra interpretación más abarcativa que incluía todo tipo de base de datos que contuviera información sensible o personal.

La tesis amplia finalmente es la que debe regir en cuanto al ámbito de aplicación de la LPDP; ya que el decreto reglamentario  se encargó de precisar el alcance de la norma al establecer que “quedan comprendidos en el concepto de archivos, registros, bases o bancos de datos privados destinados a dar informes, aquellos que exceden el uso exclusivamente personal y los que tienen como finalidad la cesión o transferencia de datos personales, independientemente de que la circulación del informe o la información producida sea a título oneroso o gratuito”.

La LPDP establece que los datos vinculados a la salud de las personas son considerados “datos sensibles”, quedando, en consecuencia bajo el amparo de las disposiciones de la ley. Por otro lado, con relación a los contextos en donde la información se recolecta con fines de atención médica, la LPDP establece en su artículo 8° que: “Los establecimientos sanitarios públicos o privados y los profesionales vinculados a las ciencias de la salud pueden recolectar y tratar los datos personales relativos a la salud física o mental de los pacientes que acudan a los mismos o que estén o hubieren estado bajo tratamiento de aquéllos, respetando los principios del secreto profesional”.

3. Alcances y definiciones de la LPDP.

La armonización de la LPDP con disposiciones específicas vinculadas a la confidencialidad que aplican en el campo de la asistencia sanitaria e investigación clínica, debe realizarse a partir de un cabal conocimiento de la LPDP, en especial a partir de su ámbito de aplicación y de las definiciones que la misma ley aporta.
El artículo 2° de la LPDP introduce una serie de definiciones que permiten una mejor comprensión de los supuestos y circunstancias que quedan subsumidos en las disposiciones de la misma ley.

- Datos personales: “Información de cualquier tipo referida a personas físicas o de existencia ideal determinadas o determinables”. Esta definición legal parecería excluir, en principio, a aquella información que provenga de investigaciones epidemiológicas o que involucren determinadas  poblaciones, ya que se trata de información colectiva y no referida a personas físicas o jurídicas determinadas o determinables. Ello es así ya que la propia ley en el artículo 28° plantea la exclusión de “las encuestas de opinión, mediciones y estadísticas relevadas conforme a Ley 17622, trabajos de prospección de mercados, investigaciones científicas o médicas y actividades análogas, en la medida que los datos recogidos no puedan atribuirse a una persona determinada o determinable”. Sin embargo puede tratarse de información “sensible”, como acontece por ejemplo,  en el estudio de la prevalencia de enfermedades endémicas o características étnicas de una comunidad determinada, en la predisposición genética de grupos en riesgo de adquirir determinadas dolencias. Estos “datos sensibles comunitarios”, deben ser objeto de cuidado y protección; a pesar de no estar expresamente incorporados en la LPDP existen normas, aceptadas internacionalmente, que prevén y regulan ese tipo de investigaciones.

– Datos sensibles: “Datos personales que revelan origen racial y étnico, opiniones políticas, convicciones religiosas, filosóficas o morales, afiliación sindical e información referente a la salud o a la vida sexual.” Las muestras biológicas, en especial, aquellas que contienen información sobre el código genético personal, deberían quedar incluidas en esta categoría; en especial por el particular auge que los estudios de Farmacogenética están teniendo en la actualidad. La referencia a la salud como dato sensible, debe incluir, además, toda aquella información que, aunque “stricto sensu” no se encuentre relacionada directamente con la misma, se haya recolectado con fines asistenciales o de investigación, como por ejemplo hábitos de vida, de consumo, historia personal y antecedentes familiares, etc. 

– Archivo, registro, base o banco de datos: “Indistintamente, designan al conjunto organizado de datos personales que sean objeto de tratamiento o procesamiento, electrónico o no, cualquiera que fuere la modalidad de su formación, almacenamiento, organización o acceso”. En esta categoría se incluyen historias clínicas, fichas de atención ambulatoria, partes quirúrgicos y/o anestésicos, legajos médicos de servicios de medicina laboral, resultados de estudios clínicos y de laboratorio (en este caso debe prestarse especial cuidado a los registros de serologías para determinar la presencia directa o indirecta del virus VIH, ya que existe normativa especial para proteger la intimidad en estos supuestos ) En el ámbito de la investigación clínica todos los documentos que recolecten información sensible de cada sujeto de investigación deben incluirse en esta categoría: Legajo de seguimiento individual (Case Report Form CRF), registro de eventos adversos (SAE), archivos de los comités de revisión institucional (Institutional Review Board IRB) o comités de ética independiente, entre otros.

– Tratamiento de datos: “Operaciones y procedimientos sistemáticos, electrónicos o no, que permitan la recolección, conservación, ordenación, almacenamiento, modificación, relacionamiento, evaluación, bloqueo, destrucción, y en general el procesamiento de datos personales, así como también su cesión a terceros a través de comunicaciones, consultas, interconexiones o transferencias”.

– Responsable de archivo, registro, base o banco de datos: “Persona física o de existencia ideal pública o privada, que es titular de un archivo, registro, base o banco de datos.”

– Datos informatizados: “Los datos personales sometidos al tratamiento o procesamiento electrónico o automatizado.”

– Titular de los datos: “Toda persona física o persona de existencia ideal con domicilio legal o delegaciones o sucursales en el país, cuyos datos sean objeto del tratamiento al que se refiere la presente ley.”

– Usuario de datos: “Toda persona, pública o privada que realice a su arbitrio el tratamiento de datos, ya sea en archivos, registros o bancos de datos propios o a través de conexión con los mismos.”

– Disociación de datos: “Todo tratamiento de datos personales de manera que la información obtenida no pueda asociarse a persona determinada o determinable.”

En el sistema de protección de datos sensibles y personales existen distintos mecanismos particulares para hacer efectiva la tutela de la información; en ese sentido se han distinguido y definido distintas versiones de la garantía del hábeas data, tales como:

1. Hábeas data  propio

El hábeas data en sentido estricto corresponde a toda acción destinada a incidir directamente sobre los datos sensibles y personales obrantes de registros. En esta versión existen dos tipos, el hábeas data informativo,  vinculado al acceso y conocimiento del tipo de dato, ubicación del registro, finalidad del registro, fuentes de obtención; tiene características preventivas ya que se trata de conocer cuál es la situación para poder luego ejercer acciones concretas de supresión y/o rectificación.

El segundo tipo es el hábeas data reparador, que a su vez presenta una variada gama de subtipos y subespecies, en este caso se trata de producir modificaciones como mecanismo de protección efectiva a los derechos involucrados.
En este último caso la petición modificatoria puede consistir en el aditamento, actualización o aclaración de la información. Del mismo modo puede acontecer que se requiera la corrección de datos falsos, inexactos o imprecisos. También puede solicitarse la eliminación total o parcial de los datos registrados, cuando por ejemplo la colecta y almacenamiento no se condicen con la finalidad del banco o base de datos.
En algunos casos especiales la acción sobre el banco de datos puede consistir en la solicitud expresa en que se mantenga o refuerce el sistema de protección de la intimidad y confidencialidad; mientras que en otros, cuando el dato deba estar anonimizado, podrá interponerse la acción de hábeas data a los efectos de solicitar la disociación irreversible entre la información y su titular.

En algunos casos, la LPDP prevé que la información pueda ser bloqueada por el juez de la causa, mientras se sustancia la acción, como fin de proteger la confidencialidad durante todo el proceso hasta su conclusión definitiva. En otros casos puede solicitarse la constatación judicial de las condiciones de seguridad de los registros o bancos de datos, a los efectos de garantizar la plena protección de la intimidad y confidencialidad, solicitando, si así correspondiere la adecuación a estándares seguros de protección.

2. Hábeas data impropio

El hábeas data impropio admite dos clasificaciones, en primer lugar, cuando la acción se encamina a  obtener información pública que no se suministra por otro medio a la persona interesada, y en segundo lugar cuando se realiza la petición como forma de ejercer la facultad de replicar información de carácter personal difundida a través de los medios de comunicación social.

En el primer caso, en el ámbito local la Ley 104 de acceso a la información consagra el Derecho a recibir información completa, veraz, adecuada y oportuna de los registros públicos, establece la gratuidad del procedimiento, salvo, cuando proceda, los costos de reproducción que los debe abonar el solicitante. Por otro lado la norma establece como formalidad, que la petición se haga por escrito, e impone a la administración el plazo de diez días para dar respuesta a la solicitud de acceso a la información.