E.S.E. HOSPITAL REGIONAL OCCIDENTE
NIT: 807.008.843-6
Domicilio: Cáchira, Norte de Santander, Colombia
Dirección sede principal: Calle 6ª No. 4-89, barrio Kennedy
Código postal: 546030
Teléfono institucional: +57 311 803 9584
Correo institucional: [email protected]
Canal de atención al usuario – SIAU: [email protected]
Sitio web: www.esehospitalregionaloccidente.gov.co
Última actualización: 29 de agosto de 2026
1. OBJETO
La E.S.E. HOSPITAL REGIONAL OCCIDENTE, en adelante “la E.S.E.”, reconoce la importancia de garantizar los derechos fundamentales a la intimidad, privacidad, buen nombre, hábeas data y protección de los datos personales de pacientes, usuarios, trabajadores, contratistas, proveedores, ciudadanos y demás personas cuyos datos sean tratados en desarrollo de sus funciones.
La presente Política establece los principios, finalidades, procedimientos, medidas y reglas generales aplicables a la recolección, almacenamiento, organización, utilización, consulta, circulación, transmisión, transferencia, actualización, conservación, archivo, supresión y demás operaciones que constituyan tratamiento de datos personales por parte de la E.S.E.
Esta Política deberá ser interpretada de manera armónica con las normas especiales aplicables al sector salud, la reserva de la historia clínica, el derecho fundamental a la salud, la protección de datos personales, la transparencia y acceso a la información pública, la gestión documental y la seguridad de la información.
2. RESPONSABLE DEL TRATAMIENTO
El Responsable del Tratamiento de los datos personales es:
E.S.E. HOSPITAL REGIONAL OCCIDENTE
NIT: 807.008.843-6
Domicilio: Cáchira, Norte de Santander
Dirección: Calle 6ª No. 4-89, barrio Kennedy
Código postal: 546030
Teléfono: +57 311 803 9584
Correo institucional: [email protected]
Sitio web: www.esehospitalregionaloccidente.gov.co
Para efectos de recepción y canalización de consultas, reclamos y solicitudes relacionadas con datos personales, los titulares podrán utilizar el Servicio de Información y Atención al Usuario – SIAU, a través de los canales institucionales disponibles.
La atención material de cada solicitud podrá ser asignada internamente a la dependencia competente de acuerdo con la naturaleza de la información involucrada, particularmente cuando se trate de historias clínicas, talento humano, contratación, gestión documental, sistemas de información, seguridad de la información u otros asuntos especializados.
3. ALCANCE
Esta Política se aplica a los datos personales contenidos en bases de datos, archivos, historias clínicas, sistemas de información, plataformas tecnológicas, documentos físicos o electrónicos y demás repositorios que se encuentren bajo responsabilidad o custodia de la E.S.E.
Comprende, entre otros, los datos correspondientes a:
- Pacientes y usuarios de los servicios de salud.
- Familiares, acompañantes, cuidadores y representantes legales.
- Niños, niñas y adolescentes.
- Personas con discapacidad o que requieran apoyos.
- Servidores públicos, trabajadores y exempleados.
- Aspirantes a empleos, convocatorias o procesos de selección.
- Contratistas y excontratistas.
- Proveedores y potenciales proveedores.
- Representantes de personas jurídicas.
- Estudiantes, practicantes, aprendices y personal en formación.
- Profesionales de la salud.
- Ciudadanos que presentan peticiones, quejas, reclamos, sugerencias, denuncias, felicitaciones o solicitudes de acceso a información.
- Participantes en actividades de promoción y prevención.
- Asistentes a eventos, jornadas de salud y mecanismos de participación ciudadana.
- Visitantes de las instalaciones.
- Personas que interactúan con el sitio web, formularios, correos institucionales, redes sociales u otros canales digitales de la E.S.E.
- Terceros cuyos datos deban ser tratados para el cumplimiento de funciones legales, administrativas, asistenciales, contractuales o de interés público.
La Política se aplica tanto al tratamiento manual como al tratamiento automatizado o parcialmente automatizado de información.
4. MARCO NORMATIVO
La presente Política se fundamenta, entre otras, en las siguientes disposiciones y en aquellas que las reglamenten, modifiquen, adicionen o sustituyan:
La Constitución Política de Colombia, especialmente sus artículos 15, 20, 23, 48, 49 y 74.
La Ley Estatutaria 1581 de 2012, por la cual se dictan disposiciones generales para la protección de datos personales.
El Decreto 1074 de 2015, Decreto Único Reglamentario del Sector Comercio, Industria y Turismo, especialmente las disposiciones relativas a protección de datos personales.
La Ley 1712 de 2014, de Transparencia y del Derecho de Acceso a la Información Pública Nacional.
La Ley 1755 de 2015, regulatoria del derecho fundamental de petición.
La Ley Estatutaria 1751 de 2015, regulatoria del derecho fundamental a la salud.
La Ley 23 de 1981, en materia de ética médica.
La Resolución 1995 de 1999 del Ministerio de Salud, relativa al manejo de la historia clínica.
La Resolución 839 de 2017, que regula, entre otros aspectos, la custodia, retención, conservación y disposición final de historias clínicas.
La Ley 2015 de 2020, relacionada con la interoperabilidad de la Historia Clínica Electrónica.
La Resolución 866 de 2021, relacionada con los datos clínicos relevantes para la interoperabilidad de la historia clínica.
La Resolución 1888 de 2025 del Ministerio de Salud y Protección Social, mediante la cual se adopta el Resumen Digital de Atención en Salud – RDA en el marco de la Interoperabilidad de la Historia Clínica Electrónica – IHCE.
La Ley 594 de 2000, Ley General de Archivos.
La Ley 527 de 1999, aplicable a mensajes de datos y medios electrónicos.
La Resolución MinTIC 1519 de 2020, respecto de estándares de publicación, transparencia, accesibilidad y seguridad digital de sitios web de entidades públicas.
El Decreto 780 de 2016, Decreto Único Reglamentario del Sector Salud y Protección Social.
Las demás normas relativas a seguridad de la información, protección de datos personales, historia clínica, prestación de servicios de salud, archivo, transparencia, interoperabilidad y derechos de los usuarios.
5. DEFINICIONES
Para efectos de esta Política se adoptan las definiciones establecidas en la legislación colombiana y, particularmente, las siguientes:
Autorización: consentimiento previo, expreso e informado del Titular para llevar a cabo el tratamiento de datos personales, cuando esta sea legalmente requerida.
Base de datos: conjunto organizado de datos personales sometidos a tratamiento.
Dato personal: cualquier información vinculada o que pueda asociarse a una o varias personas naturales determinadas o determinables.
Dato público: dato que no sea semiprivado, privado o sensible y cuya naturaleza permita su conocimiento conforme a la ley.
Dato privado: información que por su naturaleza íntima o reservada solo es relevante para su Titular.
Dato semiprivado: información que no tiene naturaleza íntima, reservada ni pública y cuyo conocimiento puede interesar no solamente al Titular sino a determinado sector o grupo de personas.
Dato sensible: dato que afecta la intimidad del Titular o cuyo uso indebido puede generar discriminación. Se consideran sensibles, entre otros, los datos relativos a la salud, vida sexual, datos biométricos, origen racial o étnico, orientación política, convicciones religiosas o filosóficas y pertenencia a determinadas organizaciones.
Encargado del Tratamiento: persona natural o jurídica, pública o privada, que realiza tratamiento de datos personales por cuenta del Responsable.
Responsable del Tratamiento: persona natural o jurídica que decide sobre las bases de datos y/o el tratamiento de los datos. Para efectos de esta Política, corresponde a la E.S.E. Hospital Regional Occidente.
Titular: persona natural cuyos datos personales sean objeto de tratamiento.
Tratamiento: cualquier operación o conjunto de operaciones realizadas sobre datos personales, incluyendo recolección, almacenamiento, uso, circulación, consulta, actualización, transmisión, transferencia, archivo o supresión.
Historia clínica: documento privado, obligatorio y sometido a reserva en el cual se registran cronológicamente las condiciones de salud del paciente, los actos médicos y los demás procedimientos realizados por el equipo de salud.
Historia Clínica Electrónica – HCE: registro electrónico de información clínica cuya gestión se encuentra sujeta a las mismas condiciones de reserva, seguridad, confidencialidad e integridad aplicables a la historia clínica.
Interoperabilidad de Historia Clínica Electrónica – IHCE: capacidad para intercambiar información clínica relevante entre los actores autorizados del sistema, bajo condiciones de seguridad, trazabilidad, privacidad y confidencialidad.
6. PRINCIPIOS PARA EL TRATAMIENTO DE DATOS PERSONALES
La E.S.E. aplicará los siguientes principios:
6.1. Legalidad
El tratamiento se realizará conforme a la Constitución, la ley y las normas aplicables.
6.2. Finalidad
Los datos serán tratados para finalidades legítimas, específicas e informadas al Titular cuando corresponda.
6.3. Libertad
Cuando legalmente se requiera autorización, el tratamiento solo se realizará con consentimiento previo, expreso e informado del Titular.
6.4. Veracidad o calidad
La información deberá ser veraz, completa, exacta, actualizada, comprobable y comprensible.
6.5. Transparencia
El Titular podrá obtener información acerca de la existencia y tratamiento de sus datos personales en los términos establecidos legalmente.
6.6. Acceso y circulación restringida
Los datos personales no estarán disponibles indiscriminadamente a través de Internet u otros medios de comunicación masiva, salvo que sean datos públicos o exista fundamento legal para su publicación.
6.7. Seguridad
La E.S.E. adoptará medidas técnicas, humanas y administrativas razonables para prevenir adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento.
6.8. Confidencialidad
Las personas que intervengan en el tratamiento de información no pública estarán obligadas a garantizar la reserva de la información, incluso después de finalizar su relación con la E.S.E.
6.9. Necesidad y proporcionalidad
La E.S.E. procurará recolectar únicamente los datos razonablemente necesarios para las finalidades legítimas del tratamiento.
6.10. Responsabilidad demostrada
La institución adoptará medidas apropiadas y efectivas orientadas a demostrar el cumplimiento del régimen de protección de datos personales.
7. CATEGORÍAS DE DATOS TRATADOS
Dependiendo de la relación del Titular con la E.S.E., podrán ser tratados, entre otros:
Datos de identificación
Nombres, apellidos, tipo y número de documento, fecha y lugar de nacimiento, sexo registrado cuando resulte necesario, nacionalidad, firma y demás información de identificación.
Datos de contacto
Dirección, municipio, departamento, teléfono, celular, correo electrónico y otros canales suministrados por el Titular.
Datos de salud
Antecedentes médicos, diagnósticos, signos, síntomas, procedimientos, medicamentos, alergias, resultados de laboratorio, imágenes diagnósticas, vacunación, historia reproductiva cuando sea clínicamente pertinente, incapacidades, remisiones, evolución médica, información de enfermería y demás información necesaria para la atención.
Datos biométricos
Cuando resulte legal y técnicamente necesario, podrán tratarse datos tales como fotografías, imágenes, firmas, registros dactilares u otros datos biométricos.
Datos socioeconómicos
Información de afiliación al Sistema General de Seguridad Social en Salud, régimen, EPS o entidad responsable de pago, información necesaria para caracterización poblacional, facturación y otros datos requeridos legalmente.
Datos familiares y de contacto de emergencia
Información de familiares, acudientes, representantes legales, acompañantes, cuidadores o personas autorizadas.
Datos laborales y académicos
Formación, experiencia, hojas de vida, antecedentes, certificaciones, información contractual, evaluaciones y demás información necesaria para procesos de talento humano o contratación.
Datos económicos, contables y tributarios
Información necesaria para pagos, facturación, cuentas de cobro, contratación, retenciones, obligaciones fiscales y relaciones con proveedores y contratistas.
Datos de navegación y utilización de medios digitales
Dirección IP, fecha y hora de acceso, navegador, dispositivo, registros técnicos y demás información generada como consecuencia de la interacción con plataformas institucionales, cuando sea técnicamente recolectada.
8. FINALIDADES GENERALES DEL TRATAMIENTO
La E.S.E. podrá tratar los datos personales para el cumplimiento de sus funciones constitucionales, legales, reglamentarias, administrativas, contractuales y asistenciales y, particularmente, para las siguientes finalidades.
8.1. Pacientes y usuarios de servicios de salud
Los datos podrán ser tratados para:
Prestar servicios de promoción, prevención, diagnóstico, tratamiento, rehabilitación, paliación y demás actividades propias de la atención integral en salud.
Identificar correctamente al paciente.
Crear, administrar, consultar, actualizar, conservar y custodiar la historia clínica.
Gestionar citas, consultas, hospitalización, urgencias, procedimientos, apoyos diagnósticos y demás servicios.
Realizar procesos de referencia y contrarreferencia.
Garantizar continuidad asistencial y seguridad del paciente.
Registrar antecedentes, diagnósticos, medicamentos, alergias, procedimientos y demás información clínicamente relevante.
Gestionar autorizaciones y relaciones con EPS, entidades responsables de pago y demás actores del Sistema General de Seguridad Social en Salud.
Realizar facturación de servicios.
Cumplir obligaciones de reporte ante autoridades sanitarias, administrativas, judiciales y organismos de vigilancia y control.
Realizar vigilancia epidemiológica y reportes obligatorios en salud pública.
Gestionar programas de promoción y mantenimiento de la salud.
Dar cumplimiento a actividades derivadas de rutas integrales de atención.
Realizar auditorías de calidad y auditorías clínicas legalmente autorizadas.
Gestionar eventos adversos, seguridad del paciente y mejoramiento de la calidad.
Atender solicitudes relacionadas con la historia clínica.
Realizar actividades de archivo y gestión documental.
Gestionar estadísticas, indicadores y análisis institucionales.
Cumplir obligaciones derivadas del Sistema Obligatorio de Garantía de Calidad en Salud.
Atender requerimientos judiciales o administrativos legalmente procedentes.
Realizar actividades científicas, epidemiológicas, históricas o estadísticas cuando legalmente proceda y aplicando anonimización o supresión de identidad cuando corresponda.
Implementar mecanismos de interoperabilidad de la Historia Clínica Electrónica.
Generar, transmitir, consultar y utilizar Resúmenes Digitales de Atención en Salud – RDA dentro de los mecanismos autorizados de interoperabilidad.
Facilitar la continuidad del cuidado entre profesionales y prestadores debidamente autorizados.
9. HISTORIA CLÍNICA Y DATOS DE SALUD
La información relacionada con la salud constituye dato personal sensible y estará sometida a medidas reforzadas de protección.
La historia clínica es un documento privado, obligatorio y sometido a reserva.
Solamente podrán acceder a ella el Titular y las personas expresamente autorizadas por este, el equipo de salud y las autoridades o terceros que tengan habilitación legal para hacerlo.
El acceso deberá responder a una finalidad legítima y, cuando corresponda, estará sometido a mecanismos de identificación, autenticación, autorización, registro y trazabilidad.
La entrega o consulta de una historia clínica no implica autorización para utilizar su información con finalidades distintas de aquellas que originaron legítimamente el acceso.
El personal que tenga acceso a información clínica deberá mantener estricta confidencialidad.
10. HISTORIA CLÍNICA ELECTRÓNICA E INTEROPERABILIDAD
La E.S.E. podrá utilizar sistemas electrónicos para crear, administrar, custodiar, intercambiar y consultar información clínica, observando las disposiciones aplicables sobre Historia Clínica Electrónica.
Los mecanismos de interoperabilidad deberán utilizarse exclusivamente para las finalidades autorizadas por el ordenamiento jurídico y, particularmente, para garantizar la continuidad, oportunidad, integralidad y seguridad de la atención en salud.
La E.S.E. aplicará controles razonables orientados a garantizar:
La identificación de usuarios autorizados.
La gestión de perfiles y permisos.
La autenticación para el acceso a información.
La integridad de la información transmitida.
La confidencialidad durante su almacenamiento y transmisión.
La trazabilidad de las consultas y operaciones realizadas.
La disponibilidad de la información necesaria para la atención.
La prevención de accesos no autorizados.
La gestión de incidentes de seguridad.
La utilización adecuada de los Resúmenes Digitales de Atención en Salud – RDA.
La interoperabilidad no modifica la naturaleza reservada de la historia clínica.
11. DATOS SENSIBLES
El tratamiento de datos sensibles estará sujeto a las restricciones y excepciones establecidas por la ley.
Cuando legalmente se requiera autorización para tratar esta información, la E.S.E. informará al Titular:
Que no está obligado a autorizar tratamientos de información sensible cuando la autorización no constituya requisito legal para la prestación correspondiente.
Qué datos serán tratados.
Cuál es su naturaleza sensible.
Cuál es la finalidad del tratamiento.
La E.S.E. podrá tratar información sensible sin autorización cuando exista alguna de las causales previstas por el ordenamiento jurídico, incluyendo aquellos supuestos en que el tratamiento resulte necesario para el cumplimiento de obligaciones legales, ejercicio de funciones públicas, atención de urgencias, protección del interés vital del Titular u otras circunstancias autorizadas expresamente por la ley.
12. NIÑOS, NIÑAS Y ADOLESCENTES
La E.S.E. reconoce que los derechos de los niños, niñas y adolescentes son prevalentes.
El tratamiento de sus datos respetará su interés superior y garantizará sus derechos fundamentales.
Cuando corresponda solicitar autorización, esta será otorgada por el representante legal, previo ejercicio del derecho del niño, niña o adolescente a ser escuchado de acuerdo con su madurez, autonomía y capacidad de comprensión.
Lo anterior no impedirá el tratamiento que resulte necesario para garantizar atención médica, proteger la vida o integridad del menor, cumplir obligaciones legales, desarrollar funciones públicas o atender otros supuestos autorizados por el ordenamiento jurídico.
13. TALENTO HUMANO
Los datos de aspirantes, servidores públicos, trabajadores, exservidores y demás personas vinculadas podrán ser tratados para:
Administrar procesos de selección y vinculación.
Verificar información académica, profesional y laboral.
Gestionar hojas de vida.
Administrar contratos, nombramientos y demás formas de vinculación.
Gestionar nómina, seguridad social y prestaciones.
Administrar vacaciones, permisos, incapacidades y novedades.
Ejecutar programas de seguridad y salud en el trabajo.
Gestionar evaluaciones de desempeño.
Desarrollar actividades de formación y bienestar.
Gestionar procesos disciplinarios cuando corresponda.
Cumplir obligaciones tributarias, laborales, fiscales y administrativas.
Atender requerimientos de organismos de vigilancia y control.
Gestionar accesos físicos y tecnológicos.
Mantener archivos laborales e históricos.
Cumplir obligaciones de transparencia y publicidad cuando la ley exija la divulgación de determinada información de servidores públicos.
14. CONTRATISTAS Y PROVEEDORES
La información de contratistas, proveedores, representantes legales y terceros relacionados podrá utilizarse para:
Realizar procesos de contratación.
Verificar requisitos jurídicos, técnicos y financieros.
Gestionar contratos y órdenes de prestación de servicios.
Realizar pagos.
Cumplir obligaciones tributarias y contables.
Verificar afiliaciones y requisitos de seguridad social.
Realizar supervisión contractual.
Gestionar riesgos de contratación.
Atender auditorías y requerimientos de organismos de control.
Cumplir obligaciones de transparencia, SECOP, gestión documental y archivo.
Mantener históricos contractuales.
Realizar controles de acceso a sistemas o instalaciones cuando corresponda.
15. PQRSD Y ATENCIÓN A LA CIUDADANÍA
Los datos suministrados mediante peticiones, quejas, reclamos, sugerencias, denuncias, felicitaciones, solicitudes de información u otros mecanismos de participación podrán utilizarse para:
Identificar al solicitante cuando sea necesario.
Radicar y gestionar la comunicación.
Asignarla a la dependencia competente.
Contactar al ciudadano.
Emitir y notificar respuestas.
Realizar seguimiento al trámite.
Generar estadísticas e informes.
Evaluar la calidad del servicio.
Gestionar acciones de mejoramiento.
Cumplir obligaciones de transparencia, participación ciudadana y control social.
Atender requerimientos de organismos de vigilancia y control.
La presentación de solicitudes podrá realizarse de manera anónima cuando la legislación lo permita.
Los datos personales contenidos en una PQRSD no se convertirán en públicos por el solo hecho de haber sido suministrados a una entidad estatal.
16. TRANSPARENCIA Y ACCESO A LA INFORMACIÓN PÚBLICA
La E.S.E., como sujeto obligado por la legislación de transparencia, deberá publicar determinada información institucional.
Esta obligación coexistirá con el deber de proteger los datos personales.
Por consiguiente, antes de publicar documentos que contengan información personal, la E.S.E. deberá determinar su naturaleza y establecer si corresponde a información pública, pública clasificada o pública reservada.
Cuando un documento contenga simultáneamente información pública e información protegida, podrá elaborarse una versión pública aplicando mecanismos de anonimización, supresión, tachado u ocultamiento de los apartados legalmente protegidos.
La obligación de transparencia no autoriza la divulgación indiscriminada de:
Historias clínicas.
Datos de salud.
Datos biométricos.
Datos de niños, niñas y adolescentes que deban protegerse.
Información privada o semiprivada.
Información sometida a reserva.
Datos cuya publicación pueda afectar derechos fundamentales.
Información protegida por secreto profesional o reserva legal.
17. VIDEOVIGILANCIA
Cuando la E.S.E. utilice sistemas de videovigilancia en sus instalaciones, las imágenes captadas constituirán datos personales y serán tratadas principalmente para:
Proteger pacientes, usuarios, trabajadores y visitantes.
Proteger instalaciones y activos.
Apoyar procesos de seguridad física.
Prevenir o investigar incidentes.
Atender requerimientos de autoridades competentes.
Los espacios sujetos a videovigilancia deberán contar, cuando corresponda, con avisos visibles que informen sobre la existencia del tratamiento.
Las imágenes no podrán utilizarse para finalidades incompatibles con aquellas que justificaron su recolección.
No deberán instalarse cámaras en lugares donde exista una expectativa reforzada de privacidad, salvo aquellos supuestos excepcionalmente permitidos por el ordenamiento jurídico.
18. SITIO WEB Y CANALES DIGITALES
Los datos suministrados a través del sitio web institucional, formularios electrónicos, correos electrónicos u otros servicios digitales podrán tratarse para:
Responder solicitudes.
Gestionar PQRSD.
Prestar servicios digitales.
Enviar confirmaciones relacionadas con trámites realizados por el usuario.
Garantizar seguridad tecnológica.
Detectar actividades inusuales o ataques.
Realizar análisis técnico del funcionamiento del Portal.
Mejorar accesibilidad, desempeño y experiencia de usuario.
Cumplir obligaciones legales y de Gobierno Digital.
Los formularios que recolecten información personal deberán suministrar al usuario información suficiente sobre el tratamiento y, cuando corresponda, solicitar la respectiva autorización.
19. COOKIES Y REGISTROS TÉCNICOS
El sitio web podrá utilizar cookies estrictamente necesarias, registros de servidor y otras tecnologías orientadas a garantizar seguridad, funcionalidad, accesibilidad y análisis técnico.
Cuando se utilicen tecnologías que impliquen tratamiento de datos personales para finalidades adicionales, se informará al usuario y se aplicarán los requisitos legales correspondientes.
La E.S.E. procurará aplicar criterios de minimización de datos y evitar tecnologías de seguimiento innecesarias para el cumplimiento de sus funciones.
20. FOTOGRAFÍAS, VIDEOS Y COMUNICACIONES INSTITUCIONALES
La E.S.E. podrá realizar registros fotográficos o audiovisuales de actividades institucionales, eventos, campañas, jornadas comunitarias, rendiciones de cuentas y demás actuaciones de interés público.
Cuando dichos registros permitan identificar claramente a personas y no exista otro fundamento jurídico suficiente para su utilización, deberá obtenerse la correspondiente autorización.
En el caso de pacientes, niños, niñas, adolescentes o situaciones que puedan revelar información de salud, deberán adoptarse medidas reforzadas de protección.
La condición de paciente no deberá divulgarse públicamente sin fundamento jurídico o autorización suficiente.
21. AUTORIZACIÓN PARA EL TRATAMIENTO
Cuando la autorización sea legalmente requerida, esta deberá obtenerse de manera previa o concurrente a la recolección de los datos y de forma que pueda ser objeto de consulta posterior.
La autorización podrá obtenerse mediante medios físicos, electrónicos, verbales o mediante cualquier mecanismo que permita concluir de manera razonable que el Titular otorgó su consentimiento.
La E.S.E. conservará evidencia de las autorizaciones cuando exista obligación de obtenerlas.
22. CASOS EN LOS QUE NO SE REQUIERE AUTORIZACIÓN
La autorización del Titular no será necesaria en aquellos eventos expresamente establecidos por la ley, incluyendo cuando la información:
Sea requerida por una entidad pública o administrativa en ejercicio de sus funciones legales o por orden judicial.
Sea de naturaleza pública.
Sea necesaria en casos de urgencia médica o sanitaria.
Sea utilizada para fines históricos, estadísticos o científicos en los términos permitidos por el ordenamiento jurídico.
Esté relacionada con el registro civil.
Se encuentre comprendida en cualquier otra excepción legalmente establecida.
La ausencia de obligación de solicitar autorización no exonera a la E.S.E. del cumplimiento de los demás principios y deberes relativos a la protección de datos personales.
23. DERECHOS DE LOS TITULARES
Los Titulares podrán ejercer los derechos reconocidos por la legislación colombiana y, particularmente:
Conocer los datos personales que sean objeto de tratamiento.
Solicitar su actualización.
Solicitar su rectificación cuando sean parciales, inexactos, incompletos, fraccionados o induzcan a error.
Solicitar prueba de la autorización cuando esta sea legalmente exigible.
Ser informados, previa solicitud, respecto del uso dado a sus datos personales.
Presentar consultas y reclamos.
Solicitar la supresión de información cuando proceda legalmente.
Solicitar la revocatoria de la autorización cuando proceda.
Acceder gratuitamente a sus datos personales en los términos legales.
Presentar ante la Superintendencia de Industria y Comercio quejas por infracciones al régimen general de protección de datos personales, una vez agotado el trámite correspondiente ante el Responsable cuando sea requisito legal.
No obstante, los derechos de supresión o revocatoria no serán absolutos y podrán resultar improcedentes cuando exista un deber legal o contractual que exija conservar o continuar tratando determinada información.
En particular, el Titular no podrá exigir la eliminación de información cuya conservación resulte obligatoria en virtud de normas de historia clínica, archivo público, contratación estatal, contabilidad, responsabilidad fiscal, vigilancia epidemiológica, seguridad social u otras obligaciones legales.
24. DERECHOS RELACIONADOS CON LA HISTORIA CLÍNICA
El paciente podrá solicitar acceso a su historia clínica conforme a los procedimientos institucionales establecidos.
La entrega deberá realizarse garantizando la identidad y legitimación del solicitante.
Cuando la solicitud sea realizada por un tercero, representante, familiar, apoderado o autoridad, la E.S.E. verificará previamente que tenga facultad legal o autorización suficiente para acceder a la información.
Las solicitudes de corrección relacionadas con información clínica serán evaluadas respetando la integridad, trazabilidad, autenticidad y carácter histórico de los registros.
La rectificación de un dato no autoriza la eliminación arbitraria de anotaciones realizadas legítimamente por profesionales de la salud.
25. PROCEDIMIENTO PARA CONSULTAS
El Titular, sus causahabientes o quien se encuentre legalmente autorizado podrán formular consultas relacionadas con los datos personales que reposen en las bases de datos de la E.S.E.
La solicitud deberá contener información suficiente para identificar al Titular y la información consultada.
Las consultas serán atendidas dentro de un término máximo de diez (10) días hábiles contados desde la fecha de su recibo.
Cuando no sea posible atender la consulta dentro de dicho término, se informará al interesado antes de su vencimiento, indicando las razones de la demora y señalando la nueva fecha de respuesta, que no podrá superar los cinco (5) días hábiles siguientes al vencimiento del primer término.
26. PROCEDIMIENTO PARA RECLAMOS
Cuando el Titular considere que determinada información debe ser corregida, actualizada o suprimida, o cuando advierta un presunto incumplimiento de los deberes establecidos por la legislación, podrá presentar un reclamo.
El reclamo deberá contener:
Identificación del Titular.
Descripción de los hechos que dan lugar al reclamo.
Datos de contacto.
Documentos que sustenten la solicitud, cuando resulten necesarios.
Descripción clara de la corrección, actualización, supresión o actuación solicitada.
Cuando el reclamo resulte incompleto, se requerirá al interesado dentro de los términos legales para que subsane las deficiencias.
Transcurridos dos (2) meses desde la fecha del requerimiento sin que el solicitante presente la información requerida, se entenderá que ha desistido del reclamo.
Cuando la dependencia que reciba el reclamo no sea competente, deberá trasladarlo a la dependencia competente en los términos legalmente establecidos e informar al interesado.
Una vez recibido un reclamo completo, se incorporará en la base de datos, cuando resulte procedente, una anotación que indique que se encuentra en trámite.
El término máximo para atender un reclamo será de quince (15) días hábiles contados desde el día siguiente a su recepción.
Cuando no sea posible atenderlo dentro de dicho término, se informarán los motivos de la demora y la fecha en la cual será resuelto, que no podrá superar los ocho (8) días hábiles siguientes al vencimiento del término inicial.
27. CANALES PARA EJERCER LOS DERECHOS DE HÁBEAS DATA
Los Titulares podrán presentar sus solicitudes mediante los mecanismos institucionales de atención al ciudadano.
Servicio de Información y Atención al Usuario – SIAU
Correo: [email protected]
Correo institucional:
[email protected]
Dirección física:
Calle 6ª No. 4-89, barrio Kennedy
Cáchira, Norte de Santander
Código postal 546030
Teléfono institucional:
+57 311 803 9584
Portal institucional:
www.esehospitalregionaloccidente.gov.co
El Titular también podrá utilizar el formulario electrónico de PQRSD que la E.S.E. tenga oficialmente habilitado.
La E.S.E. podrá establecer mecanismos adicionales de atención.
28. IDENTIFICACIÓN Y LEGITIMACIÓN DEL SOLICITANTE
Con el propósito de evitar la entrega indebida de información personal, la E.S.E. podrá verificar razonablemente la identidad del solicitante.
La intensidad de la verificación dependerá de la sensibilidad de la información.
Las solicitudes relacionadas con historias clínicas, datos de salud, información de menores de edad u otros datos sometidos a reserva podrán estar sujetas a controles de identidad reforzados.
La E.S.E. no solicitará información desproporcionada para realizar dicha verificación.
29. DEBERES DE LA E.S.E. COMO RESPONSABLE DEL TRATAMIENTO
La E.S.E. deberá:
Garantizar al Titular el ejercicio efectivo del derecho de hábeas data.
Solicitar y conservar autorización cuando esta sea legalmente requerida.
Informar adecuadamente sobre las finalidades del tratamiento.
Conservar la información bajo condiciones razonables de seguridad.
Mantener actualizada y rectificar la información cuando corresponda.
Tramitar consultas y reclamos.
Adoptar mecanismos que permitan identificar información objeto de reclamación.
Garantizar la confidencialidad de datos sometidos a reserva.
Exigir a los Encargados del Tratamiento el cumplimiento de las obligaciones aplicables.
Adoptar políticas y procedimientos internos de seguridad y protección de datos.
Informar a las autoridades competentes cuando se presenten incidentes que deban ser reportados legalmente.
Cumplir las instrucciones y requerimientos de las autoridades de protección de datos.
30. ENCARGADOS DEL TRATAMIENTO Y TERCEROS
La E.S.E. podrá contratar proveedores tecnológicos, operadores de servicios, contratistas u otros terceros que requieran tratar información personal por cuenta de la institución.
Cuando actúen como Encargados del Tratamiento, deberán:
Tratar la información exclusivamente de acuerdo con las instrucciones legítimas de la E.S.E.
Mantener confidencialidad.
Implementar medidas de seguridad apropiadas.
Limitar el acceso al personal autorizado.
No utilizar la información para finalidades propias no autorizadas.
Devolver, suprimir o conservar la información de acuerdo con las instrucciones de la E.S.E. y las obligaciones legales aplicables.
Reportar oportunamente incidentes de seguridad.
Cumplir las obligaciones establecidas en la legislación colombiana.
La E.S.E. procurará establecer contractualmente las obligaciones de protección de datos y seguridad aplicables a sus proveedores.
31. TRANSMISIÓN Y TRANSFERENCIA DE INFORMACIÓN
La E.S.E. podrá transmitir o transferir datos personales a terceros cuando resulte necesario para cumplir sus funciones legales, asistenciales, administrativas o contractuales.
Esto podrá incluir, cuando legalmente corresponda:
Entidades Promotoras de Salud y responsables de pago.
Otros prestadores de servicios de salud.
Ministerio de Salud y Protección Social.
Instituto Departamental de Salud.
Superintendencia Nacional de Salud.
Administradoras del sistema de seguridad social.
Autoridades administrativas.
Autoridades judiciales.
Organismos de vigilancia y control.
Entidades tributarias.
Proveedores y operadores tecnológicos.
Entidades financieras para procesos de pago.
Plataformas de interoperabilidad autorizadas.
La entrega se limitará a la información necesaria para la respectiva finalidad y se realizará observando la reserva y confidencialidad aplicables.
32. TRANSFERENCIAS INTERNACIONALES
Cuando excepcionalmente se realicen transferencias internacionales de datos personales, la E.S.E. verificará el cumplimiento de las condiciones previstas en la legislación colombiana.
Cuando proveedores de servicios tecnológicos utilicen infraestructura localizada fuera de Colombia, la relación será evaluada para determinar si constituye una transferencia o transmisión internacional y aplicar las garantías correspondientes.
33. SEGURIDAD DE LA INFORMACIÓN
La E.S.E. adoptará medidas administrativas, físicas y tecnológicas proporcionales a la naturaleza de la información tratada y a los riesgos existentes.
Estas medidas podrán incluir:
Gestión de usuarios y privilegios.
Autenticación.
Control de accesos.
Copias de respaldo.
Cifrado cuando resulte técnica y razonablemente apropiado.
Registro de eventos.
Trazabilidad.
Actualización de software.
Protección contra código malicioso.
Gestión de vulnerabilidades.
Segmentación de accesos.
Seguridad física.
Acuerdos de confidencialidad.
Capacitación del personal.
Gestión de incidentes.
Continuidad de los servicios tecnológicos.
El hecho de adoptar medidas de seguridad no implica que pueda garantizarse la inexistencia absoluta de incidentes.
34. INCIDENTES DE SEGURIDAD Y VIOLACIONES DE DATOS PERSONALES
Cuando se identifique un incidente que comprometa o pueda comprometer datos personales, la E.S.E. activará sus procedimientos de gestión de incidentes.
De acuerdo con la naturaleza y gravedad del evento, podrá:
Contener el incidente.
Preservar evidencias.
Evaluar los datos afectados.
Determinar los Titulares potencialmente comprometidos.
Analizar riesgos para los derechos de las personas.
Implementar acciones correctivas.
Realizar los reportes a autoridades que legalmente correspondan.
Comunicar al Titular cuando la legislación o el nivel de riesgo así lo exijan.
Documentar el incidente y las medidas adoptadas.
35. CONFIDENCIALIDAD Y DEBER DE RESERVA
Todo servidor público, trabajador, profesional de la salud, contratista, practicante, proveedor o tercero que tenga acceso a información personal deberá respetar su carácter confidencial.
La obligación subsiste incluso después de finalizar la relación laboral, contractual, asistencial o de cualquier otra naturaleza con la E.S.E.
El acceso a una base de datos institucional no implica autorización para consultar indiscriminadamente toda la información contenida en ella.
Cada persona deberá acceder únicamente a la información necesaria para desarrollar las funciones que tenga asignadas.
36. CONSERVACIÓN DE DATOS
Los datos personales serán conservados únicamente durante el tiempo necesario para el cumplimiento de sus finalidades y obligaciones legales.
La conservación deberá articularse con las Tablas de Retención Documental, el Programa de Gestión Documental y las normas especiales aplicables a cada categoría de información.
Historias clínicas
Las historias clínicas deberán conservarse durante un período mínimo de quince (15) años contados a partir de la fecha de la última atención, sin perjuicio de los períodos especiales o de conservación permanente previstos por la legislación.
Los primeros cinco años corresponderán, de acuerdo con la regulación aplicable, al archivo de gestión y los diez años siguientes al archivo central.
Las historias clínicas relacionadas con víctimas de violaciones de derechos humanos o infracciones graves al Derecho Internacional Humanitario tendrán los tiempos especiales de conservación establecidos normativamente.
Cuando una historia clínica esté relacionada con procesos respecto de los cuales la legislación exija conservación permanente, se aplicará dicha regla especial.
Otros documentos
Los datos contenidos en contratos, nómina, contabilidad, PQRSD, procesos administrativos, archivos laborales, contratación, facturación y demás expedientes institucionales serán conservados durante los períodos definidos en las normas y Tablas de Retención Documental aplicables.
37. SUPRESIÓN Y DISPOSICIÓN FINAL
Cumplidas las finalidades y los términos legales de conservación, la información podrá ser sometida al procedimiento de disposición final aplicable.
La eliminación deberá realizarse mediante mecanismos razonablemente seguros que eviten recuperación o utilización no autorizada.
La eliminación de historias clínicas estará sometida al procedimiento especial previsto por la normativa sanitaria y archivística.
Ningún funcionario o contratista podrá destruir por iniciativa propia documentos o bases de datos institucionales.
38. DATOS PARA INVESTIGACIÓN, ESTADÍSTICA Y SALUD PÚBLICA
La E.S.E. podrá utilizar información para desarrollar análisis estadísticos, epidemiológicos, científicos, académicos o de salud pública cuando exista fundamento legal para ello.
Cuando la finalidad pueda cumplirse sin identificar a las personas, se procurará utilizar información anonimizada o agregada.
La información anonimizada de manera irreversible deja de permitir razonablemente la identificación del Titular y podrá utilizarse para finalidades estadísticas o de análisis institucional en los términos permitidos por la legislación.
39. DATOS ABIERTOS
La publicación de información como datos abiertos deberá realizarse respetando la protección de datos personales.
Antes de publicar conjuntos de datos, la E.S.E. deberá evaluar si contienen información que permita identificar directa o indirectamente a personas naturales.
Cuando resulte necesario, deberán aplicarse procesos de anonimización.
La publicación de datos abiertos no podrá utilizarse como mecanismo para eludir la reserva de información clínica o personal.
40. REDES SOCIALES
Las redes sociales institucionales son canales complementarios de información y participación.
Los usuarios deben abstenerse de publicar en espacios públicos información clínica, documentos de identidad, historias clínicas u otros datos sensibles propios o de terceros.
Cuando una solicitud recibida por redes sociales requiera tratamiento de información reservada, la E.S.E. podrá orientar al usuario hacia un canal institucional más seguro.
La utilización de una red social también estará sujeta a las condiciones y políticas de privacidad establecidas por el proveedor de dicha plataforma.
41. DECISIONES AUTOMATIZADAS E INTELIGENCIA ARTIFICIAL
Cuando la E.S.E. incorpore sistemas de inteligencia artificial, análisis automatizado u otras tecnologías que procesen datos personales, deberá evaluar previamente los riesgos asociados al tratamiento.
Especial atención deberá darse al uso de datos de salud y demás información sensible.
La E.S.E. procurará que sistemas automatizados utilizados como apoyo en procesos asistenciales o administrativos:
Tengan una finalidad legítima.
Utilicen solamente la información necesaria.
Estén sujetos a controles de seguridad.
No permitan accesos indebidos.
Mantengan trazabilidad cuando corresponda.
No sustituyan indebidamente las decisiones que, por su naturaleza, deban ser adoptadas por profesionales o autoridades competentes.
Respeten los derechos fundamentales de los Titulares.
42. ACTUALIZACIÓN DE LA POLÍTICA
La E.S.E. podrá actualizar esta Política como consecuencia de:
Modificaciones legales o regulatorias.
Cambios institucionales.
Nuevos servicios.
Implementación de nuevas tecnologías.
Cambios en los sistemas de información.
Nuevas modalidades de tratamiento de datos.
Recomendaciones de autoridades.
Resultados de análisis de riesgos, auditorías o incidentes.
Los cambios sustanciales serán informados a los Titulares mediante mecanismos razonables antes de su implementación cuando así lo exija la legislación.
La versión vigente estará disponible en el portal institucional.
43. AVISO DE PRIVACIDAD
Cuando no sea posible poner a disposición del Titular esta Política de manera directa al momento de recolectar sus datos, la E.S.E. utilizará un Aviso de Privacidad que informe, como mínimo:
La identidad y datos de contacto del Responsable.
Las principales finalidades del tratamiento.
Los derechos de los Titulares.
La existencia de esta Política.
La forma de consultarla.
El carácter facultativo de responder preguntas relativas a datos sensibles o datos de niños, niñas y adolescentes, cuando corresponda.
44. VIGENCIA DE LAS BASES DE DATOS
Las bases de datos administradas por la E.S.E. tendrán vigencia durante el tiempo necesario para cumplir las finalidades que justificaron su creación y las obligaciones constitucionales, legales, regulatorias, contractuales, archivísticas y administrativas aplicables.
La información no será conservada indefinidamente sin una finalidad legítima o fundamento legal.
Los períodos concretos de retención estarán determinados por la naturaleza de cada expediente, las Tablas de Retención Documental y las normas especiales aplicables.
45. VIGENCIA DE LA POLÍTICA
La presente Política entra en vigencia a partir de su aprobación y publicación institucional.
Versión web actualizada: 29 de agosto de 2026.
Las versiones anteriores se conservarán de acuerdo con las reglas institucionales de gestión documental cuando resulte aplicable.
46. AUTORIDAD DE PROTECCIÓN DE DATOS
Sin perjuicio de las competencias especiales de otras autoridades del sector salud, la autoridad nacional encargada de ejercer funciones de vigilancia respecto del régimen general de protección de datos personales es la Superintendencia de Industria y Comercio – SIC, en los términos establecidos por la legislación colombiana.
Antes de acudir ante dicha autoridad en aquellos asuntos para los cuales la ley establezca como requisito el agotamiento previo del reclamo ante el Responsable, el Titular deberá surtir el correspondiente procedimiento ante la E.S.E.
47. CONTACTO INSTITUCIONAL
Para consultas relacionadas con esta Política o con el tratamiento de información personal:
E.S.E. HOSPITAL REGIONAL OCCIDENTE
NIT 807.008.843-6
Calle 6ª No. 4-89, barrio Kennedy
Cáchira, Norte de Santander
Código postal 546030
Teléfono: +57 311 803 9584
Correo institucional: [email protected]
SIAU: [email protected]
Portal: www.esehospitalregionaloccidente.gov.co
E.S.E. HOSPITAL REGIONAL OCCIDENTE
Humanizando tu salud y bienestar
