Datos de salud mental: protección reforzada

Esta página es una traducción del texto original en portugués, ofrecida para facilitar la lectura. Trata del derecho brasileño. En caso de divergencia, prevalece la versión en portugués. Leer el original en portugués

Los datos de salud mental reciben en Brasil una protección jurídica reforzada, y las empresas que los tratan sin extrema cautela se exponen a severas sanciones de la ANPD (Autoridad Nacional de Protección de Datos de Brasil).

Por qué los datos de salud mental exigen una protección diferenciada

Entre los datos personales sensibles, los registros de salud mental ocupan una posición de vulnerabilidad singular. La Ley General de Protección de Datos de Brasil (LGPD) clasifica los datos referentes a la salud como sensibles en su artículo 5º, inciso II, y los somete a un régimen jurídico más restrictivo. Sin embargo, dentro de esa amplia categoría, la información sobre condiciones psiquiátricas, seguimiento psicológico, uso de medicamentos psicotrópicos y diagnósticos de trastornos mentales encierra un potencial discriminatorio que, en muchos escenarios prácticos, supera al de otros datos de salud.

Esta protección reforzada se justifica por razones concretas. El estigma social asociado a las condiciones de salud mental sigue profundamente arraigado en la cultura brasileña. La filtración de información sobre un tratamiento psiquiátrico puede afectar las relaciones laborales, los procesos de selección, la contratación de seguros e incluso los vínculos familiares. A diferencia de un examen de laboratorio de rutina, un informe psicológico o psiquiátrico revela aspectos íntimos de la personalidad y de la historia de vida del titular, de modo que su exposición indebida resulta especialmente dañina.

En el contexto de la due diligence de datos, esta realidad impone a las organizaciones un deber de investigación exhaustiva. Antes de adquirir una empresa, firmar alianzas o integrar sistemas, se verifica si las bases de datos involucradas contienen registros de salud mental y, en caso afirmativo, qué nivel de protección técnica y jurídica se ha implementado efectivamente. La falta de esta verificación puede convertir una operación comercial aparentemente ventajosa en un pasivo regulatorio de proporciones significativas.

El régimen jurídico aplicable y sus implicaciones prácticas

La LGPD establece, en su artículo 11, que el tratamiento de datos sensibles solo puede realizarse en supuestos taxativos. Para los datos de salud mental, las bases legales más relevantes en la práctica son el consentimiento específico y destacado del titular, la tutela de la salud en procedimientos realizados por profesionales del área o por entidades sanitarias, y el cumplimiento de una obligación legal o regulatoria. Cada una de estas bases impone requisitos propios que es necesario examinar en cualquier proceso de due diligence.

La protección de los datos de salud mental no es solo una exigencia regulatoria: es un compromiso ético con la dignidad y la privacidad de personas en situación de vulnerabilidad emocional.

Cuando se utiliza como base legal, el consentimiento debe cumplir criterios rigurosos de especificidad. No basta con un texto genérico que autorice el «tratamiento de datos de salud». El titular debe comprender exactamente qué información de salud mental se recopilará, con qué finalidad específica, durante cuánto tiempo se almacenará y con quién podrá compartirse. En los procesos de auditoría se constata que la mayoría de los términos de consentimiento utilizados por las empresas de tecnología en salud (healthtechs) y por las operadoras de planes de salud no alcanza ese grado de especificidad, lo que debilita toda la cadena de tratamiento.

La base legal de tutela de la salud, prevista en el artículo 11, inciso II, letra «f», exige que el tratamiento sea realizado exclusivamente por profesionales de la salud, servicios de salud o autoridad sanitaria. Cuando durante la due diligence se detecta que equipos administrativos, departamentos de recursos humanos o sistemas de inteligencia artificial acceden a datos de salud mental sin supervisión clínica directa, se constata una irregularidad que puede comprometer la legitimidad de todo el tratamiento.

Además de la LGPD, es necesario tener en cuenta el marco regulatorio sectorial. El Consejo Federal de Medicina y el Consejo Federal de Psicología cuentan con resoluciones específicas sobre historias clínicas electrónicas y secreto profesional que prevalecen sobre las normas generales de protección de datos. La Resolución CFM n.º 1.638/2002, por ejemplo, establece criterios para la custodia de las historias clínicas que inciden directamente en las políticas de retención de datos. El Código de Ética del Psicólogo impone deberes de confidencialidad que pueden entrar en conflicto con solicitudes de intercambio de datos en contextos corporativos.

Due diligence de datos de salud mental: metodología y puntos críticos

Cuando realizamos una due diligence centrada en datos de salud mental, adoptamos un enfoque que va más allá de la simple verificación documental. El proceso abarca cinco dimensiones que consideramos indispensables para una evaluación adecuada del riesgo.

Mapeo e inventario de datos

La primera etapa consiste en identificar todos los flujos de datos que involucran información de salud mental. Esto incluye no solo los sistemas primarios (historias clínicas electrónicas, plataformas de telemedicina, aplicaciones de bienestar), sino también los sistemas secundarios por los que esos datos pueden circular de forma menos evidente: herramientas de RR. HH. que registran ausencias por CID (Clasificación Internacional de Enfermedades), programas de asistencia al empleado (EAP), encuestas de clima organizacional con preguntas sobre salud emocional y plataformas de beneficios que procesan reembolsos de consultas psicológicas.

Con frecuencia se encuentran datos de salud mental «ocultos» en campos de texto libre, en anotaciones de gerentes sobre el desempeño de los colaboradores o en metadatos de sistemas que, aunque no almacenen diagnósticos directamente, permiten inferir condiciones psicológicas. Estos datos inferidos también reciben la protección de la LGPD y deben ser mapeados.

Evaluación de bases legales y finalidades

Para cada flujo identificado, se verifica si existe una base legal adecuada y si la finalidad declarada corresponde al uso efectivo de los datos. Se analizan los contratos con operadores de datos, los términos de consentimiento, las políticas de privacidad y los registros de operaciones de tratamiento (ROPA). Un problema recurrente es la utilización de datos recopilados con fines clínicos en contextos de analytics, desarrollo de productos o entrenamiento de algoritmos, sin que el titular haya sido informado de esos usos secundarios.

Seguridad técnica y controles de acceso

La protección reforzada de los datos de salud mental exige medidas técnicas proporcionales al riesgo. Se evalúa la implementación de cifrado (en tránsito y en reposo), controles de acceso basados en roles (RBAC), registros de auditoría (logs de acceso), seudonimización o anonimización cuando corresponda y procedimientos de respuesta a incidentes. Se verifica que los controles de acceso reflejen el principio de necesidad de conocer, de modo que solo puedan acceder a esos registros los profesionales con una justificación legítima.

Transferencias e intercambio de datos

Se mapean todas las transferencias de datos de salud mental, ya sea entre controladores, de controlador a operador o internacionales. Cada transferencia debe estar amparada por un instrumento contractual adecuado (contrato de procesamiento de datos, cláusulas contractuales estándar para transferencias internacionales) y respetar los límites de la finalidad original. Se verifica si los operadores de datos (laboratorios, clínicas subcontratadas, proveedores de tecnología en la nube) ofrecen garantías suficientes de protección y si se realizaron evaluaciones de impacto cuando el intercambio implica riesgos elevados.

Gobernanza y cumplimiento continuo

Por último, se evalúa la madurez del programa de gobernanza de datos de la organización auditada. Esto incluye la existencia de un encargado de protección de datos (DPO), políticas internas actualizadas, programas de capacitación para los colaboradores que manejan datos sensibles, procedimientos para atender los derechos de los titulares y mecanismos de monitoreo continuo. Una organización puede estar en cumplimiento puntual en el momento de la due diligence, pero sin una gobernanza estructurada, las desviaciones tienden a aparecer rápidamente una vez concluido el proceso.

Riesgos específicos y escenarios de exposición

En los procesos de due diligence que realizamos se identifican patrones recurrentes de riesgo asociados a los datos de salud mental que merecen especial atención por parte de las organizaciones.

El primer escenario involucra los programas corporativos de salud y bienestar. Muchas empresas implementan plataformas de apoyo psicológico para sus colaboradores sin evaluar adecuadamente los flujos de datos que se generan. La información sobre la frecuencia de las sesiones, los temas abordados (aunque sea de forma agregada) y los niveles de riesgo psicológico puede llegar al departamento de RR. HH. de maneras que comprometen la confidencialidad del colaborador. Cuando adquirimos una empresa con este tipo de programa, o nos asociamos con ella, heredamos no solo los datos, sino también los riesgos de un tratamiento irregular.

El segundo escenario se refiere a las aplicaciones de salud mental y bienestar emocional. El mercado brasileño de salud digital ha crecido de manera expresiva en los últimos años, con decenas de aplicaciones que ofrecen meditación guiada, monitoreo del estado de ánimo, diarios emocionales y conexión con terapeutas. Estas aplicaciones recopilan datos extremadamente sensibles (patrones de sueño, registros de ansiedad, relatos de ideación suicida) que, en caso de incidente de seguridad o uso indebido, pueden causar daños irreparables a los titulares.

El tercer escenario involucra la integración de sistemas tras fusiones y adquisiciones. Cuando dos organizaciones de salud se fusionan, la consolidación de las historias clínicas electrónicas y de los sistemas de gestión clínica crea ventanas de vulnerabilidad. Los datos de salud mental de los pacientes pueden quedar expuestos a profesionales que no mantienen ninguna relación terapéutica con el titular, lo que viola tanto la LGPD como las normas deontológicas de los colegios profesionales.

Un cuarto escenario, cada vez más relevante, es el uso de inteligencia artificial para analizar datos de salud mental. Los algoritmos de triaje, predicción de riesgo y recomendación de tratamiento procesan información sensible a gran escala, con frecuencia sin que los titulares comprendan el alcance del tratamiento automatizado. La LGPD garantiza, en su artículo 20, el derecho a la revisión de las decisiones automatizadas, lo que impone obligaciones adicionales a las organizaciones que utilizan IA en este contexto.

Recomendaciones para las organizaciones que tratan datos de salud mental

A partir de la experiencia acumulada en procesos de due diligence, se han consolidado recomendaciones prácticas que consideramos esenciales para las organizaciones que manejan datos de salud mental.

En primer lugar, se recomienda elaborar un Informe de Impacto a la Protección de Datos Personales (RIPD) específico para las operaciones que involucren datos de salud mental. Aunque la ANPD aún no ha reglamentado de forma definitiva los casos en que el RIPD es obligatorio, se entiende que el tratamiento de datos de salud mental constituye un supuesto de alto riesgo que justifica la elaboración preventiva de este documento.

En segundo lugar, se sugiere implementar políticas rigurosas de minimización de datos. Las organizaciones deben recopilar únicamente la información de salud mental estrictamente necesaria para la finalidad declarada y evitar la tentación de acumular datos «para un uso futuro». La minimización reduce la superficie de ataque en caso de incidentes y simplifica el cumplimiento de las obligaciones regulatorias.

También se recomienda adoptar técnicas de seudonimización siempre que sea posible, separando los datos identificadores de los datos clínicos en repositorios distintos, con claves de enlace controladas. Esta medida no elimina la naturaleza sensible de los datos, pero reduce de manera significativa el impacto de los accesos no autorizados.

Por último, cabe destacar la importancia de establecer canales específicos para que los titulares de datos de salud mental ejerzan sus derechos. La solicitud de acceso, corrección o eliminación de datos psicológicos merece un tratamiento diferenciado, con plazos reducidos y una verificación de identidad reforzada, dada la sensibilidad excepcional de esa información.

Este asunto guarda relación directa con la protección de datos, tema que se aborda en un artículo específico.

Para complementar su lectura, vea también el artículo del despacho sobre las intersecciones regulatorias.

As informações deste artigo são de caráter informativo e não substituem consulta jurídica individualizada. Cada caso possui particularidades que exigem análise específica.