Aviso de privacidad para pacientes en Turquía: contenido, modelo y consentimiento

La recepcionista entrega un formulario a un paciente nuevo: “Firme aquí por lo de sus datos personales”. El paciente no pregunta qué firma; la recepcionista tampoco sabe bien si el formulario es el aviso de privacidad, un consentimiento explícito o el consentimiento informado para el tratamiento médico. Esa misma mañana, otro paciente que pide cita por WhatsApp escribe su nombre, su teléfono y su dolencia. ¿En qué teléfono quedan esos mensajes, qué se le dijo al paciente, qué texto aceptó? En Turquía, las clínicas suelen buscar la respuesta a estas preguntas en la ley de protección de datos solo cuando ya ha llegado una solicitud.

El aviso de privacidad para pacientes es el texto informativo que la clínica entrega al obtener los datos personales del paciente y que explica quién tratará esos datos, con qué finalidad y cómo. Su base jurídica es el artículo 10 de la KVKK, la Ley turca n.º 6698 de Protección de Datos Personales. En este artículo leemos los textos oficiales para distinguir el aviso de privacidad, el consentimiento explícito y el consentimiento para actos médicos, y ofrecemos una lista de comprobación práctica.

Aviso de privacidad y consentimiento explícito: tres documentos junto con el consentimiento informado

Reunir los tres en una sola firma confunde al paciente y debilita la función de cada documento. Cuando el tratamiento se basa en el consentimiento explícito, el Comunicado sobre la Obligación de Informar exige cumplir por separado la obligación de informar y el consentimiento explícito (art. 5, letra f). El consentimiento para un acto médico procede de la normativa sanitaria turca y no sustituye al texto de la KVKK.

¿Qué debe incluir el aviso de privacidad para pacientes?

El artículo 10 de la KVKK obliga al responsable del tratamiento a informar sobre cinco puntos al obtener datos personales. El Comunicado señala que ese es el contenido mínimo. La lista siguiente convierte el artículo en una lista de comprobación adaptada a una clínica.

• Identidad del responsable del tratamiento: razón social de la clínica, dirección y canal de contacto para solicitudes.
• Finalidades del tratamiento: finalidades como la gestión de citas, los recordatorios y la comunicación deben indicarse una a una y con claridad; según el Comunicado, no deben usarse expresiones vagas como “otras finalidades que puedan surgir”.
• A quién y con qué finalidad pueden transferirse los datos: los grupos de destinatarios y la finalidad de la transferencia.
• Método de recogida y base jurídica: si los datos proceden de un formulario, del teléfono, de una página web o de mensajería, y en qué condición se basa el tratamiento.
• Los derechos del paciente según el art. 11 de la KVKK: derechos como solicitar información, rectificación y supresión, y la vía para ejercerlos.
• Lenguaje claro, comprensible y sencillo: el Comunicado lo exige expresamente; una página llena de jerga jurídica no cumple este requisito.

Ejemplo de aviso de privacidad KVKK para clínicas: un esquema

El esquema siguiente no es un texto listo, sino el orden de los apartados que hay que completar. Rellene los campos entre corchetes para su clínica y muéstrelo a su asesor antes de publicarlo.

1. Responsable del tratamiento: [razón social de la clínica, dirección, correo electrónico para solicitudes].
2. Qué datos tratamos: [nombre y apellidos, teléfono, correo electrónico, fecha y hora de la cita, y la información que usted haya escrito al contactarnos].
3. Por qué los tratamos: [para crear y gestionar su cita, enviar recordatorios y comunicarnos con usted].
4. Base jurídica y método de recogida: [formulario de citas, teléfono y mensajería; condición de tratamiento aplicable].
5. A quién pueden transferirse: [proveedores de servicios de software, autoridades competentes cuando exista una obligación legal].
6. Sus derechos y cómo ejercerlos: [derechos del art. 11 de la KVKK, cómo presentar la solicitud].

¿Cómo se obtiene el consentimiento explícito del paciente?

La ley define el consentimiento explícito como el consentimiento sobre un asunto concreto, basado en información y expresado libremente (art. 3, letra a). En la práctica, esto significa no ofrecer al paciente una única casilla de “acepto todo”, presentar cada finalidad como una opción separada y sin marcar y, cuando negarse a dar el consentimiento no impida la cita, indicarlo claramente.

Conviene no olvidar otra cosa: no todo tratamiento requiere consentimiento explícito. El artículo 5, apartado 2, enumera condiciones en las que no se exige el consentimiento, como que el tratamiento esté directamente relacionado con la celebración o ejecución de un contrato; el artículo 6 considera los datos de salud como datos de categoría especial sujetos a condiciones propias y menciona también como condición que el tratamiento sea necesario para la prestación de servicios sanitarios por personas sujetas al deber de secreto. La clínica debe determinar con su propio asesor qué tratamiento se basa en qué condición; el consentimiento no es la respuesta a todas las preguntas.

¿Los datos de pacientes recibidos por WhatsApp entran en el ámbito de la KVKK?

La ley considera dato personal toda información relativa a una persona física identificada o identificable (art. 3, letra d) e incluye su tratamiento por medios total o parcialmente automatizados (art. 2). El nombre, el teléfono y la petición de cita del paciente entran en esta definición; si el mensaje contiene alguna referencia a su estado de salud, esa parte entra en los datos de categoría especial del artículo 6. Por tanto, en la práctica la respuesta es sí. La definición del Reglamento sobre Datos Personales de Salud del Ministerio de Sanidad turco también es lo bastante amplia como para abarcar la información relacionada con el servicio sanitario prestado a la persona; aclare con su asesor cómo se aplica el reglamento a los registros de citas de su clínica.

Las preguntas prácticas son estas: ¿quién puede ver el mensaje?, ¿queda en teléfonos personales?, ¿se reenvía a un grupo?, ¿se incluye en la primera respuesta un enlace al aviso de privacidad?, ¿qué pasa con las conversaciones en el dispositivo de un empleado que deja la clínica? El artículo sobre seguridad de los datos (art. 12) obliga al responsable a adoptar las medidas técnicas y administrativas necesarias. El reglamento de datos de salud prevé medidas que impidan que las personas atendidas una al lado de otra en mostradores y mesas oigan o vean los datos personales de las demás (art. 5, apartado 4) y limita el acceso del personal a lo que exige el servicio (art. 6, apartado 1). Revisar desde este punto de vista la organización de la recepción y los permisos del panel es un buen comienzo.

¿Qué ocurre si el paciente solicita la supresión o información?

Según el art. 11 de la KVKK, el paciente puede preguntar si se tratan sus datos, solicitar información, pedir su rectificación y, si se cumplen las condiciones, su supresión. El responsable resuelve la solicitud lo antes posible y como máximo en treinta días (art. 13). Quedan a salvo las disposiciones de otras leyes sobre la supresión (art. 7, apartado 2); es decir, la clínica debe evaluar por separado las obligaciones de conservación derivadas de otras normas.

¿Cómo se demuestra que se ha informado? Los límites del papel, Excel y WhatsApp

El Comunicado atribuye al responsable la carga de probar que cumplió la obligación de informar (art. 5, letra e). Los formularios en papel se pierden en las carpetas y no se sabe qué versión del texto se firmó; cuando el texto se actualiza, no puede saberse qué versión aceptaron los pacientes anteriores. Un mensaje de WhatsApp que dice “leído” tampoco muestra consentimientos separados ni la versión del texto. En una consulta pequeña, el papel y un archivo ordenado pueden servir; cuando crecen los canales y el número de pacientes, la versión, la hora y la aprobación deben guardarse junto con el registro de la cita.

¿Cómo registra Super Randevu el aviso de privacidad y el consentimiento?

En Super Randevu, el aviso de privacidad y el consentimiento explícito se registran con versiones: se guarda qué versión del texto se aprobó y cuándo, y este registro es válido en los cinco idiomas en que se ofrece la página del paciente. La supresión y la exportación se hacen en un solo paso. Los datos y las copias de seguridad se guardan en servidores en Turquía, la verificación en dos pasos es obligatoria en cada inicio de sesión del personal, los datos de cada negocio están separados a nivel de base de datos y nunca se guardan registros médicos como diagnósticos, notas de tratamiento o recetas. En la cartera de clientes, el contacto, el historial de citas, el origen y los registros de consentimiento se reúnen en una sola ficha; esta función está en fase piloto.

Nada de esto sustituye las obligaciones de la clínica: el contenido del texto y la base jurídica corresponden a la clínica, y el software ayuda a mantener los registros en orden. Puede revisar las pantallas y el programa piloto en la página de Super Randevu.