Habeas Data en Salud: Guía Clara con 7 Claves para Cumplir la Ley
Habeas Data en Salud: Guía Clara con 7 Claves para Cumplir la Ley
El habeas data es el derecho que tiene toda persona a conocer, actualizar y corregir la información que se guarda sobre ella. En salud, este derecho pesa más que en cualquier otro sector: un diagnóstico, una fórmula o una historia clínica son datos que el paciente confía a su médico y que nadie más debería ver sin permiso.
En esta guía le explicamos, en lenguaje sencillo, qué es el habeas data, qué normas lo regulan en Colombia y qué debe hacer un consultorio o una IPS para cumplirlo en el día a día.
¿Qué es el habeas data?
La expresión viene del latín y significa, más o menos, “que tengas los datos”. En Colombia es un derecho fundamental reconocido en el artículo 15 de la Constitución: toda persona puede conocer, actualizar y rectificar la información que se haya recogido sobre ella en bancos de datos y archivos.
Dicho fácil: si una entidad guarda sus datos, usted tiene derecho a saber qué guarda, para qué los usa y a pedir que los corrijan o los borren cuando corresponda.
Habeas data financiero y habeas data general: no son lo mismo
Mucha gente asocia el habeas data con las centrales de riesgo. Ese es el habeas data financiero, regulado por la Ley 1266 de 2008.
El que aplica a la salud es el régimen general de protección de datos personales: la Ley 1581 de 2012 y su reglamentación, el Decreto 1377 de 2013 (hoy compilado en el Decreto 1074 de 2015).
Habeas data en salud: por qué los datos clínicos son especiales
La Ley 1581 clasifica los datos relativos a la salud como datos sensibles. Son los que afectan la intimidad de la persona o cuyo mal uso puede generar discriminación.
Por eso tienen reglas más estrictas:
- Por regla general, no se pueden tratar. Solo se permite en los casos que la ley autoriza.
- La autorización debe ser explícita. No basta con que el paciente “no se oponga”.
- El paciente no está obligado a entregar datos sensibles. Hay que informárselo.
- Hay excepciones. Por ejemplo, cuando el tratamiento es necesario para proteger el interés vital del paciente y este no puede dar su autorización, como en una urgencia.
A esto se suma una regla propia del sector: la historia clínica es un documento privado sometido a reserva, según el artículo 34 de la Ley 23 de 1981. Solo la pueden conocer terceros con autorización del paciente o en los casos que define la ley.
Los derechos del paciente frente a sus datos
El artículo 8 de la Ley 1581 le da al titular de los datos estos derechos:
- Conocer, actualizar y rectificar sus datos.
- Pedir prueba de la autorización que dio para el tratamiento.
- Ser informado sobre el uso que se les ha dado.
- Presentar quejas ante la Superintendencia de Industria y Comercio (SIC).
- Revocar la autorización o pedir que se supriman los datos, cuando no se respeten sus derechos y la ley lo permita.
- Acceder gratis a sus datos personales.
Ojo con la supresión en salud: el paciente puede pedir que se borren muchos datos, pero la historia clínica tiene un tiempo mínimo de conservación de 15 años, según la Resolución 839 de 2017. Ese deber legal prevalece sobre una solicitud de borrado. Le explicamos el tema en nuestra guía sobre custodia y conservación de la historia clínica.
¿Qué debe hacer un consultorio o una IPS para cumplir el habeas data?
1. Pedir la autorización del paciente
Antes de recoger datos, hay que obtener una autorización previa, expresa e informada. Para datos de salud, debe ser explícita. Le contamos cómo hacerlo en autorización de tratamiento de datos en salud.
2. Tener una política de tratamiento de datos
Es un documento que explica qué datos recoge, para qué, quién es el responsable y cómo el paciente puede ejercer sus derechos. Debe estar disponible para los pacientes.
3. Atender consultas y reclamos a tiempo
La ley fija plazos concretos:
| Solicitud | Plazo para responder | Prórroga máxima |
|---|---|---|
| Consulta (qué datos tienen de mí) | 10 días hábiles | 5 días hábiles más |
| Reclamo (corrijan, actualicen o borren) | 15 días hábiles | 8 días hábiles más |
4. Proteger la información
El responsable debe evitar accesos no autorizados, pérdidas o adulteraciones. En una historia clínica, eso significa usuarios con contraseña, permisos según el rol de cada persona y registro de quién consultó qué.
5. Limitar el acceso a quien lo necesita
La recepcionista no necesita ver el diagnóstico. El médico tratante sí. El acceso debe responder a la función de cada persona. Vea quiénes tienen acceso a la historia clínica.
6. Reportar incidentes
Si hay una filtración o un acceso indebido, el responsable debe informarlo a la SIC.
7. Registrar las bases de datos, si aplica
Algunas entidades deben inscribir sus bases de datos en el Registro Nacional de Bases de Datos de la SIC. Verifique si su institución está obligada según los criterios vigentes de la SIC.
¿Qué pasa si no se cumple el habeas data?
La SIC puede imponer sanciones a las entidades privadas, según el artículo 23 de la Ley 1581:
- Multas de hasta 2.000 salarios mínimos mensuales.
- Suspensión de las actividades relacionadas con el tratamiento, hasta por seis meses.
- Cierre temporal de las operaciones.
- Cierre inmediato y definitivo cuando se trata de datos sensibles.
A esto se suman las consecuencias éticas y disciplinarias por violar la reserva de la historia clínica y el secreto profesional.
Errores comunes de habeas data en consultorios
- Enviar historias clínicas por WhatsApp o correo personal sin ninguna protección.
- Compartir usuario y contraseña entre varias personas del equipo.
- Guardar historias en Excel o carpetas compartidas sin control de acceso.
- No tener formato de autorización o tenerlo sin firmar.
- Entregar copias a familiares sin autorización del paciente.
Cómo ayuda un software clínico a cumplir el habeas data
Cumplir el habeas data con papel o con hojas de cálculo es difícil. Un software de historia clínica pensado para Colombia hace buena parte del trabajo:
- Usuarios, roles y permisos: cada persona ve solo lo que necesita.
- Trazabilidad: queda registro de quién entró a cada historia.
- Consentimientos y autorizaciones en plantillas, archivados en la misma historia.
- Información en la nube, con acceso controlado y sin depender de un solo computador.
Clinova PRO incluye usuarios con permisos configurables por rol, plantillas de consentimientos informados y una historia clínica 100% en la nube. Conozca más en nuestra página de seguridad.
Preguntas frecuentes sobre habeas data
¿Qué es el habeas data en salud?
Es el derecho del paciente a conocer, actualizar y rectificar sus datos personales, incluidos los de su salud, que la ley trata como datos sensibles.
¿Qué ley regula el habeas data en Colombia?
El artículo 15 de la Constitución, la Ley 1581 de 2012 y el Decreto 1377 de 2013. El habeas data financiero tiene su propia ley, la 1266 de 2008.
¿Un paciente puede pedir que borren su historia clínica?
No mientras corra el tiempo mínimo de conservación de la historia clínica. Ese deber legal prevalece sobre la solicitud de supresión.
¿Quién vigila el cumplimiento del habeas data?
La Superintendencia de Industria y Comercio, a través de su Delegatura para la Protección de Datos Personales.
Lecturas relacionadas
- Autorización de tratamiento de datos en salud
- ¿Quiénes tienen acceso a la historia clínica?
- Historia clínica en la nube vs. local
Habeas data: cumplir sin complicarse
El habeas data no es un trámite más: es la confianza que el paciente deposita en usted. Con autorizaciones claras, accesos controlados y trazabilidad, cumplir la ley se vuelve parte natural de la consulta.
Vea Clinova funcionando en su institución
Demo gratuita de 30 minutos, enfocada en su operación.
Contenido informativo para prestadores de servicios de salud en Colombia, actualizado al 16 de octubre de 2026. No constituye asesoría jurídica. Fuentes: Constitución Política, art. 15; Ley 1581 de 2012; Decreto 1377 de 2013; Ley 23 de 1981. Consulte también a la Superintendencia de Industria y Comercio.