Los datos médicos de tus jugadores y la ley argentina

Qué dice el marco legal, en tres leyes

Ley 25.326, de Protección de Datos Personales. Es la norma base. Define los datos de salud como sensibles, exige consentimiento expreso e informado para tratarlos, obliga a que se recojan sólo para una finalidad determinada y a tomar medidas de seguridad. La Autoridad de Aplicación es la AAIP, la Agencia de Acceso a la Información Pública.

Ley 26.529, de Derechos del Paciente e Historia Clínica. Regula la historia clínica, el consentimiento informado y el acceso del paciente a su propia información. Importa en un club porque la ficha del médico o del kinesiólogo del plantel es, en los hechos, una historia clínica.

Ley 26.061, de Protección Integral de los Derechos de Niñas, Niños y Adolescentes. Entra en juego apenas el club tiene inferiores, que es casi siempre. El consentimiento lo dan los responsables parentales, y hay que sumarle el derecho a la imagen del menor, que es un tema aparte y tan importante como el médico.

El error más común: que todos vean todo

La infracción típica de un club no es malintencionada. Es un grupo de WhatsApp del cuerpo técnico donde el médico escribe "Pérez tiene una lesión de ligamento cruzado, tres meses" y lo leen doce personas, de las cuales dos son dirigentes y una es el padre de otro jugador que también está en el grupo.

Lo que el cuerpo técnico necesita saber para trabajar es otra cosa:

• Si el jugador está disponible, en recuperación o fuera.
• Hasta cuándo, aproximadamente.
• Qué puede y qué no puede hacer en el entrenamiento.

Nada de eso requiere el diagnóstico. El diagnóstico lo necesitan el médico, el kinesiólogo y nadie más.

Esa distinción —entre estado de disponibilidad y información clínica— es la que resuelve el 90% del problema, y es puramente organizativa: se puede aplicar aunque el club siga trabajando con papel.

Cómo se organiza en la práctica

Separar los dos niveles. El estado de disponibilidad es información deportiva y la ve el cuerpo técnico. La ficha clínica es información de salud y la ven solamente los roles clínicos y la administración del club.

Roles, no cuentas compartidas. Una sola contraseña de "cuerpo técnico" que circula por el plantel hace imposible saber quién vio qué. Cada persona con su acceso, y el acceso según el rol que efectivamente cumple.

Registro de accesos. Que quede asentado quién abrió qué ficha y cuándo. Sirve para dos cosas: para responder ante un reclamo, y para que nadie entre a mirar lo que no le corresponde, porque sabe que queda registrado.

Consentimiento, por escrito y guardado. Al momento de la inscripción, con el detalle de qué datos se van a tratar y para qué. Para menores, de los responsables parentales. Y guardado donde se pueda encontrar dos años después, no en un cajón.

Finalidad y plazo. Los datos se recogen para cuidar la salud del jugador en el club. Cuando el jugador se va, hay que tener definido qué pasa con su ficha.

Derechos del titular. El jugador —o sus padres— puede pedir acceso, rectificación y supresión de sus datos. El club tiene que tener una vía concreta para recibir ese pedido y responderlo.

Las tres preguntas para cualquier sistema que vaya a guardar esto

Si el club va a cargar fichas médicas en algún software, hay tres preguntas que definen si ese sistema sirve o expone al club:

1. ¿La confidencialidad está en el servidor o en la interfaz? Que una pantalla no muestre un dato no significa que el dato esté protegido. Si el control está sólo en lo que se ve, cualquiera con acceso a la interfaz o a la base lo puede sacar. Lo que corresponde es que el propio motor de la base de datos impida devolver esa fila a quien no tiene el rol.
2. ¿Se puede responder quién vio una ficha? Si no hay registro de accesos, el club no puede responder un reclamo.
3. ¿Dónde están alojados los datos y quién es el encargado del tratamiento? El club es el responsable del tratamiento; el proveedor de software es el encargado. Esa relación debería estar en un contrato, que suele llamarse acuerdo de encargo de tratamiento o DPA. Si el proveedor no tiene uno, no está preparado para recibir datos de salud.

Cómo está resuelto en Vestuario

La confidencialidad clínica está aplicada en la base de datos, no en la pantalla: las políticas de acceso viven en el motor y sólo devuelven la ficha clínica a los roles de médico, kinesiólogo y administrador del club. El cuerpo técnico ve la disponibilidad del jugador —disponible, en recuperación, fuera— y nunca el motivo. Cada acceso queda registrado.

El club es el responsable del tratamiento y Vestuario el encargado, y eso está escrito en un acuerdo de encargo que forma parte del contrato. Las políticas de confidencialidad clínica, de menores y de datos biométricos están publicadas y se pueden leer antes de contratar nada.