Política de Protección de Datos Personales

1. Objetivo

El Objetivo de la presente Política es proteger datos personales tratados por BOSTON SERVICIOS MEDICOS S.A.C. (en adelante BOSTON SERVICIOS MEDICOS) preservando la confidencialidad, disponibilidad e integridad de estos en cumplimiento al marco normativo dado por la Ley N° 29733, Ley de Protección de Datos Personales y su Reglamento, aprobado mediante DS 016-2024-JUS (en adelante, la “Normativa de Protección de Datos Personales”).

2. Alcance y usuario

La presente política aplica a todas las áreas de BOSTON SERVICIOS MEDICOS en Perú.

3. Abreviaturas y definiciones: 

3.1 Autoridad Nacional de Protección de Datos Personales (ANPDP):

Órgano del Ministerio de Justicia y Derechos Humanos encargado de supervisar, regular y garantizar el cumplimiento de la Ley de Protección de Datos Personales y su Reglamento. Ejerce funciones de fiscalización, sanción, orientación y promoción de buenas prácticas en el tratamiento de datos personales en el ámbito público y privado.

3.2 Banco de datos personales:

Es aquel conjunto organizado de datos personales, automatizado o no, cualquiera fuera el soporte sobre el que se encuentre y la forma o modalidad de su creación, formación, almacenamiento, organización y acceso.

3.3 Banco de datos personales de administración privada:

Banco de datos personales cuya titularidad corresponde a una persona natural o jurídica de derecho privado.

3.4 Dato personal:

Cualquier pieza de información vinculada a una o varias personas determinadas o determinables o que puedan asociarse a una persona natural.

3.5 Datos sensibles:

Son aquellos datos constituidos por los datos biométricos que por sí mismos pueden identificar al titular o que lo hacen identificable, datos referidos al origen racial y étnico, ingresos económicos, opinión política, religiosa, filosófica o moral, afiliación sindical e información referida a la salud o a la vida sexual.

3.6 Derechos Arco:

Son los derechos que tiene todo titular de los datos personales al Acceso, Rectificación, Cancelación y Oposición sobre sus datos personales.

3.7 Flujo transfronterizo de datos personales:

Transferencia internacional de datos personales a un destinatario situado en un país distinto al país de origen de los datos personales, sin importar el soporte en que estos se encuentren, los medios ni el tratamiento. Solo podrá realizarse a países con un nivel adecuado de protección de datos o mediante garantías contractuales aprobadas por la Autoridad Nacional de Protección de Datos Personales (ANPDP).

3.8 Responsable del tratamiento:

Persona natural o jurídica, pública o privada que por sí misma o asociada con otros, decida sobre la base de datos y/o Tratamiento de los datos.

3.10 Titular o propietario del banco de datos personales:

• Es responsable de otorgar y mantener el nivel suficiente de protección a los datos personales contenidos en el banco de datos personales que tenga bajo su titularidad.
• Es responsable por la determinación y cumplimiento de la finalidad y del contenido del banco de datos personales bajo su titularidad.
• Es responsable por el tratamiento de los datos personales contenidos en el banco de datos personales bajo su titularidad.
• Es responsable de garantizar el cumplimiento de los derechos del titular de los datos personales.

4. Base Legal:

4.1 Constitución Política del Perú:
 

El artículo 2 de la Constitución Política del Perú contiene una lista enunciativa y no taxativa de los derechos fundamentales que tiene toda persona por su propia naturaleza. Así pues, dentro de aquella lista, el numeral 6 del mencionado artículo indica expresamente que “toda persona tiene derecho a que los servicios informáticos, computarizados o no,públicos o privados, no suministren informaciones que afecten la intimidad personal y familiar”.

4.2 Ley de Protección de Datos Personales y su Reglamento:

Con la promulgación de la Ley y el Reglamento, el Perú cuenta con un marco jurídico que busca garantizar el respeto al derecho fundamental a la protección de datos personales a través de un adecuado tratamiento. De esta manera, ambas normas no sólo buscan proteger los derechos de los titulares de aquellos datos, sino también se ocupan de las obligaciones de los referidos titulares de los bancos de datos personales, como es el caso de BOSTON SERVICIOS MEDICOS. En tal sentido, lo que se pretende conseguir es que la actuación de los titulares de los bancos de datos personales, en relación con el tratamiento de datos personales se ajuste al contenido del nuevo marco jurídico y a los principios rectores que a partir de ahora guían todo tratamiento de información personal.

5. Documentos relacionados:

• Reglamento Interno de Trabajo de BOSTON SERVICIOS MEDICOS; en su versión vigente. 
• Código de ética de BOSTON SERVICIOS MEDICOS; en su versión vigente. 
• Política de Seguridad de la Información; en su versión vigente. 
• Ley 29733 Ley de Protección de Datos Personales y su Reglamente

6. Responsabilidades:

6.1 Apoderado:

Velar por el cumplimiento de los lineamientos detallados en la presente política.

6.2 Oficial de Datos Personales (ODP):

El ODP supervisará el cumplimiento normativo y de la presente política, asesorará en el tratamiento de datos y actuará como punto de contacto con la ANPDP.

6.3 Área Legal:

Brindar soporte en la aplicación de sanciones cuándo exista y sea comunicada con las pruebas respectivas de alguna infracción de los lineamientos detallados en la presente política.

7. Infracciones y denuncia:

7.1 Notificación de Incidentes de Seguridad:

En caso de un incidente que comprometa datos personales, el ODP notificará a la ANPDP dentro de las 48 horas posteriores a su detección. Si el incidente involucra datos sensibles o grandes volúmenes, también se informará al titular afectado y al Centro Nacional de Seguridad Digital, conforme al procedimiento interno de gestión de incidentes.

La empresa considerará que cualquier infracción de esta política constituye un incumplimiento grave (de acuerdo con el RIT y/o el Código de Ética) de las obligaciones del Personal.

8. Disposiciones generales:

• La política de protección de datos personales se alinea con los objetivos de la empresa y da soporte a las exigencias legales y regulatorias.
• BOSTON SERVICIOS MEDICOS en su condición de titular de los bancos de datos personales deberán facilitar el ejercicio de los derechos ARCO al titular de la información contenida en dichos repositorios de datos.
• Todo colaborador de BOSTON SERVICIOS MEDICOS que acceda al banco de datos personales deberá preservar la confidencialidad, disponibilidad e integridad de estos en cumplimiento de la Normativa de Protección de Datos Personales.
• El Oficial de Datos Personales debe revisar y monitorear la implementación y ejecución de los controles y políticas de protección de datos personales.
• BOSTON SERVICIOS MEDICOS mantendrá actualizado los controles de seguridad para el banco de datos personales, basándose en un proceso de identificación y evaluación de riesgos de seguridad de la información.
• BOSTON SERVICIOS MEDICOS mantendrá la información contenida en los bancos de datos personales bajo las condiciones de seguridad necesarias para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento.
• El Oficial de Datos Personales deberá revisar y proponer la actualización de documentos normativos referidos a la Normativa de Protección de Datos Personales para su aprobación.
• La presente política deberá formar parte del proceso de inducción de nuevos colaboradores, y en el caso de terceros debe ser anexado al contrato.
• BOSTON SERVICIOS MEDICOS, así como todos sus colaboradores que efectúen tratamiento de datos personales, deberán facilitar el ejercicio de los derechos ARCO a los titulares de la información que generan, administren o usen información personal.

8.1 Principios rectores:

Todos los colaboradores de BOSTON SERVICIOS MEDICOS que ejecuten tratamiento de datos personales deben de tener en cuenta los siguientes principios para la ejecución de sus actividades:

8.1.1 Principio de calidad:

Todo tratamiento de datos personales debe ser adecuado, relevante y no excesivo a la finalidad para la que estos hubiesen sido recopilados.

8.1.2 Principio de consentimiento:

Para el tratamiento de los datos personales debe mediar el consentimiento de su titular.

8.1.3 Principio de finalidad:

Los datos personales deben ser recopilados para una finalidad determinada, explícita y lícita. El tratamiento de los datos personales no debe extenderse a otra finalidad que no haya sido la establecida de manera inequívoca como tal al momento de su recopilación, excluyendo los casos de actividades de valor histórico, estadístico o científico cuando se utilice un procedimiento de disociación o anonimización.

8.1.4 Principio de disposición de recurso:

Todo titular de datos personales debe contar con las vías administrativas o jurisdiccionales necesarias para reclamar y hacer valer sus derechos, cuanto estos sean vulnerados por el tratamiento de sus datos personales.

8.1.5 Principio de legalidad:

El tratamiento de los datos personales se hace conforme a lo establecido en la Ley. Se prohíbe la recopilación de los datos personales por medios fraudulentos.

8.1.6 Principio de nivel de protección adecuado:

Para el flujo transfronterizo de datos personales, se debe garantizar un nivel suficiente de protección de datos personales que se vayan a tratar o, por lo menos, equiparable a lo previsto por la Ley o por los estándares internacionales en la materia.

8.1.7 Principio de proporcionalidad:

Todo tratamiento de datos personales debe ser adecuado, relevante y no excesivo a la finalidad para la que estos hubiesen sido recopilados.