Ley 21.719: datos de salud, el estándar más alto

La ficha de un paciente reúne lo más íntimo que trata cualquier empresa: diagnósticos, exámenes, medicamentos, antecedentes de salud mental. Para la Ley 21.719 —la nueva ley de protección de datos de Chile, con vigencia plena el 1 de diciembre de 2026— esos datos de salud no son un dato más: son datos sensibles, la categoría que exige el estándar más alto de toda la ley.

Si diriges una clínica, un laboratorio, un centro médico o cualquier prestador que maneje información de pacientes, esta guía traduce la Ley 21.719 y los datos de salud a lo concreto: por qué son sensibles, cuándo necesitas consentimiento explícito y cuándo no, qué es la evaluación de impacto que no puedes saltarte y qué debes tener listo antes de diciembre. Sin alarmismo y con los pasos para llegar en regla.

¿Recién entrando a la ley? Parte por la guía de la Ley 21.719 para pymes. Si quieres saber en minutos qué le falta a tu institución, usa el test gratuito de cumplimiento.

Por qué los datos de salud son “datos sensibles”

La Ley 21.719, que reforma la antigua Ley 19.628 y crea la Agencia de Protección de Datos Personales, distingue entre los datos personales comunes (nombre, RUT, correo) y los datos sensibles, que reciben protección reforzada porque su mal uso puede derivar en discriminación o daño. La ley considera sensibles, entre otros, los datos que revelan origen racial o étnico, afiliación política, sindical o gremial, convicciones religiosas o filosóficas, la vida y la orientación sexual, los datos biométricos y el perfil biológico y —lo que aquí importa— los datos relativos a la salud.

Un dato de salud es cualquier información sobre el estado de salud física o mental de una persona: diagnósticos, tratamientos, discapacidad, resultados de exámenes, incluso el simple hecho de haber asistido a una consulta. Para un prestador de salud, casi todo lo que registra cae en esta categoría. Y eso cambia las reglas del juego.

La regla general: consentimiento explícito, no genérico

Con los datos personales comunes existen varias bases para tratarlos: el contrato, una obligación legal, el interés legítimo. Con los datos sensibles la regla se invierte: por defecto no se pueden tratar, salvo que exista consentimiento explícito del titular o una causal específica que la ley autorice.

Ese consentimiento tiene apellido. Debe ser libre, específico, informado e inequívoco, otorgado por una acción afirmativa clara. Tres consecuencias prácticas para una clínica:

• Nada de consentimientos genéricos. La ficha de admisión que autoriza “todo” no habilita a usar los datos del paciente para fines distintos de su atención. Cada finalidad nueva —investigación, marketing, compartir con un tercero— necesita su propio permiso.
• Separado y demostrable. El permiso para tratar datos sensibles no puede ir escondido en la letra chica, y tienes que poder probar cuándo y cómo se otorgó (con fecha y registro, no “confía en mí”).
• Revocable. El paciente puede retirar su consentimiento cuando quiera, y el sistema debe permitirlo sin fricción.

Cuándo puedes tratar datos de salud sin pedir consentimiento

La buena noticia es que atender a un paciente no exige un formulario por cada gesto. La ley contempla causales que permiten tratar datos de salud sin consentimiento cuando el contexto lo justifica. La línea de fondo es simple: usar los datos para dar la atención está cubierto; usarlos para otra cosa exige permiso.

En la duda, documenta la base que justifica cada tratamiento. Ese inventario —el registro de actividades de tratamiento— es lo primero que revisa la Agencia y tu mejor defensa en una fiscalización.

La evaluación de impacto (EIPD): el paso que no puedes saltarte

Cuando un tratamiento puede generar un alto riesgo para los derechos de las personas, la Ley 21.719 obliga a hacer antes una evaluación de impacto en protección de datos (EIPD, o DPIA). El tratamiento masivo de datos de salud es el ejemplo de manual: si administras las fichas de miles de pacientes, estás en ese supuesto.

La EIPD es un análisis previo que documenta qué datos tratas, qué riesgos existen y qué medidas tomas para mitigarlos, antes de encender el sistema y no después del incidente. No es burocracia de relleno: es lo que te permite demostrar que pensaste la privacidad desde el diseño. Hacerla obliga a ordenar el flujo de datos, y ese orden es justo lo que después te ahorra sanciones.

Seguridad reforzada: cifrado, acceso mínimo y trazabilidad

Los datos sensibles piden medidas de seguridad proporcionales al riesgo, y en salud eso significa el nivel más exigente. En la práctica se traduce en cuatro cosas concretas:

• Cifrado de los datos de salud, tanto almacenados como en tránsito. Un historial clínico guardado en texto plano ya está bajo el estándar que la ley exigirá.
• Acceso mínimo necesario. Cada usuario ve solo lo que su rol requiere: la recepcionista no necesita el historial clínico completo del paciente.
• Registro de accesos. Quién vio qué y cuándo, para poder auditar y detectar usos indebidos.
• Protocolo de brechas. Si se filtran datos, la ley obliga a informar a la Agencia y a los afectados por los medios más expeditos y sin dilaciones indebidas. Ojo: la ley chilena no fija un plazo de 72 horas —ese número viene del reglamento europeo (RGPD) y de la Ley 21.663 Marco de Ley 21.663 de ciberseguridad—, pero improvisar no es opción.

Muchos sistemas de salud enlatados no traen esto por defecto o lo dejan mal configurado. Por eso conviene revisar —o construir— el sistema pensando en la ley desde el inicio, algo que va de la mano con ordenar la operación de una clínica y con elegir bien el software de agendamiento y ficha.

Qué arriesga una clínica y cómo llegar a diciembre en regla

Tratar datos sensibles de forma ilícita es la infracción más grave de la ley. Las multas se ordenan en tres tramos —leves hasta 5.000 UTM, graves hasta 10.000 UTM y gravísimas hasta 20.000 UTM (más de $1.400 millones)— y el tratamiento ilícito de datos sensibles cae en el tramo gravísimo. En reincidencia pueden triplicarse, y la Agencia puede ordenar suspender el tratamiento. Durante los primeros 12 meses hay un respiro acotado: a las empresas de menor tamaño se les puede aplicar una amonestación por escrito en vez de multa, pero queda registrada. El detalle fino está en cuánto arriesga realmente tu pyme.

Adecuar un prestador de salud es abordable si se hace por partes:

1. Levanta tu registro de tratamientos: qué datos de salud tratas, para qué y quién los procesa.
2. Revisa el consentimiento de admisión: sepáralo por finalidad y hazlo demostrable.
3. Haz la evaluación de impacto de los tratamientos de alto riesgo.
4. Refuerza la seguridad: cifrado, control de acceso por rol y registro de accesos.
5. Habilita el canal de derechos para que el paciente pueda acceder, rectificar u oponerse (derechos ARCO).
6. Ordena a tus proveedores: laboratorios externos, software en la nube y plataformas de agenda son encargados de tratamiento y necesitan contrato.

En Softdigital ayudamos a prestadores de salud a llegar a diciembre sin frenar la atención: desde el diagnóstico de brechas hasta construir o adecuar los sistemas para que el cifrado, los roles y la trazabilidad vengan de fábrica. Trabajamos con precio fijo, propuesta en menos de 24 horas y un equipo con más de 8 años de experiencia.

Llega a diciembre con la ficha de tus pacientes en regla

La Ley 21.719 no busca complicarle la vida a la salud: busca que la información más íntima de un paciente se trate con el cuidado que merece. Para un prestador eso se traduce en tres frentes concretos —consentimiento explícito bien capturado, evaluación de impacto de los tratamientos de riesgo y seguridad reforzada con trazabilidad— más un canal para responderle al paciente.

En Softdigital acompañamos esa adecuación a la Ley 21.719 con foco en salud: diagnóstico, consentimientos, EIPD y los sistemas que lo sostienen. Parte por el test gratuito de cumplimiento o agenda un diagnóstico de 15 minutos: sin compromiso y con propuesta a precio fijo en menos de 24 horas.