Inicio › Blog › Ley 21.719 en salud

Ley 21.719 en consultas y centros de salud: qué cambia y cómo prepararte

La nueva ley de protección de datos personales cambia cómo tu consulta debe tratar los datos de sus pacientes. Esta guía resume lo que exige, artículo por artículo, y termina con un checklist para ponerte al día.

Guía Publicada el 29 de octubre de 2026 · Actualizada el 31 de octubre de 2026 · Lectura de 14 minutos

1. Cuándo entra en vigencia

La Ley 21.719 se publicó en el Diario Oficial el 13 de diciembre de 2024. Sus cambios a la Ley 19.628 rigen «el día primero del mes vigésimo cuarto posterior a la publicación», es decir, el 1 de diciembre de 2026 (art. primero transitorio). Desde esa fecha la Ley 19.628 pasa a ser la ley de protección de datos personales y se crea la Agencia de Protección de Datos Personales, que fiscaliza y sanciona.

¿Se posterga? En septiembre de 2026 el Gobierno ingresó al Senado un proyecto para mover la fecha a 2027 (boletín 18.623-07). El 28 de octubre el Senado lo aprobó, con el 15 de octubre de 2027 como nueva fecha, y pasó a la Cámara de Diputados. Mientras no se apruebe y se publique como ley, la fecha sigue siendo el 1 de diciembre de 2026. Y aunque se posterguen las multas, las obligaciones no cambian: conviene usar el tiempo para prepararse.

2. A quién se aplica

A toda persona o empresa que trate datos personales, y eso incluye a cada consulta, centro médico, clínica dental o profesional independiente que agenda pacientes y lleva sus fichas. En el lenguaje de la ley:

• Responsable de datos es quien decide para qué y cómo se tratan los datos: tu consulta o tu centro.
• Encargado es quien los trata por cuenta tuya, como el software de agenda y ficha, el laboratorio o el contador. Solo puede usarlos para lo que le encargaste (art. 15 bis).
• Titular es la persona a quien pertenecen los datos: tus pacientes (y, en el caso de niños, sus representantes).

3. Datos de salud: cuándo pedir consentimiento

Los datos de salud son datos sensibles. La regla general para tratarlos es el consentimiento expreso del titular, «otorgado a través de una declaración escrita, verbal o por un medio tecnológico equivalente» (art. 16).

Pero la ley tiene reglas propias para la salud (art. 16 bis): los datos de salud solo pueden tratarse para los fines previstos en las leyes sanitarias, y se pueden tratar sin consentimiento en casos como estos:

• Cuando es necesario para el «diagnóstico médico, prestación de asistencia o tratamiento de tipo sanitario o social, o gestión de sistemas y servicios de asistencia sanitaria y social» (letra e). Es el caso normal de una consulta: agendar, atender, registrar en la ficha y cobrar la atención.
• Cuando es indispensable para salvaguardar la vida o la integridad física o psíquica del paciente o de otra persona, o cuando el paciente no puede dar su consentimiento (letra a). Cuando cese el impedimento, debes informarle qué datos trataste.
• En una alerta sanitaria legalmente decretada, para defender un derecho ante tribunales u organismos, para investigación de interés público, o cuando otra ley lo permita expresamente (letras b, c, d y f).

Lo práctico: para atender no necesitas pedir un consentimiento de datos adicional. Para lo que va más allá de la atención (promociones, saludos de cumpleaños, invitaciones a volver, encuestas de marketing), lo prudente es pedir un consentimiento aparte, por finalidad, y dejar que el paciente lo retire cuando quiera.

No confundas este consentimiento con el consentimiento informado de la Ley 20.584 para procedimientos y tratamientos: ese sigue vigente y es otra cosa.

4. La ficha clínica

La Ley 20.584 ya decía que toda la información de la ficha clínica es un dato sensible (Ley 20.584, art. 12) y que debes conservarla por al menos quince años (Ley 20.584, art. 13). Eso no cambia.

¿Y si un paciente pide borrar su ficha? La ley no obliga a suprimir los datos cuando su tratamiento es necesario «para el cumplimiento de una obligación legal» (art. 7, ii), como la de conservar la ficha. Lo que sí debes hacer es responder por escrito, a tiempo y explicando el fundamento.

5. Derechos de tus pacientes

Cómo responder

• El paciente escribe al correo, formulario o medio que hayas dispuesto para esto (art. 11).
• Acusas recibo y respondes por escrito dentro de 30 días corridos desde que llegó la solicitud. Puedes prorrogar ese plazo una sola vez, hasta por otros 30 días corridos.
• Guarda el respaldo de tu respuesta: a qué dirección la enviaste, la fecha y su contenido completo.
• Si la rechazas total o parcialmente, explica el fundamento. El paciente puede reclamar ante la Agencia si no respondes o te niegas sin razón.

6. Qué debes informar

Debes tener permanentemente a disposición del público, en tu sitio web o un medio equivalente, al menos esto (art. 14 ter):

• Tu política de tratamiento de datos, con su fecha y versión.
• Quién es el responsable de los datos y cómo contactarlo para ejercer derechos (correo, formulario o medio equivalente).
• Qué tipos de datos tratas, de quiénes, para qué, con qué base legal y a quién los comunicas.
• Las medidas de seguridad que usas.
• Los derechos de los pacientes y su derecho a reclamar ante la Agencia.
• Si los datos se transfieren a otro país y si ese país ofrece un nivel adecuado de protección.

7. Seguridad y confidencialidad

Tú y todo tu equipo deben guardar secreto sobre los datos de los pacientes, también después de que termine la relación con ellos (art. 14 bis).

Además, debes adoptar medidas técnicas y organizativas acordes al riesgo, considerando el estado de la técnica y los costos (art. 14 quinquies). La ley menciona, entre otras, el cifrado y la seudonimización, la capacidad de asegurar la confidencialidad, integridad, disponibilidad y resiliencia de los sistemas, y la de recuperar el acceso a los datos rápidamente después de un incidente. En una consulta, eso se traduce en cosas concretas:

• Cada persona con su propia cuenta, sin claves compartidas.
• Permisos según el rol: recepción agenda y cobra, pero no necesita leer la ficha clínica.
• Un registro de quién vio o cambió cada ficha.
• Respaldos fuera del computador de la consulta, y la prueba de que se pueden restaurar.
• Nada de fichas en planillas sueltas, chats personales o pendrives.

La Agencia fijará estándares mínimos diferenciados según el tamaño de la entidad y el tipo de datos (art. 14 septies): una consulta pequeña no tendrá las mismas exigencias que una clínica grande.

8. Si hay una filtración

Si se pierde, se filtra, se altera o alguien accede sin autorización a datos de tus pacientes, y hay un riesgo razonable para sus derechos, debes reportarlo a la Agencia «por los medios más expeditos posibles y sin dilaciones indebidas» (art. 14 sexies). La ley chilena no fija un plazo en horas: las 72 horas que se repiten por ahí vienen de la ley europea.

Como los datos de salud son sensibles, también debes avisar a cada paciente afectado, en lenguaje claro: qué datos se vieron afectados, las posibles consecuencias y las medidas que tomaste. Si no puedes avisar a cada uno, debes publicar un aviso en un medio de comunicación masivo de alcance nacional.

Y debes llevar un registro de estas comunicaciones, con qué pasó, sus efectos, los datos y la cantidad aproximada de personas afectadas, y las medidas adoptadas.

9. Tus proveedores

Si un tercero trata datos de tus pacientes por encargo tuyo (software de agenda y ficha, laboratorio, call center), la relación se rige por un contrato que debe indicar el objeto y la duración del encargo, la finalidad, el tipo de datos, a quiénes pertenecen y los derechos y obligaciones de cada parte (art. 15 bis). Si el proveedor usa los datos para otra cosa o los cede sin tu autorización, responde como si fuera el responsable.

10. Evaluación de impacto

Cuando un tratamiento puede producir un alto riesgo para los titulares, la ley pide hacer antes una evaluación de impacto en protección de datos. La exige siempre, entre otros casos, en el «tratamiento de datos sensibles y especialmente protegidos, en las hipótesis de excepción del consentimiento» (art. 15 ter, letra d), que es justamente la base con que una consulta trata los datos de salud. La Agencia publicará una lista orientativa de qué tratamientos la requieren: atento a sus instrucciones.

11. Multas

En caso de reincidencia, la multa puede llegar hasta el triple (art. 35). Durante los primeros doce meses de vigencia, a las empresas de menor tamaño la Agencia puede sancionarlas con una amonestación por escrito, que igual queda registrada (art. sexto transitorio). Las sanciones se publican en el Registro Nacional de Sanciones y Cumplimiento.

13. Preguntas frecuentes

Fuentes

• Ley 21.719, Biblioteca del Congreso Nacional
• Diario Oficial del 13 de diciembre de 2024
• Ley 20.584, derechos y deberes de los pacientes
• Proyecto de postergación, boletín 18.623-07 (Senado)
• Garrigues: el Senado aprueba el proyecto que posterga la ley al 15 de octubre de 2027 (28 de octubre de 2026)