Los datos de salud no son un dato más. La Ley 21.719 los considera datos personales sensibles y les aplica reglas más estrictas que al resto. Si tu centro médico, clínica dental o consulta privada maneja fichas clínicas, resultados de exámenes o antecedentes de tratamientos, estas reglas te obligan desde el 1 de diciembre de 2026.
Este artículo explica qué cambia cuando los datos son de salud, qué excepciones existen y qué debe ajustar un centro médico pequeño para cumplir sin improvisar.
Qué son los datos sensibles de salud según la Ley 21.719
La ley define como datos personales sensibles aquellos que se refieren a características físicas o morales de las personas o a hechos de su vida privada. Dentro de esa categoría entran los datos relativos a la salud, al perfil biológico humano y los datos biométricos.
En términos prácticos, son datos sensibles de salud:
- Diagnósticos, tratamientos y prescripciones médicas.
- Resultados de exámenes de laboratorio, imágenes y procedimientos.
- Antecedentes de enfermedades crónicas, alergias o cirugías.
- Información sobre salud mental, terapias y medicación psiquiátrica.
- Datos genéticos, proteómicos o metabólicos.
- Información sobre vida sexual, orientación sexual o identidad de género cuando forma parte del registro clínico.
Una clínica dental con dos sucursales que guarda fichas con antecedentes de diabetes, alergias a anestésicos y radiografías está tratando datos sensibles. Un centro de kinesiología que registra lesiones deportivas y evolución de tratamientos también.
Por qué los datos de salud tienen reglas más estrictas
Los datos de salud revelan información íntima sobre las personas. Su filtración puede generar discriminación laboral, exclusión de seguros, estigmatización social o daño psicológico. Por eso la ley exige garantías adicionales.
La Ley 21.719 establece que los datos personales relativos a la salud del titular y aquellos relativos al perfil biológico del titular solo podrán ser tratados para los fines previstos por las leyes especiales en materia sanitaria. Esto significa que no puedes usar datos de salud para cualquier finalidad: deben estar vinculados a la atención médica, la gestión sanitaria o los fines autorizados por ley.
Un ejemplo: una clínica puede usar los datos de sus pacientes para coordinar atenciones, emitir bonos y llevar registro clínico. No puede usarlos para enviar publicidad de productos de belleza ni para venderlos a un laboratorio sin consentimiento específico.
Cuándo se pueden tratar datos de salud sin consentimiento del titular
La regla general es que el tratamiento de datos sensibles de salud requiere el consentimiento del titular. Pero la ley reconoce situaciones en que pedir consentimiento es imposible o contraproducente.
La Ley 21.719 permite tratar datos de salud sin consentimiento cuando esto resulte indispensable para salvaguardar la vida o integridad física o psíquica del titular o de otra persona, o cuando el titular se encuentre física o jurídicamente impedido de otorgar su consentimiento. En esos casos, una vez que cese el impedimento, el responsable debe informar detalladamente al titular los datos que fueron tratados.
Ejemplo concreto: un paciente llega inconsciente a urgencias. El centro médico puede acceder a su ficha clínica anterior, solicitar exámenes y coordinar con otros profesionales sin esperar autorización. Cuando el paciente despierte, el centro debe informarle qué datos se usaron y para qué.
Esta excepción no autoriza el tratamiento indefinido ni para cualquier fin: solo cubre lo indispensable para proteger la salud en el momento de la emergencia.
Qué debe hacer distinto un centro médico pequeño
Un centro médico pequeño no tiene los recursos de un hospital, pero la ley le exige el mismo nivel de protección sobre los datos. Aquí están los ajustes más importantes:
Revisar quién tiene acceso a las fichas clínicas
En una clínica dental de dos sucursales, el acceso a las fichas debe estar restringido al equipo clínico que atiende al paciente. La recepcionista puede ver los datos de contacto y la agenda, pero no el historial de tratamientos. El dentista que atiende en la sucursal A no necesita acceso a todas las fichas de la sucursal B.
Revisa tu sistema de gestión clínica: si todos los usuarios tienen el mismo nivel de acceso, estás exponiendo datos sin necesidad.
Informar al paciente antes de pedir el consentimiento
El consentimiento para tratar datos de salud debe ser informado. Eso significa que el paciente debe saber qué datos vas a recoger, para qué los vas a usar, con quién los vas a compartir y cuánto tiempo los vas a guardar.
Un formulario de admisión que dice «autorizo el tratamiento de mis datos personales» no cumple. Debe explicar: «Vamos a registrar tu diagnóstico, tratamiento y antecedentes médicos. Los usaremos para atenderte, emitir bonos y coordinar con otros profesionales si es necesario. Los guardaremos durante quince años según lo exige la ley sanitaria. No los compartiremos con terceros salvo que tú lo autorices o la ley lo ordene».
Separar los datos de salud de los datos administrativos
Los datos de contacto, los datos de facturación y los datos clínicos no deben estar en la misma base sin controles. Si un contador externo necesita revisar las facturas, no debe poder ver los diagnósticos.
En la práctica: tu sistema de gestión debe permitir exportar datos de facturación sin arrastrar el contenido de las fichas clínicas. Si eso no es posible, estás usando la herramienta equivocada.
Documentar las cesiones de datos a otros profesionales
Cuando derivas a un paciente a otro especialista, estás cediendo datos de salud. La Ley 21.719 exige que esa cesión tenga una base de licitud: puede ser el consentimiento del paciente o la necesidad de coordinar la atención.
Documenta cada cesión: a quién le enviaste la información, qué datos incluiste, cuándo y para qué. Si un paciente reclama, debes poder explicar por qué compartiste su ficha con el laboratorio o con el radiólogo.
Revisar los contratos con proveedores tecnológicos
Si usas un software de gestión clínica en la nube, ese proveedor es encargado de tratamiento de datos. La ley te obliga a tener un contrato que regule qué puede hacer con los datos, cómo los protege y qué pasa si hay una brecha de seguridad.
Revisa el contrato de tu sistema de fichas electrónicas: si no dice nada sobre protección de datos, estás expuesto. Si el proveedor está fuera de Chile, revisa también las cláusulas de transferencia internacional.
Qué pasa si hay una filtración de datos de salud
Una brecha de seguridad que expone datos de salud es una infracción gravísima bajo la Ley 21.719. Las multas pueden llegar a 20.000 UTM, y si la empresa reincide, hasta el 4% de los ingresos anuales.
Pero más allá de la multa, una filtración de datos de salud daña la confianza de los pacientes y puede generar demandas civiles por daño moral. Si un paciente descubre que su diagnóstico de VIH o su tratamiento psiquiátrico se filtró por falta de controles, tu centro médico responde.
La ley exige que notifiques cualquier brecha a la Agencia de Protección de Datos Personales y, cuando el riesgo para los titulares sea alto, también a los pacientes afectados. Si no sabes cómo notificar una brecha de seguridad, revisa esa guía.
Cuánto tiempo se pueden guardar los datos de salud
La Ley 21.719 exige que los datos se conserven solo durante el tiempo necesario para cumplir la finalidad del tratamiento. Pero en el caso de los datos de salud, hay leyes especiales que fijan plazos mínimos de conservación.
La normativa sanitaria chilena obliga a conservar las fichas clínicas durante al menos quince años desde la última atención. Ese plazo prevalece sobre la regla general de la Ley 21.719.
En términos prácticos: no puedes eliminar una ficha clínica a los cinco años porque el paciente te lo pida. Puedes bloquear el acceso, pero debes conservar el registro durante el plazo legal.
Qué debe contener el Registro de Actividades de Tratamiento
Todo responsable de datos debe llevar un Registro de Actividades de Tratamiento. Cuando los datos son de salud, ese registro debe detallar:
- Qué categorías de datos de salud tratas: diagnósticos, exámenes, antecedentes familiares, datos genéticos.
- Para qué finalidades: atención clínica, emisión de bonos, coordinación con otros profesionales, cumplimiento de normativa sanitaria.
- Con quién los compartes: laboratorios, radiólogos, isapres, fonasa, otros especialistas.
- Cuánto tiempo los conservas: quince años desde la última atención, según la ley sanitaria.
- Qué medidas de seguridad aplicas: cifrado, control de acceso, respaldos, auditoría de accesos.
Si no sabes qué debe contener el Registro de Actividades de Tratamiento, revisa esa guía antes de redactar el tuyo.
Errores frecuentes que complican el cumplimiento
Estos son los errores más comunes que vemos en centros médicos pequeños:
Confundir el secreto profesional con la protección de datos
El secreto profesional obliga al médico a no revelar información del paciente. La protección de datos obliga al centro médico a controlar quién accede a esa información, cómo se almacena y qué pasa si hay una brecha. Son obligaciones distintas y complementarias.
Usar WhatsApp para compartir información clínica
Enviar una foto de un examen o una radiografía por WhatsApp sin cifrado de extremo a extremo es una cesión no controlada de datos sensibles. Si el teléfono del receptor se pierde o lo hackean, los datos quedan expuestos.
Si necesitas compartir información clínica, usa canales seguros: correo cifrado, plataformas de telemedicina certificadas o sistemas de transferencia con control de acceso.
No informar al paciente cuando se derivan sus datos
Muchos centros médicos asumen que el paciente sabe que su información se va a compartir con el laboratorio o con el especialista. La ley exige que se lo informes antes: qué datos vas a compartir, con quién y para qué.
Guardar fichas clínicas en papel sin control de acceso
Las fichas en papel también son datos personales sensibles. Si están en un archivador sin llave en una sala a la que entra cualquiera, estás incumpliendo el deber de seguridad.
Revisa dónde guardas las fichas físicas: deben estar en un lugar con acceso restringido, con registro de quién las consulta y con medidas contra incendio y humedad.
Preguntas frecuentes
¿Puedo usar los datos de salud de mis pacientes para investigación clínica?
Sí, pero necesitas el consentimiento específico del paciente o cumplir con las condiciones que la ley establece para el tratamiento con fines de investigación científica. No puedes usar los datos clínicos para investigación sin informar al paciente y sin implementar medidas de anonimización o seudonimización cuando sea posible.
¿Qué pasa si un paciente me pide que elimine su ficha clínica?
No puedes eliminarla si la ley sanitaria te obliga a conservarla durante quince años. Puedes bloquear el acceso para que no se use en nuevos tratamientos, pero debes mantener el registro durante el plazo legal. Explícale al paciente que la conservación es una obligación legal, no una decisión del centro.
¿Debo nombrar un delegado de protección de datos?
La ley no obliga a todos los centros médicos a nombrar un delegado, pero sí a aquellos cuya actividad principal consista en el tratamiento de datos sensibles a gran escala. Un centro médico con tres consultas y doscientos pacientes al mes probablemente no califique. Un centro con cinco sucursales y cinco mil pacientes al mes sí.
¿Puedo contratar un software de gestión clínica que guarde los datos en servidores de otro país?
Sí, pero debes asegurarte de que el país de destino ofrezca un nivel de protección adecuado o de que el proveedor implemente garantías suficientes. La Ley 21.719 regula las transferencias internacionales de datos y te hace responsable de verificar que el proveedor cumpla con estándares equivalentes a los chilenos.
Siguiente paso: ordenar el cumplimiento antes de diciembre de 2026
La Ley 21.719 entra en vigencia el 1 de diciembre de 2026. Si tu centro médico trata datos de salud, tienes menos de un año para ajustar los controles, revisar los contratos, documentar las cesiones y capacitar al equipo.
Si necesitas acompañamiento para ordenar el cumplimiento sin improvisar, revisa la guía completa de la Ley 21.719 o escribe a MenteGlobal para una revisión inicial de tu caso.