El 1 de diciembre de 2026 entra en plena vigencia la Ley 21.719, que reemplaza a la Ley 19.628 de 1999 y reescribe las reglas de protección de datos personales en Chile. Si atiendes pacientes, esto te llega de lleno: la ficha clínica es dato sensible, y los datos sensibles son la categoría que la ley trata con más exigencia.
Esta guía es lo que necesitas saber en concreto, sin repetir el texto de la ley. Al final hay una lista de preguntas para hacerle a tu proveedor de software —sirve igual si terminas eligiendo a otro—.
Lo primero, porque de aquí sale todo lo demás
La ley distingue dos papeles:
- Responsable del tratamiento — quien decide para qué se usan los datos. Esa es tu clínica.
- Encargado del tratamiento — quien los trata por cuenta de otro. Ese es tu software, tu servicio de imagenología, el laboratorio, quien te lleva la contabilidad si ve datos de pacientes.
De ahí sale la frase que más cuesta digerir: la responsabilidad ante el paciente no se traspasa. Contratar software no te saca del problema, te agrega un deber — el de elegir encargados que ofrezcan garantías suficientes y poder demostrarlo. Si tu proveedor filtra los datos, ante el paciente y ante la Agencia respondes tú.
Esto no es una interpretación agresiva de la norma. Es su lógica central, y es la razón por la que el resto de la guía va a insistir en documentos firmados y no en buenas intenciones.
Tu ficha es dato sensible, con todo lo que eso arrastra
Los datos de salud son una categoría especial. En una ficha odontológica hay más de lo que uno recuerda: antecedentes mórbidos, medicamentos, alergias, imágenes, y a veces información que el paciente no le ha contado a nadie más.
Consecuencias prácticas de estar en esa categoría:
- La base de licitud es más estricta que para un dato común.
- Es mucho más probable que necesites una evaluación de impacto.
- Ante una brecha no basta con avisarle a la Agencia: hay que avisarle también a cada paciente afectado.
- Vulnerar el deber de secreto sobre datos sensibles está tipificado como infracción gravísima, que es el tramo más alto de multa.
- Y ya tenías obligaciones antes de esta ley: la Ley 20.584 y el Decreto 41 llevan más de una década regulando la ficha clínica. La 21.719 no las reemplaza, se suma.
Checklist: las siete cosas que te exige
| # | Obligación | Qué significa en tu clínica |
|---|---|---|
| 1 | Saber qué datos tienes | Inventario y registro de actividades de tratamiento: qué recolectas, para qué, con qué base legal, quién accede, a quién se lo entregas y cuánto lo guardas |
| 2 | Tener base de licitud | Consentimiento del paciente u otra base habilitante, registrada — no basta con que lo haya dicho de palabra |
| 3 | DPA con cada proveedor | Acuerdo de tratamiento firmado con todo el que toque datos de pacientes |
| 4 | Responder derechos en plazo | Acceso, rectificación, cancelación, oposición y portabilidad, dentro de 30 días |
| 5 | Detectar y avisar brechas | Reportar a la Agencia sin dilaciones indebidas y, por tratarse de datos sensibles, comunicárselo también a cada paciente afectado |
| 6 | Evaluar impacto (EIPD) | Obligatoria cuando el tratamiento es de alto riesgo — el volumen de datos de salud suele calificar |
| 7 | Conservar y eliminar bien | Ficha clínica: mínimo 15 años. El resto: solo mientras tenga finalidad |
Ninguna de las siete se resuelve comprando algo. Cuatro se resuelven con procedimiento y documentos, y tres dependen de que tu sistema tenga ciertas capacidades técnicas.
La tensión que casi nadie te explica
El punto 7 parece contradictorio y vale la pena detenerse, porque es donde más clínicas se equivocan.
El Decreto 41 obliga a conservar la ficha clínica al menos 15 años desde la última anotación. La Ley 21.719 obliga a conservar los datos solo el tiempo necesario para su finalidad. Suena a choque, pero no lo es: la ficha clínica tiene un plazo legal propio que manda sobre el principio general.
Donde sí te expones es en todo lo demás que se acumula sin que nadie lo mire:
- presupuestos que el paciente nunca aceptó, de hace seis años
- listas de contactos de una campaña que hiciste una vez
- currículums de gente que postuló y no quedó
- planillas Excel con nombres y teléfonos en el computador de recepción
- fotos clínicas en el teléfono personal de alguien del equipo
Eso no está cubierto por los 15 años del Decreto 41, y sí debe eliminarse cuando pierde finalidad. Es, además, el material que aparece en las brechas reales — porque nadie lo está cuidando.
Qué debe darte tu software
Tres de las siete obligaciones dependen de capacidades técnicas que tú no puedes construir. Estas son las preguntas concretas para hacerle a cualquier proveedor, sirva o no el que tienes hoy. Si no puede responder alguna con un sí verificable, esa es tu brecha:
- ¿Me entregan un DPA firmado? ¿Está publicado o hay que pedirlo? ¿Nombra a los subprocesadores?
- ¿Los datos de mi clínica están aislados de los de otras clínicas? ¿A qué nivel — aplicación o base de datos?
- ¿Hay bitácora de accesos? Sin registro de quién vio qué y cuándo, no puedes detectar una brecha — y sin detectarla, el deber de reportarla sin dilaciones indebidas es inaplicable en la práctica.
- ¿Se puede alterar o borrar una evolución ya escrita? Si la respuesta es sí, la integridad de la ficha depende de la buena fe de todos los que tienen clave.
- ¿Dónde se alojan los datos? Si salen de Chile, ¿bajo qué garantías de transferencia internacional?
- ¿Puedo exportar la ficha completa de un paciente que la pide? Ese es el derecho de portabilidad, y tienes 30 días.
- ¿Registran el consentimiento con versión y fecha? "El paciente aceptó" sin constancia de qué texto aceptó y cuándo, no acredita nada.
- ¿Qué pasa con mis datos si dejo de pagar o me cambio? ¿Me los entregan, en qué formato, y cuándo los eliminan de sus servidores?
- ¿Tienen respaldos, cada cuánto, y los han probado restaurando? Un respaldo que nunca se restauró es una hipótesis, no un respaldo.
Las nueve son verificables. Ninguna acepta un folleto como respuesta: pide el documento.
Sanciones, con las cifras que de verdad te aplican
La ley crea la Agencia de Protección de Datos Personales y ordena las multas en tres tramos (art. 35):
| Infracción | Multa |
|---|---|
| Leve | amonestación escrita o hasta 5.000 UTM |
| Grave | hasta 10.000 UTM |
| Gravísima | hasta 20.000 UTM |
Dos precisiones que casi nunca se hacen y que cambian la lectura:
El 4% de los ingresos anuales no es tu escenario. Esa cifra circula mucho porque es la que más impresiona, pero el artículo 35 la reserva a empresas que no califican como de menor tamaño según la Ley 20.416 y que además reinciden en infracción grave o gravísima. Una clínica dental no está ahí.
El tramo alto sí es alcanzable, pero por otra vía. No por el tipo de dato, sino por la conducta: vulnerar el deber de secreto o confidencialidad sobre datos sensibles está tipificado como infracción gravísima, y esa figura no exige que hayas actuado con dolo. En cambio, fallar en las medidas de seguridad u omitir el registro de una vulneración son infracciones graves, con tope de 10.000 UTM.
Sobre el primer año: durante los doce meses siguientes a la entrada en vigencia, la Agencia podrá sancionar a las empresas de menor tamaño con amonestación escrita en lugar de multa. Léelo con cuidado — dice podrá, no deberá. Y la amonestación queda sujeta al deber de registro, o sea que existe públicamente. Tampoco impide que un paciente afectado accione por su cuenta.
Por dónde partir esta semana
Si tienes que elegir un solo movimiento, es el punto 3: pídele hoy el DPA a tu proveedor de software. Es gratis, te toma un correo, y la respuesta te dice mucho. Si lo tiene publicado y lo puedes leer sin pedirlo, buena señal. Si no existe, ya sabes cuál es tu primera brecha — y te quedan pocos meses.
Después, en orden de esfuerzo creciente: levanta el inventario de datos (punto 1), revisa cómo estás registrando el consentimiento (punto 2), y recién ahí métete con la EIPD.
Esta guía es orientación general y no constituye asesoría legal. La aplicación concreta depende de la realidad de cada prestador; para decisiones con consecuencias jurídicas, consulta con un abogado. Última revisión: 8 de agosto de 2026.