El 1 de diciembre de 2026 entra en plena vigencia la Ley 21.719, que regula la protección y el tratamiento de los datos personales en Chile y crea la Agencia de Protección de Datos Personales (APDP). Es la modernización más importante del marco normativo desde la antigua Ley 19.628 y acerca a Chile a los estándares internacionales de protección de datos.
Para las organizaciones del sector salud, esta ley toca el núcleo mismo de su operación: los datos personales y de salud que gestionan diariamente. Clínicas, hospitales, centros médicos, laboratorios, centros de diagnóstico, consultas y otras organizaciones del sector manejan información especialmente sensible, por lo que el cambio tendrá un impacto importante en la forma en que recopilan, utilizan, almacenan y comparten estos datos.
¿Por qué los datos de salud requieren mayor protección?
La Ley 21.719 refuerza la protección de los datos personales sensibles. Los datos relativos a la salud se encuentran dentro de esta categoría y, por su naturaleza, requieren especial cuidado.
Esto tiene consecuencias muy concretas para las organizaciones del sector salud:
- El tratamiento de datos de salud está sujeto a reglas reforzadas y debe existir una base que permita realizarlo legalmente, incluyendo el consentimiento cuando corresponda.
- Cuando el tratamiento se basa en el consentimiento, este debe ser libre, específico, informado e inequívoco.
- La organización debe poder demostrar que el consentimiento fue obtenido correctamente y contar con mecanismos adecuados para gestionar su retiro cuando corresponda.
- Determinados tratamientos que impliquen un alto riesgo pueden requerir una evaluación de impacto (DPIA) antes de ser implementados.
Qué cambia respecto a la ley actual
La diferencia central entre la Ley 19.628 y la Ley 21.719 es la distancia entre declarar y demostrar.
Ya no se trata solamente de tener una política de privacidad. Las organizaciones deberán saber qué datos tienen, para qué los utilizan, quién puede acceder a ellos, con quién los comparten y qué medidas tienen para protegerlos.
El cambio de fondo
La fiscalización no evalúa buenas intenciones: evalúa cómo se gestionan los datos y qué evidencia existe de ello.
Entre los cambios más relevantes para el sector salud:
Nueva Agencia (APDP)
Con facultades de fiscalización, investigación y sanción.
Derechos de los titulares
Ampliación de derechos, incluyendo la portabilidad y nuevas garantías frente a determinados tratamientos automatizados.
Brechas de seguridad
Nuevas obligaciones de comunicar determinados incidentes a la autoridad y, cuando corresponda, a los titulares afectados.
Sanciones reales
Multas de hasta 20.000 UTM para las infracciones más graves y sanciones mayores en determinados casos de reincidencia.
También hay mayor responsabilidad en la gestión de los datos: se exigen medidas que permitan prevenir riesgos y demostrar el cumplimiento.
Los desafíos propios del sector salud
Las organizaciones de salud enfrentan una combinación de factores que hace especialmente importante ordenar la gestión de sus datos.
Manejan fichas clínicas, resultados de exámenes, imágenes diagnósticas, datos de pacientes y antecedentes administrativos, que pueden estar repartidos entre distintos sistemas: plataformas de agenda, fichas electrónicas, laboratorios, sistemas de facturación, servicios en la nube y otros proveedores tecnológicos.
Además, comparten información con terceros externos, como laboratorios, servicios de diagnóstico, aseguradoras y proveedores tecnológicos. Esto hace necesario saber qué información se comparte, con quién, para qué finalidad y bajo qué condiciones.
Otro desafío es que no todas las organizaciones cuentan con equipos especializados de tecnología o protección de datos. En muchos casos, estas tareas se distribuyen entre distintas personas, áreas y proveedores.
Prepararse para la Ley 21.719 no significa solamente crear documentos. Significa ordenar la forma en que la organización gestiona sus datos.
¿Por dónde comenzar?
La preparación puede realizarse por etapas. Una metodología 30/60/90 días puede ser una forma práctica de ordenar este proceso, comenzando por conocer los datos, luego organizar su gestión y finalmente identificar y abordar los principales riesgos.
Lo importante es partir por lo esencial:
1. Conocer los datos
Identificar qué datos personales y de salud se tienen, dónde están, para qué se utilizan y quién tiene acceso.
2. Ordenar su gestión
Revisar el RAT, contratos con proveedores y terceros, mecanismos de información y consentimiento, y responsabilidades internas.
3. Gestionar los riesgos
Revisar controles de acceso, respaldos, protección de equipos, gestión de incidentes y tratamientos de mayor riesgo.
Evidencia operativa que debería existir
No todas las organizaciones necesitarán exactamente los mismos documentos. Sin embargo, es importante comenzar a construir una base que permita demostrar cómo se están gestionando los datos personales. Entre ella:
- Registro de actividades de tratamiento (RAT), con información sobre qué datos se tratan, para qué finalidad, quién accede y con quién se comparten.
- Evaluaciones de impacto (DPIA) cuando el tipo de tratamiento y su nivel de riesgo hagan necesario realizarlas.
- Contratos con terceros que procesan información en nombre de la organización, como laboratorios, plataformas tecnológicas y servicios en la nube.
- Mecanismos de información y consentimiento, cuando corresponda, que permitan explicar a las personas qué datos se solicitan y para qué serán utilizados.
- Registro y gestión de incidentes de seguridad, junto con procedimientos para actuar frente a pérdidas, filtraciones o accesos no autorizados.
La idea no es acumular documentos. Es que la organización pueda responder preguntas simples:
¿Qué datos tenemos? ¿Para qué los usamos? ¿Quién puede acceder? ¿Con quién los compartimos? ¿Qué riesgos existen? ¿Qué hacemos si ocurre un incidente?
Qué pueden hacer las organizaciones de salud desde ya
Faltan pocos meses para la entrada en vigencia plena de la ley, por lo que conviene partir por lo esencial:
- Levantar un inventario real de los datos personales y de salud que se recolectan, dónde se almacenan, para qué se utilizan y quién tiene acceso.
- Revisar los mecanismos de información y consentimiento cuando corresponda, dejando clara la finalidad para la que se solicitan los datos.
- Revisar contratos y relaciones con terceros, especialmente con laboratorios, proveedores tecnológicos y otros que tengan acceso a información personal.
- Identificar los principales riesgos y definir medidas para reducirlos.
- Capacitar al personal en los principios básicos de protección de datos, seguridad de la información y actuación frente a incidentes.
No cumplir no solo puede exponer a sanciones económicas: una brecha de seguridad o un manejo inadecuado de información de salud puede afectar directamente la confianza de las personas y comprometer la continuidad de la atención.
Cómo puede ayudar Efigest
En Efigest ayudamos a las organizaciones del sector salud a avanzar en este proceso de manera práctica y ordenada.
A través de Efigest SGDP, es posible organizar y gestionar aspectos clave del cumplimiento, como el inventario de datos, registro de actividades de tratamiento, gestión de derechos de los titulares, riesgos, incidentes, documentación y evidencias.
La Ley 21.719 no se trata solamente de entender la normativa. Se trata de saber qué datos tienes, por qué los tratas, quién puede acceder, qué riesgos existen, cómo respondes y cómo puedes demostrar que estás cumpliendo.
Si tu organización de salud todavía no ha comenzado a prepararse, este es el momento de partir. Conversemos sobre cómo llegar preparados a diciembre de 2026.
Fuentes: Ley 21.719, Biblioteca del Congreso Nacional.