Ley 21.719 en salud: fichas clínicas y datos de pacientes
La ficha clínica, los resultados de exámenes y las recetas son datos sensibles por definición. Qué exige la Ley 21.719 a los prestadores de salud.
El resultado de un examen que llega por correo. La ficha clínica electrónica a la que accede el personal de admisión. La receta que queda en el mesón. El laboratorio externo que procesa las muestras. El sistema de agendamiento telefónico. La cámara de la sala de espera.
En salud no hay que preguntarse si los datos son sensibles: lo son por definición. La Ley 21.719 los somete al régimen más estricto que contempla, y desde el 1 de diciembre de 2026 ese régimen es fiscalizable.
Una filtración de diagnósticos no se gestiona con una nota de prensa. Se gestiona con un protocolo escrito de antemano, o no se gestiona.
Los siete pilares, aterrizados a tu realidad
Estos son los siete frentes que evalúa la ley, con lo que significa cada uno en tu sector concreto.
1. Bases de licitud y consentimiento
En tu caso: El tratamiento de datos de salud requiere consentimiento expreso y por escrito, salvo situaciones de urgencia vital en que la atención no admite espera.
Revisa tus formularios de contacto, fichas de ingreso y contratos. Agrega siempre una casilla desmarcada por defecto, con un enlace que explique para qué usarás la información.
2. Deber de información y transparencia
En tu caso: Se debe informar al paciente, de forma explícita, cómo se resguarda, almacena y mantiene en secreto su ficha clínica.
Tu política debe estar a un clic desde el pie de página y escribirse pensando en una persona común, no en un tribunal.
3. Ejercicio de derechos ARCOP
En tu caso: El derecho a rectificar datos de salud es crítico, pero la ficha clínica se rige además por los plazos de conservación que fija la normativa sanitaria.
Crea una casilla del tipo privacidad@tuinstitucion.cl y designa a alguien con un procedimiento escrito: cómo verificar la identidad de quien solicita, dónde buscar los datos y con qué formato responder.
4. Medidas de seguridad y reporte de brechas
En tu caso: La filtración de diagnósticos o recetas es de las infracciones más graves. El acceso a fichas clínicas debe exigir doble factor de autenticación.
Inventaria quién tiene acceso a qué. El error más común es que ex trabajadores conserven acceso activo a carpetas en la nube con RUT y correos de clientes.
5. Datos sensibles, biometría y menores
En tu caso: Exámenes, recetas y tratamientos son sensibles por definición. El deber de confidencialidad debe extenderse por contrato a todo el personal administrativo, no solo al clínico.
Pregúntate si es indispensable capturar la huella o el rostro, o si un sistema de tarjeta o código QR resuelve lo mismo con mucho menos riesgo legal.
6. Proveedores y encargados de tratamiento
En tu caso: La ficha clínica electrónica y los laboratorios externos deben operar bajo contratos con cláusulas explícitas de confidencialidad médica.
Exige a tus proveedores sus certificaciones de seguridad y firma con cada uno un anexo de protección de datos que limite el uso de la información.
7. Gobernanza: delegado y modelo de prevención
En tu caso: Dada la sensibilidad de las fichas clínicas, los prestadores de alta complejidad deberían contar con un delegado de dedicación exclusiva.
Aunque tu organización sea mediana, nombra a un directivo que coordine privacidad. Demostrar gobernanza ante una fiscalización reduce mucho la exposición.
Tres exigencias propias del sector
El consentimiento debe ser expreso y por escrito
Para tratar datos de salud la regla general es el consentimiento expreso y por escrito del paciente. Las excepciones existen —la urgencia vital, donde la atención no admite espera, y los casos que una ley autoriza expresamente— pero son eso: excepciones que hay que poder justificar, no la práctica habitual.
La confidencialidad se extiende más allá del personal clínico
El deber de secreto no cubre solo a médicos y enfermeras. Admisión, recaudación, agendamiento, informática y aseo pueden acceder, de forma incidental o directa, a información clínica. Ese deber debe estar escrito en sus contratos y respaldado por accesos nominativos y trazables.
En la práctica, esto significa que el acceso a la ficha clínica electrónica debería exigir doble factor de autenticación y dejar registro de quién consultó qué y cuándo.
Los plazos de conservación conviven con la normativa sanitaria
Aquí hay una tensión que conviene entender bien: el derecho a la supresión de la Ley 21.719 no permite borrar una ficha clínica a petición del paciente, porque la normativa sanitaria fija plazos propios de conservación. Lo que sí procede es la rectificación de datos inexactos y el bloqueo de tratamientos que excedan la finalidad asistencial.
Brechas: el escenario que hay que tener ensayado
Si se filtran datos de salud, la ley obliga a notificar a la Agencia sin dilaciones indebidas y, por tratarse de datos sensibles, también directamente a las personas afectadas. Eso implica tener resuelto de antemano quién decide, quién redacta, en qué orden se avisa y qué se dice.
La diferencia entre un incidente contenido y una crisis reputacional rara vez está en la brecha misma: está en las primeras 48 horas de comunicación.
Prioridades para un prestador de salud
- Audita los accesos a la ficha clínica: quién entra, con qué credencial y si queda registro.
- Extiende por contrato el deber de confidencialidad a todo el personal administrativo y de soporte.
- Firma contratos de encargo con laboratorios externos, proveedores de ficha electrónica y sistemas de agendamiento.
- Escribe y ensaya el protocolo de notificación de brechas, incluyendo el mensaje a los pacientes.
- Evalúa designar un delegado de protección de datos con dedicación exclusiva si tratas volúmenes altos.
Mide dónde estás, en cinco minutos
El autodiagnóstico llega con tu sector ya seleccionado. Siete preguntas y, al terminar, tu nivel de cumplimiento y las brechas concretas que conviene cerrar primero.
¿Prefieres entender antes la ley completa? Lee la guía general de la Ley 21.719.
Este contenido tiene carácter divulgativo y no constituye asesoría jurídica para un caso concreto.