.svg)
.jpg)
Uno de los sesgos que detecto cuando converso con administradores de centros médicos es pensar que la protección de datos es un tema de bancos o de retail, algo que le compete a otro rubro. Y tiene sentido que se piense así, porque durante años la conversación pública sobre datos giró en torno a tarjetas de crédito y filtraciones de e-commerce.
Pero un centro médico trata, todos los días, el tipo de dato que la ley chilena considera más delicado que existe: salud, más biometría en algunos casos, más antecedentes de tratamientos que el paciente jamás querría ver circulando. Con la Ley 21.719 en plena vigencia desde el 1 de diciembre de 2026, ese tipo de dato pasa de estar protegido "en la práctica" a estar protegido con una autoridad fiscalizadora, plazos concretos y multas que se cuentan en miles de UTM.
Vamos por partes: qué cambia en la ley, qué significa específicamente para un centro médico (no una clínica dental, no un retail) y qué de eso ya viene resuelto si trabajas con Medilink.
¿Qué trajo de nuevo la Ley 21.719?
Chile fue pionero en 1999 con la Ley 19.628, pero esa ley nació sin un fiscalizador efectivo y con sanciones bajas, y el mundo digital la dejó atrás. La Ley 21.719 se publicó en diciembre de 2024, inspirada en buena parte en el estándar europeo (GDPR), y trae dos novedades centrales.
La primera es que ahora hay árbitro: la Agencia de Protección de Datos Personales, un organismo autónomo con poder para dictar normas, fiscalizar y sancionar. La segunda es que el consentimiento deja de ser la única puerta de entrada. La ley reconoce otras bases de licitud (ejecución de un contrato, cumplimiento de una obligación legal, interés legítimo), lo que en la práctica significa que atender a un paciente tiene su propia base legal, sin necesidad de pedirle "permiso" de datos para tratarlo médicamente.
¿Dónde pesa más esto en un centro médico general que en cualquier otro negocio?
En que casi todo lo que registras es dato sensible. Una historia clínica, un resultado de laboratorio, una interconsulta a un especialista, una nota de salud mental, un diagnóstico crónico: todo cae en la categoría más exigente de la ley. La regla general para tratar este tipo de dato es el consentimiento expreso, salvo que exista una ley sanitaria que autorice directamente su tratamiento, que es exactamente lo que ocurre cuando estás atendiendo a un paciente dentro del flujo normal de la consulta.
Donde sí se activa un consentimiento adicional y específico es en lo que va más allá de la atención: campañas de recordatorio de controles por WhatsApp que no son parte del tratamiento indicado, comunicaciones promocionales de chequeos preventivos, uso de datos para fines distintos al motivo original de consulta. La ley pide que ese consentimiento sea previo, expreso, libre, informado, específico y revocable, y que quede registrado en algún lado, no solo verbalizado en el mesón de recepción.
Telemedicina, derivaciones entre especialistas y el problema de "quién ve qué"
Un centro médico rara vez trabaja con un solo profesional viendo a un paciente. Hay derivaciones entre especialistas, exámenes que se comparten entre laboratorio y médico tratante, consultas de telemedicina donde el registro queda en video o en notas escritas. Cada uno de esos puntos de contacto es, técnicamente, un tratamiento de datos que tiene que estar amarrado a un rol y un permiso.
Aquí la ley introduce algo que va a sonar familiar si trabajas en salud: el principio de proporcionalidad. Solo se tratan los datos necesarios para la finalidad específica y por el tiempo necesario. Un kinesiólogo no necesita ver la nota de salud mental de un paciente que llega por un esguince, y la ley espera que tu sistema, no solo tu criterio, sea capaz de reflejar eso mediante accesos diferenciados por rol.
Multas: cuánto está en juego realmente
La ley divide las infracciones en tres tramos. Las leves, como respuestas fuera de plazo a un paciente que pide acceso a sus datos, tienen tope de 5.000 UTM. Las graves, como tratar datos sin base legal o con medidas de seguridad insuficientes, llegan hasta 10.000 UTM. Las gravísimas, que incluyen tratar datos sensibles en contravención a la ley u omitir maliciosamente el reporte de una brecha, tienen tope de 20.000 UTM, y en reincidencia esos montos pueden triplicarse (o calcularse como porcentaje de los ingresos anuales si se trata de una empresa grande).
Un dato que vale la pena tener presente: si ocurre una brecha con riesgo para los pacientes, hay que notificar a la Agencia dentro de 72 horas, y avisar a los propios afectados cuando el riesgo es alto. No es un trámite opcional ni algo que se resuelve "cuando se pueda".
El mito que más genera consultas: "si el paciente pide que borre su ficha, tengo que hacerlo"
Es falso, y vale la pena aclararlo antes de que alguien tome una decisión apresurada. La Ley 20.584, sobre derechos y deberes de los pacientes, obliga a conservar la ficha clínica por al menos 15 años (artículo 13), y ese deber legal prima por sobre la solicitud de supresión que habilita la Ley 21.719. Un paciente sí puede ejercer derechos de acceso, rectificación, oposición al uso de sus datos para fines como marketing, o portabilidad, pero no puede exigir que se elimine su historial clínico completo. Los dos marcos legales conviven, uno no anula al otro.
Lo que un proveedor de software te resuelve, y por qué eso importa tanto en salud
Si tu centro médico falla en seguridad porque el software que usa no tiene estándares serios, quien responde ante la Agencia y ante los pacientes eres tú, aunque la falla técnica haya sido del proveedor. Por eso elegir plataforma clínica dejó de ser solo una decisión operativa y pasó a ser, literalmente, una decisión de cumplimiento normativo.
Con Medilink, hay una parte importante de esto que ya viene funcionando sin que tengas que construirla desde cero:
- Certificación ISO 27001:2022, auditada externamente, con cifrado de la información, control de accesos por rol y respaldos permanentes.
- Designación como Operador de Importancia Vital bajo la Ley Marco de Ciberseguridad (Ley 21.663). Esto significa reporte al CSIRT Nacional con alerta temprana en 3 horas y reporte completo en 72, un nivel de exigencia reservado a infraestructura crítica del país que tu centro hereda automáticamente por usar la plataforma.
- Consentimientos capturados y trazables por finalidad. El paciente consiente al agendar online y eso queda registrado; si el consentimiento se obtuvo por otro canal, se marca en el sistema y eso habilita el envío de comunicaciones. Sin ese registro, la plataforma simplemente no envía, sin depender de que el equipo administrativo se acuerde de revisarlo.
- Trazabilidad por rol y por acción. Quién accedió a qué ficha, cuándo y con qué permiso queda registrado automáticamente, lo que resuelve directamente el problema de "quién ve qué" entre especialistas y personal administrativo.
- DPA suscrito entre el centro médico (responsable) y Medilink (encargado), alineado con el estándar de la Ley 21.719, además de un proceso de gestión de incidentes con plazos definidos para avisarte a tiempo.
Lo que sigue siendo tarea tuya
La plataforma resuelve la infraestructura, pero hay decisiones que le corresponden al centro médico como responsable del tratamiento: definir qué comunicaciones requieren consentimiento adicional, responder directamente las solicitudes de derechos de los pacientes, notificar a la Agencia cuando corresponda (aunque el aviso interno llegue a tiempo), y capacitar al equipo en el uso correcto de los roles y permisos que ya están disponibles en el sistema.
Al 29 de julio quedaban 125 días para el 1 de diciembre de 2026. No es un plazo que dé para postergar la conversación, pero tampoco es un proyecto que haya que construir desde el primer ladrillo si el software clínico que usas ya está pensado para esto.
