¿Qué exige la Ley 21.719 sobre datos de pacientes en Chile?

La Ley 21.719 es la nueva ley chilena de protección de datos personales: reemplaza a la antigua Ley 19.628, crea la Agencia de Protección de Datos Personales y entra en vigencia el 1 de diciembre de 2026. Para una clínica lo primero que hay que entender es que ya trata "datos sensibles" —la ficha clínica lo es por definición— y que desde esa fecha las exigencias de seguridad, consentimiento y aviso de brechas dejan de ser buena práctica para tener multa asociada.

Puntos clave

• La ley entra en vigencia el 1 de diciembre de 2026, 24 meses después de publicarse en el Diario Oficial el 13 de diciembre de 2024.
• Los datos relativos a la salud quedan definidos expresamente como datos personales sensibles, junto a los biométricos y otros.
• Tratar datos sensibles exige consentimiento expreso del paciente, salvo excepciones como la asistencia sanitaria.
• Las multas van de 5.000 UTM (infracción leve) a 20.000 UTM (gravísima): al valor de julio de 2026, el tramo más alto supera los 1.400 millones de pesos.
• La ley no fija un número exacto de horas para avisar una brecha: exige hacerlo "sin dilaciones indebidas", no "72 horas" como repiten varias guías genéricas.

¿Qué es la Ley 21.719 y desde cuándo aplica?

La Ley 21.719 se publicó en el Diario Oficial el 13 de diciembre de 2024 y modifica la Ley 19.628 sobre protección de la vida privada, que hasta ahora regulaba (de forma bastante débil) los datos personales en Chile. El artículo primero transitorio fija su entrada en vigencia "el día primero del mes vigésimo cuarto posterior" a la publicación, es decir, el 1 de diciembre de 2026. No es una ley nueva que empieza de cero: es un cambio profundo a una que ya existía, así que si tu clínica nunca firmó nada relacionado con "protección de datos", probablemente ya estaba incumpliendo la anterior.

La ley crea la Agencia de Protección de Datos Personales, un organismo autónomo con facultad para fiscalizar de oficio, exigir medidas correctivas y aplicar multas. Antes de esta ley, en la práctica, casi nadie fiscalizaba estas materias en Chile. Eso cambia.

¿Por qué la ficha clínica es un "dato sensible"?

La ley clasifica como datos personales sensibles aquellos que revelan origen étnico, afiliación política, situación socioeconómica, creencias religiosas, orientación sexual, datos biométricos y, explícitamente, los datos relativos a la salud. La ficha clínica —diagnósticos, tratamientos, alergias, exámenes— cae ahí sin discusión, sea papel o digital.

Esto no es una novedad exclusiva de la 21.719: la Ley 19.628 vigente ya calificaba como sensible "toda información que surja de la ficha clínica", sin importar si el titular es el paciente o un tercero. Lo que cambia con la ley nueva es que ahora hay una agencia con dientes para exigir que ese dato sensible esté realmente protegido, y no solo declarado como tal en un contrato que nadie lee.

En las clínicas que operan con TotalMed vemos algo que sorprende a varios dueños cuando se los explicamos: llevan años tratando datos sensibles sin saberlo, desde el primer paciente que registraron. La ley nueva no inventa la obligación; la hace exigible.

Qué te exige la ley, en la práctica

Traducido a lenguaje de administrador de clínica, esto es lo que cambia:

No todo depende de comprar un sistema nuevo. Depende, sobre todo, de tener claro quién en tu equipo puede abrir qué ficha y de poder demostrarlo si alguna vez te lo piden.

Cuánto cuesta no cumplir

La Agencia clasifica las infracciones en leves, graves y gravísimas, y el monto de la multa escala rápido:

Si la clínica reincide y es una empresa grande (no una PYME según la ley 20.416), la multa puede subir hasta el 2% o el 4% de los ingresos anuales por ventas y servicios, o triplicarse, lo que sea mayor. Para la mayoría de las clínicas y centros médicos, que califican como empresa pequeña o mediana, el tramo relevante es el de la tabla de arriba, no el porcentaje de ingresos.

Notificación de brechas: lo que dice realmente la ley

Varias guías genéricas repiten que Chile copió el estándar europeo de "72 horas" para avisar una filtración de datos. El texto oficial de la ley dice otra cosa: el responsable debe reportar a la Agencia "por los medios más expeditos posibles y sin dilaciones indebidas", sin fijar un número de horas. Si la filtración afecta datos sensibles —como una ficha clínica—, datos de niños o datos económicos, además hay que avisar directamente a cada paciente afectado, en lenguaje claro, explicando qué pasó y qué se hizo al respecto.

En la práctica esto exige tener un protocolo: quién detecta el incidente, quién decide si hay riesgo razonable para los pacientes, y quién redacta el aviso. No tener ese protocolo escrito hoy es la norma en la mayoría de las clínicas chilenas que conocemos; a partir de diciembre de 2026 deja de ser gratis no tenerlo.

Qué puede hacer tu clínica desde ya

Faltan meses para que la ley rija, y eso es justo la ventaja: nadie te está fiscalizando todavía, pero preparar esto con calma es más barato que hacerlo con la Agencia ya mirando. Tres cosas concretas, sin esperar a diciembre:

1. Revisa quién accede a qué ficha. Si cualquiera en recepción puede abrir cualquier paciente sin registro, ese es el primer hueco.
2. Pide consentimiento explícito al ingresar a un paciente nuevo, aunque sea una casilla firmada junto con la ficha de ingreso.
3. Pregunta si tus datos están cifrados en el sistema que usas, no solo protegidos por una contraseña de acceso a la aplicación.

Ninguna de las tres exige un proyecto de meses. Exige decidir hacerlo antes de que llegue una carta de la Agencia.

Preguntas frecuentes

¿Desde cuándo rige la Ley 21.719 en Chile? Desde el 1 de diciembre de 2026, 24 meses después de su publicación en el Diario Oficial (13 de diciembre de 2024).

¿La ficha clínica es un dato personal sensible? Sí. Ya lo era bajo la Ley 19.628 vigente y lo sigue siendo bajo la 21.719: los datos relativos a la salud están expresamente definidos como sensibles.

¿Qué pasa si hay una filtración de datos de pacientes? Hay que reportarla a la Agencia de Protección de Datos Personales sin dilaciones indebidas, y avisar además a cada paciente si los datos filtrados son sensibles.

¿Cuál es la multa máxima que puede aplicar la Agencia? 20.000 UTM por infracción gravísima (más de 1.400 millones de pesos a julio de 2026), y hasta el 4% de los ingresos anuales en caso de reincidencia de una empresa grande.

¿Necesito comprar un software especial para cumplir? La ley no exige un software específico, pero sí cifrado, control de acceso por usuario y capacidad de reportar quién vio qué ficha y cuándo.

¿Qué pasa si mi clínica es pequeña? La ley aplica igual, pero el régimen de reincidencia por porcentaje de ingresos anuales está pensado para empresas grandes; una clínica pequeña queda dentro del tramo de multa en UTM.

Si quieres que tu clínica llegue a diciembre de 2026 con esto resuelto en vez de improvisado, la ficha de paciente de TotalMed ya registra quién entra a cada ficha y cuándo — revisa cómo funciona en nuestras funcionalidades.

Este contenido es informativo y no constituye asesoría legal; para tu caso concreto consulta a un abogado o directamente a la Agencia de Protección de Datos Personales.

Julianny Ganabela Belandria Dorante

Directora Operativa de TotalMed. Trabaja día a día con clínicas y centros médicos de Chile para ordenar agenda, fichas y caja, y que el equipo opere sin fricción.