Ley 21.719 en clínicas privadas: qué exige de verdad, y tres cosas que te están diciendo mal

La fecha que todos citan, y el matiz que casi nadie menciona

El 1 de diciembre de 2026 entra en vigencia la Ley 21.719, la reforma que rehace por completo el régimen chileno de protección de datos personales. Conviene partir por lo que NO cambia: los datos de salud de tus pacientes ya son datos sensibles hoy —la Ley 19.628 vigente los clasifica así, y las reglas que eso arrastra te aplican desde antes de esta reforma—. Lo que llega el 1 de diciembre es otra cosa: un régimen sustantivo propio para tratarlos, con finalidades acotadas y bases de licitud tasadas, y por primera vez en Chile una autoridad con potestad para fiscalizarlo y multarlo.

Ese es el titular. Ahora el matiz: el 4 de agosto de 2026 el Gobierno anunció que evalúa postergar esa fecha. El ministro de Economía, Daniel Mas, lo explicó sin rodeos: ha costado encontrar a las personas que integren el consejo directivo de la Agencia que debe fiscalizar. El Senado desestimó la terna propuesta en mayo por no alcanzar el quórum de dos tercios, y el plazo legal para nombrarla venció en junio.

Al cierre de esta nota no hay proyecto de ley ingresado y el 1 de diciembre sigue en pie. Pero conviene saberlo antes de que te lo diga alguien más: la fecha está en discusión pública.

Este artículo está escrito para el equipo de un centro privado —una clínica dental, un centro estético, un centro médico de cinco a treinta personas— que quiere saber qué tiene que hacer, sin tener que leer 34 páginas de Diario Oficial. Todo lo que sigue está verificado contra el texto oficial publicado el 13 de diciembre de 2024.

Primero, una precisión que casi todas las guías se saltan

Vas a leer en muchas partes que la Ley 21.719 "deroga" la Ley 19.628. No es exacto, y la diferencia importa si algún día tienes que citar una norma.

La Ley 21.719 sustituye el contenido de la Ley 19.628. La 19.628 conserva su número y sigue existiendo, con un texto completamente nuevo. Por eso, cuando este artículo menciona el artículo 12 o el 16 bis, se refiere a artículos de la Ley 19.628 en su texto reformado por la Ley 21.719. Es la fórmula que usa el propio Ministerio de Economía en sus resoluciones.

Suena a detalle de abogado. Lo es. Pero si estás evaluando a un proveedor y te manda una minuta que cita "el artículo 16 bis de la Ley 21.719", ya sabes que copió de otra guía sin abrir el texto.

Las tres cosas que te están diciendo mal

Buena parte de las guías comerciales que circulan en Chile describen obligaciones que la ley chilena no contiene. No es mala fe: son importaciones del Reglamento General de Protección de Datos europeo, que se parece pero no es igual. Estas tres circulan como ciertas y no lo son.

1. No tienes 72 horas para avisar una brecha de seguridad

Es probablemente el error más repetido. El plazo de 72 horas es del reglamento europeo. La palabra "72" no aparece ni una sola vez en la Ley 21.719.

Lo que dice el artículo 14 sexies es que el responsable debe reportar a la Agencia "por los medios más expeditos posibles y sin dilaciones indebidas" las vulneraciones que ocasionen destrucción, filtración, pérdida o alteración de datos, o acceso no autorizado, cuando exista un riesgo razonable para los derechos de los titulares.

¿Es mejor noticia? No necesariamente. Un plazo fijo te da certeza: sabes que a las 71 horas estás dentro. "Sin dilaciones indebidas" es un estándar que se evalúa después, con el diario del lunes, y el criterio lo pondrá la Agencia. En la práctica significa que necesitas un procedimiento escrito antes de que ocurra la brecha, no un cronómetro.

Y hay una parte que a las clínicas les toca de lleno: cuando la brecha involucra datos sensibles —y los de salud lo son— el aviso a la Agencia puede no ser suficiente. La ley suma el deber de comunicársela también al paciente afectado, en lenguaje simple: qué datos suyos se vieron comprometidos, qué consecuencias puede tener y qué medidas se tomaron. Son dos deberes distintos, con destinatarios y condiciones propias, y conviene tratarlos por separado en tu procedimiento. Ante la duda sobre si un incidente concreto obliga a avisarle al paciente, en salud el criterio prudente es comunicar.

2. No estás obligado a llevar un registro de actividades de tratamiento

El "RAT" o "ROPA" aparece en casi toda la oferta de consultoría como una obligación legal. Revisado el texto completo: la Ley 21.719 no impone a los responsables privados un registro de actividades de tratamiento.

Las únicas obligaciones registrales de la ley son dos, y ninguna es esa: registrar las comunicaciones de brechas que hayas hecho (artículo 14 sexies), y el Registro Nacional de Sanciones y Cumplimiento del artículo 39, que lo lleva la Agencia, no tú.

El RAT sí aparece como componente del modelo de prevención de infracciones, que es voluntario, y en su reglamento. Pero eso es otra cosa: es el contenido de un programa que decides adoptar, no un deber que la ley te impone.

Dicho eso, aquí va la parte honesta: llevar ese inventario sigue siendo la forma más eficiente de cumplir. No porque la ley lo exija, sino porque sin él no vas a poder responder el deber de información del artículo 14 ter ni sostener la carga de la prueba del artículo 12. La diferencia práctica es de tono: nadie te puede multar por no tener un RAT. Te pueden multar por no poder demostrar lo que el RAT te habría permitido demostrar.

3. No necesitas un delegado de protección de datos

El artículo 50 es de una claridad poco frecuente: "El responsable de datos podrá designar un delegado de protección de datos personales." Podrá. No hay ningún supuesto —ni siquiera tratar datos de salud a gran escala— en que la ley chilena lo haga obligatorio para el sector privado. Aquí también difiere del reglamento europeo, que sí lo exige en ese caso.

Y si decides designarlo, la propia ley contempla la realidad de un centro chico: en micro, pequeñas y medianas empresas el dueño o la máxima autoridad puede asumir personalmente las tareas del delegado. No necesitas contratar a nadie.

Solo se vuelve obligatorio si adoptas voluntariamente un modelo de prevención de infracciones, porque designarlo es uno de sus componentes.

Lo que sí cambia de verdad para tu clínica

Descontado el ruido, quedan cinco cambios reales. Estos sí deberían ocuparte.

La carga de la prueba se invierte

Es el cambio más profundo y el que menos se comenta. El artículo 12 cierra con una frase que reordena todo: "Corresponde al responsable probar que contó con el consentimiento del titular y que el tratamiento de datos fue realizado en forma lícita, leal y transparente."

Hoy, si un paciente reclama, la discusión tiende a ser sobre lo que él puede acreditar. Desde diciembre, la pregunta se invierte: ¿puedes demostrar tú que ese paciente consintió? No que probablemente consintió, ni que así se hace siempre. Demostrarlo.

El mismo criterio se repite en seguridad y en transferencias internacionales. La ley no te pide estar seguro: te pide poder probarlo.

El consentimiento, además, debe ser libre, informado, específico en cuanto a la finalidad, previo e inequívoco. Es revocable en cualquier momento y sin expresar causa, por medios equivalentes a los que usaste para obtenerlo, y esos medios deben ser gratuitos y estar siempre disponibles.

Las finalidades para datos de salud se estrechan

Aquí está el cambio de fondo para un centro de salud, y es más restrictivo de lo que parece. El artículo 16 bis dice que los datos de salud "sólo podrán ser tratados para los fines previstos por las leyes especiales en materia sanitaria".

No es que tú definas para qué usas los datos y pidas consentimiento. La finalidad está acotada por la legislación sanitaria —la Ley 20.584 y el reglamento de ficha clínica—, y el consentimiento opera dentro de ese marco.

La ley enumera las bases que permiten tratar datos de salud, y la que sostiene la operación diaria de un centro es esta: "medicina preventiva o laboral, evaluación de la capacidad laboral, diagnóstico médico, prestación de asistencia o tratamiento de tipo sanitario o social, o gestión de sistemas y servicios de asistencia sanitaria y social".

Léela con atención, porque marca una frontera nítida. Esa base cubre la atención: agendar, confirmar, tratar, controlar, hacer seguimiento clínico. No cubre el marketing. No cubre mandarle una promoción de otro tratamiento a la base de pacientes, publicar un testimonio, usar fotos de antes y después, ni ceder datos a un tercero. Todo eso necesita un consentimiento expreso, separado y específico.

Si tu centro hace campañas a la base de pacientes —y casi todos los centros estéticos y dentales las hacen— esta es la línea que hay que revisar primero.

Tus proveedores entran al perímetro

El artículo 15 bis regula al encargado de tratamiento: el tercero que trata datos por cuenta tuya. Tu software de fichas, tu sistema de agenda, el laboratorio, la agencia que maneja tus campañas, el proveedor de mensajería, el cloud donde está todo.

La ley exige que el contrato con cada uno contenga, como mínimo, el objeto del encargo, su duración, la finalidad del tratamiento, el tipo de datos tratados, las categorías de titulares y los derechos y obligaciones de las partes. El encargado no puede subcontratar sin tu autorización específica y por escrito, y al terminar el servicio debe suprimir o devolver los datos.

Y hay una consecuencia que todo proveedor de tecnología en salud debería tener presente: si el encargado trata los datos con un objeto distinto del encargado, o los cede sin autorización, la ley dice que "se le considerará como responsable de datos para todos los efectos legales", respondiendo personalmente por sus infracciones y solidariamente contigo por los daños.

En términos prácticos: la pregunta que hay que hacerle a cada proveedor dejó de ser "¿es seguro?" y pasó a ser "¿me firmas un contrato con el contenido del artículo 15 bis?". Si la respuesta demora, ya aprendiste algo.

Si tus datos están fuera de Chile, hace falta un instrumento

Casi todo el software de salud aloja datos fuera de Chile. La ley lo permite, pero por una vía determinada: país con nivel adecuado de protección declarado por la Agencia, cláusulas contractuales o normas corporativas vinculantes, o un mecanismo de certificación.

Un punto que se malinterpreta seguido: la ley tiene una lista de excepciones para transferencias "específicas y no habituales", y ahí figura el consentimiento del titular y las urgencias médicas. El alojamiento permanente de tus fichas en un servidor extranjero no es una transferencia específica y no habitual. No se ampara en esa lista: necesita un instrumento, que en la práctica serán cláusulas contractuales.

El Ministerio de Economía publicó cláusulas modelo en diciembre de 2025, vigentes hasta que la Agencia dicte las suyas. Vale la pena saber que su legalidad ha sido cuestionada en doctrina —se discute si el Ministerio tenía competencia para dictarlas— y que van a ser reemplazadas. Sirven hoy; no son el punto final.

Aparece alguien que puede multarte

Este es el cambio que hace que todos los anteriores importen. Hoy, bajo la Ley 19.628 vigente, no existe autoridad de datos personales: hay que ir a un juzgado civil, y las multas van de 1 a 10 UTM. Unos setecientos mil pesos en el peor caso.

Desde diciembre existe una Agencia que fiscaliza de oficio, y el rango cambia de escala.

Las multas, en pesos

Con la UTM de agosto de 2026 en $71.649:

• Infracción leve — hasta 5.000 UTM, unos $358 millones. Aquí caen cosas mundanas: no publicar la política de tratamiento, no tener un canal de contacto que funcione, responder tarde o incompleto a un paciente que ejerce sus derechos.
• Infracción grave — hasta 10.000 UTM, unos $716 millones. Tratar datos sin base legal, obstaculizar el ejercicio de derechos, vulnerar el deber de secreto o las medidas de seguridad, omitir la comunicación de una brecha.
• Infracción gravísima — hasta 20.000 UTM, unos $1.433 millones. Tratamiento fraudulento, vulnerar el secreto sobre datos sensibles, tratar o ceder a sabiendas datos sensibles en contravención, omitir deliberadamente el aviso de una brecha.

La reincidencia puede llevar la multa hasta el triple. Y para empresas que no sean de menor tamaño, la reincidencia en infracciones graves o gravísimas puede alcanzar el 2% o el 4% de los ingresos anuales.

Hay dos consecuencias que en un centro de salud pueden doler más que el monto. La primera: ante infracciones gravísimas reiteradas dentro de 24 meses, la Agencia puede suspender las operaciones de tratamiento hasta por 30 días, prorrogables. La segunda: las sanciones se inscriben en un registro público y gratuito, con las anotaciones accesibles durante cinco años. Para una clínica que vive de la confianza, ese registro es la sanción real.

Un dato para calibrar: entre los criterios que la ley manda considerar para graduar la multa está expresamente si el tratamiento incluye datos sensibles. Los de salud siempre lo son. Tu sector parte con el agravante puesto — y también con la capacidad económica del infractor como factor a favor de un centro chico.

¿Tu centro es "empresa de menor tamaño"? Se mide en UF, no en personas

La ley contempla estándares diferenciados según el tamaño de la organización, remitiendo a la clasificación de la Ley 20.416. Casi todos los centros pequeños asumen que califican, y probablemente sea cierto — pero conviene saber por qué, porque la clasificación se hace por ventas anuales, no por número de trabajadores:

• Microempresa: hasta 2.400 UF anuales.
• Pequeña empresa: sobre 2.400 y hasta 25.000 UF.
• Mediana empresa: sobre 25.000 y hasta 100.000 UF.

Hay un beneficio transitorio concreto: durante los primeros doce meses de vigencia —hasta el 30 de noviembre de 2027— la Agencia podrá aplicar a una empresa de menor tamaño una amonestación por escrito en lugar de una multa.

Tres advertencias sobre ese beneficio, porque se está vendiendo como un año de gracia y no lo es. Es facultativo: dice "podrá", no "deberá". No te exime de la infracción. Y la amonestación igual se inscribe en el registro público. Es un descuento en la multa, no una moratoria.

Ahora, lo incómodo: los estándares diferenciados por tamaño todavía no existen. La ley dice que los determinará la Agencia mediante instrucción general, y la Agencia no está constituida. Hoy un centro pequeño no puede saber cuál será su estándar exigible en información y en seguridad. Es, seguramente, el mejor argumento a favor de una postergación acotada.

WhatsApp: lo que la ley dice y lo que no

Conviene ser precisa, porque es donde más se exagera en las dos direcciones.

La Ley 21.719 no prohíbe WhatsApp. No lo menciona. Tampoco existe ninguna guía ni pronunciamiento de autoridad chilena sobre mensajería instantánea y datos de salud bajo esta ley — no podría existir, porque la Agencia todavía no se constituye. Cualquiera que te diga "la autoridad dice que WhatsApp no se puede usar" está inventando.

Lo que sí puede decirse, leyendo el articulado, es dónde están los puntos de fricción cuando la comunicación con pacientes vive en el teléfono personal de un funcionario:

• Prueba del consentimiento. Si el consentimiento se dio de palabra en el mesón y la conversación vive en un chat, ¿cómo lo demuestras cuando la carga de la prueba es tuya?
• Medidas de seguridad demostrables. Un dispositivo personal, con respaldo automático a una nube personal, sin control de accesos, es difícil de defender frente al artículo 14 quinquies.
• El deber de secreto sobrevive a la relación laboral. Cuando alguien renuncia, el historial se va con el teléfono. La obligación de secreto no se va con él.
• Grupos con varios pacientes. Un grupo de WhatsApp donde los pacientes se ven entre sí es, potencialmente, una comunicación de datos sensibles a terceros sin autorización. Esa hipótesis está en el catálogo de infracciones gravísimas.
• Derechos del paciente. Si alguien pide acceso o supresión, tienes 30 días corridos para responder por escrito y guardar respaldo de esa respuesta. Un canal informal no permite responder eso con seriedad.
• Finalidad. Recordemos el artículo 16 bis: la finalidad está acotada a lo sanitario. Un canal donde se mezclan confirmaciones clínicas con promociones comerciales mezcla dos regímenes distintos.

Ninguno de estos puntos es un argumento contra el canal. WhatsApp sigue siendo el canal más efectivo en salud, y la evidencia de adopción en Chile no deja mucho espacio a la discusión. El argumento es contra el teléfono personal sin trazabilidad, que es una cosa distinta.

La pregunta correcta no es "¿dejamos de usar WhatsApp?". Es: ¿queda registro de quién habló con quién, cuándo, con qué consentimiento y con qué finalidad? Si la respuesta está en el celular de una persona, ese es el problema a resolver. Si está en un sistema, el canal es lo de menos.

Qué haría yo en los próximos meses

Sin consultoría, sin comprar nada, en orden de lo que más protege por lo que menos cuesta:

• Inventario, en una planilla. Qué datos de pacientes tienes, dónde están, quién los toca y con qué proveedor. No necesitas un RAT formal: necesitas saber la respuesta. Casi ningún centro la tiene escrita.
• Separa las dos finalidades. Atención por un lado, marketing por el otro, con consentimientos distintos. Es la brecha más común y la más fácil de cerrar antes que después.
• Deja el consentimiento demostrable. Que quede registrado dónde, cuándo y para qué el paciente aceptó. La carga de la prueba es tuya.
• Publica tu política de tratamiento en el sitio, con fecha y versión. Su ausencia es una infracción autónoma, de las más baratas de evitar.
• Habilita un canal de contacto que alguien realmente lea para el ejercicio de derechos, y define quién responde en 30 días.
• Revisa los contratos con tus proveedores contra el contenido mínimo del artículo 15 bis. Empieza por el que guarda las fichas.
• Escribe el procedimiento de brechas antes de necesitarlo. Media página: quién detecta, quién decide, quién avisa a la Agencia y quién a los pacientes.
• Extiende el deber de secreto por escrito a todo el personal y a los terceros que entren en contacto con datos.

Nada de esto requiere un abogado para empezar. Requiere una tarde y decidir quién es el responsable dentro del centro.

Y si se posterga

Es posible. La Agencia no tiene consejo, los estándares diferenciados por tamaño no existen y varios reglamentos están en mora. Gremios del sector han pedido que, de haber prórroga, se acote a un máximo de seis meses.

Vale la pena separar dos cosas. La fecha puede moverse. Lo que no se mueve es que hoy, en la mayoría de los centros privados de Chile, no hay registro de consentimiento, no hay trazabilidad de accesos y la comunicación con pacientes vive en teléfonos personales. Eso ya es un riesgo operacional y reputacional, con ley nueva o sin ella. Una filtración no espera al Diario Oficial.

Si se posterga, ganas meses. No cambia la lista de arriba.

Para cerrar

Soy médica cirujana y me toca, como delegada de protección de datos de CliniScribe, mirar todos los días la distancia entre lo que un centro cree que tiene ordenado y lo que puede demostrar que hizo. La Ley 21.719 no crea esa distancia: le pone fecha y le pone precio.

El cambio de fondo no es una obligación nueva en particular. Es que pasas de un régimen donde bastaba con actuar de buena fe a uno donde tienes que poder demostrar que actuaste bien. Y demostrar es, siempre, un problema de registro.

Si te interesa el ángulo regulatorio, escribimos algo parecido sobre lo que la Ley 21.541 exige en telemedicina, y sobre cómo ordenar la confirmación de citas sin que dependa de la memoria de nadie.

Este artículo se escribió el 21 de agosto de 2026 y describe el estado de la ley a esa fecha. La entrada en vigencia estaba fijada para el 1 de diciembre de 2026 y el Gobierno había anunciado que evaluaba postergarla, sin proyecto ingresado. No es asesoría legal: para decisiones sobre tu centro, consulta con un abogado.