Ley 21.719 para clínicas, consultas y centros de salud

Por qué tu rubro está en la zona de mayor riesgo

El art. 2 letra g) define como datos sensibles, entre otros, los relativos a la salud, el perfil biológico y los datos biométricos. La regla general para tratarlos es el consentimiento expreso del titular (art. 16), con excepciones específicas listadas en el mismo artículo (por ejemplo, cuando el tratamiento es necesario para resguardar la vida, salud o integridad de la persona).

El art. 16 bis regula además el tratamiento de datos de salud y perfil biológico para fines de las leyes sanitarias, e incluye una prohibición: no se pueden tratar ni ceder datos de salud o biológicos recolectados en el ámbito laboral, educativo, deportivo, de seguros o de seguridad, salvo que una ley lo autorice.

Obligaciones que te aplican siempre (con o sin consentimiento)

• Deber de secreto y confidencialidad (art. 14 bis): subsiste incluso después de terminada la relación con el paciente, y debes tomar medidas para que tu personal y tus proveedores lo cumplan.
• Medidas de seguridad (art. 14 quinquies): garantizar confidencialidad, integridad, disponibilidad y resiliencia. La ley da ejemplos: seudonimización y cifrado, capacidad permanente de asegurar esos atributos, restauración rápida tras un incidente y verificación regular de la eficacia de las medidas. Incumplirlas es infracción grave (art. 34 ter j).
• Deber de información permanente (art. 14 ter): publicar en tu sitio web tu política de tratamiento y los demás antecedentes de las letras a) a l). No hacerlo es infracción leve (art. 34 bis a).
• Contratos con encargados (art. 15 bis): si un laboratorio, software de fichas o servicio de agenda trata datos por tu cuenta, necesitas un contrato con el contenido mínimo que fija ese artículo. La subdelegación sin autorización escrita específica está prohibida.

Brechas de seguridad: en salud casi siempre hay que avisar también al paciente

El art. 14 sexies obliga a reportar a la Agencia las vulneraciones de seguridad con riesgo razonable para los titulares, por los medios más expeditos posibles y sin dilaciones indebidas, y a llevar un registro de todas ellas (naturaleza, efectos, categorías de datos, número aproximado de titulares y medidas adoptadas).

Cuando la brecha afecta datos sensibles —tu caso, por tratar salud— la ley exige notificar además a los propios titulares, en lenguaje claro y sencillo; si no es posible individualmente, mediante un aviso en un medio de comunicación masivo nacional.

Omitir la comunicación o el registro es infracción grave (art. 34 ter k, multa de hasta 10.000 UTM). Omitirla deliberadamente es gravísima (art. 34 quáter f, hasta 20.000 UTM).

¿Te toca hacer una Evaluación de Impacto (DPIA)?

El art. 15 ter exige una evaluación de impacto en protección de datos ANTES de iniciar tratamientos con probable alto riesgo, y la exige siempre en ciertos casos, entre ellos el tratamiento masivo o a gran escala de datos y el tratamiento de datos sensibles en las hipótesis de excepción del consentimiento.

Una clínica o centro con volumen relevante de pacientes cae con facilidad en estos supuestos. No hacer la evaluación cuando corresponde es infracción gravísima (art. 34 quáter k): multa de hasta 20.000 UTM.

Huella o reconocimiento facial para tu personal

Si usas biometría (por ejemplo, para control de asistencia), el art. 16 ter exige —además del consentimiento del art. 16— entregar información específica: el sistema biométrico usado, la finalidad, el período de tratamiento y la forma de ejercer los derechos.

Las multas, con cita exacta

• Leves (art. 34 bis, ej.: no publicar la información del 14 ter): amonestación o multa de hasta 5.000 UTM (art. 35 a).
• Graves (art. 34 ter, ej.: tratar sin base de licitud, violar las medidas de seguridad, omitir comunicación o registro de brechas, impedir el ejercicio de derechos): hasta 10.000 UTM (art. 35 b).
• Gravísimas (art. 34 quáter, ej.: tratar datos sensibles a sabiendas en contravención a la ley, omitir deliberadamente la comunicación de una brecha, no hacer la DPIA cuando corresponde): hasta 20.000 UTM (art. 35 c).
• Toda sanción queda anotada 5 años en el Registro Nacional de Sanciones y Cumplimiento, que es público, gratuito y electrónico (art. 39).
• Si eres empresa de menor tamaño (Ley 20.416): durante los primeros 12 meses la Agencia puede optar por una amonestación escrita (art. sexto transitorio de la Ley 21.719) — pero esa amonestación igual se anota en el registro público del art. 39.

Checklist de ejecución para tu clínica o consulta

• Publica en tu web la información permanente del art. 14 ter (letras a-l), con fecha y versión.
• Revisa tus consentimientos: para datos de salud la regla es consentimiento expreso (art. 16); verifica si alguna excepción legal te cubre antes de asumirlo.
• Firma contratos de encargo (art. 15 bis) con laboratorio, software de fichas, agenda online y cualquier proveedor que vea datos de pacientes.
• Deja escrito tu protocolo de brechas (art. 14 sexies): quién detecta, quién reporta a la Agencia, cuándo se notifica a pacientes, y el registro interno de todas las vulneraciones.
• Evalúa si necesitas DPIA (art. 15 ter) por volumen o por sensibles en excepción de consentimiento — antes de iniciar el tratamiento.
• Designa quién responde por esto: el modelo de prevención es voluntario (art. 49), pero en micro, pequeñas y medianas empresas el dueño puede asumir personalmente el rol de delegado (art. 50 inc. 3°).