Guía 2026 · Protección de datos

Ley 21.719: qué cambia para los profesionales de la salud que atienden por su cuenta

La Ley 21.719 reforma casi entera la ley de protección de datos personales de 1999 (Ley 19.628) y crea la Agencia de Protección de Datos Personales. Hoy está fijada para empezar a regir el 1 de diciembre de 2026, pero el Senado aprobó el 28 de octubre de 2026 postergarla al 15 de octubre de 2027 y falta que vote la Cámara de Diputados. Acá te contamos en simple en qué está la postergación, qué te pide la ley si llevas fichas de pacientes y una lista corta para prepararte con calma.

Actualizado el 2 de noviembre de 2026

¿Se postergó? En qué está al 2 de noviembre de 2026

Todavía no. El Gobierno presentó en septiembre un proyecto para atrasar un año la entrada en vigencia (boletín 18.623-07). El Senado lo aprobó y movió la fecha al 15 de octubre de 2027. Ahora lo revisa la Cámara. Mientras no se publique como ley, la fecha que manda es la que dice la Ley 21.719: el primer día del mes 24 después de su publicación, o sea el 1 de diciembre de 2026 (artículo primero transitorio).

Lo que se discute es cuándo empieza a regir, no qué pide. Según lo que se ha informado del proyecto, las obligaciones y los derechos de los pacientes quedan iguales. Por eso conviene usar el tiempo extra para ordenarse, sin apuro. Vamos a actualizar esta página cuando la Cámara vote.

Si atiendes por tu cuenta, tú eres el responsable de los datos

La ley llama responsable de datos a quien decide para qué y cómo se usan los datos personales, sea una persona natural o una empresa (art. 2, letra n). Si eres kinesiólogo, fonoaudiólogo, terapeuta ocupacional, psicólogo o nutricionista y llevas tus propios pacientes, ese responsable eres tú. La app o el programa donde guardas las fichas es tu encargado: trata los datos por tu cuenta y según tus instrucciones (art. 2, letra x, y art. 15 bis).

Los datos de salud son datos sensibles (art. 2, letra g). La buena noticia para quien atiende pacientes: la ley permite tratarlos sin un consentimiento aparte cuando es necesario para el diagnóstico o la prestación de asistencia o tratamiento sanitario (art. 16 bis, letra e). O sea, no necesitas una segunda firma solo para poder llevar la ficha. El consentimiento informado de la Ley 20.584 sigue igual: lo explicamos en la guía de consentimiento informado.

Lo que te pide la ley, en simple

• Informar. Tener a la vista de tus pacientes, en tu sitio web o en otro medio equivalente, quién eres, qué datos tratas y para qué, cómo te pueden escribir para ejercer sus derechos y cuánto tiempo guardas los datos, entre otras cosas (art. 14 ter).
• Guardar secreto. No contarle a terceros lo que sabes de tus pacientes, incluso después de terminar la atención (art. 14 bis). Para la ficha ya regía por la Ley 20.584.
• Cuidar los datos. Tomar medidas de seguridad acordes al riesgo, como cifrado, respaldos y poder recuperar los datos si algo falla (art. 14 quinquies).
• Responder a tus pacientes. Si alguien te pide ver, corregir o borrar sus datos, contestar por escrito dentro de 30 días corridos, prorrogables una vez por otros 30 (art. 11).
• Avisar si algo sale mal. Si pierdes datos o alguien accede sin permiso y hay un riesgo razonable para tus pacientes, avisar a la Agencia sin demora. Como son datos de salud, también hay que avisarles a los pacientes afectados (art. 14 sexies).
• Tener contrato con tus encargados. Si un tercero guarda los datos por ti, la ley pide un contrato con el objeto, la duración, la finalidad, el tipo de datos y los derechos y obligaciones de cada parte (art. 15 bis).

La ley dice que lo que se exija en información y seguridad se va a graduar según el tipo de dato, si el responsable es una persona natural o una empresa y su tamaño (art. 14 septies). La Agencia todavía no publica esos estándares, así que nadie espera de un profesional independiente lo mismo que de una clínica.

Qué te pueden pedir tus pacientes

¿Y las multas?

La ley clasifica las infracciones en leves, graves y gravísimas. Las leves se sancionan con amonestación escrita o multa; las más altas son para las faltas graves y gravísimas, como no cuidar la seguridad o no respetar el secreto (arts. 34 bis a 35). Al fijar una multa, la Agencia considera atenuantes como no tener sanciones previas o haber colaborado, y el tamaño de quien infringe (arts. 36 y 37). Lo útil para ti no es el monto, sino que las faltas más comunes se evitan con las medidas simples de la lista de abajo.

Lista para prepararte con calma

• Mira dónde están hoy los datos de tus pacientes: cuaderno, Excel, fotos en el celular, chats de WhatsApp, correo. Mientras menos lugares, más fácil cuidarlos.
• Escribe un aviso de privacidad corto y déjalo donde tus pacientes lo vean: tu sitio, tu perfil o junto al consentimiento. Abajo hay un ejemplo.
• Define un correo para solicitudes de datos y anota en un lugar las que recibas, con la fecha y la respuesta.
• Revisa tus herramientas. Si usas una app o un programa para las fichas, pregunta si actúa como tu encargado y si te ofrece el contrato que pide la ley.
• Protege tu celular y tu computador con clave y bloqueo automático, y ten claro qué harías si los pierdes.
• Sigue llevando bien el consentimiento informado y la ficha, como ya pide la Ley 20.584.

Ejemplo de aviso de privacidad para tu consulta

Adáptalo a tu práctica. Lo que va entre corchetes lo completas tú.

• Quién trata tus datos: [nombre], [profesión], RUT [número]. Contacto para temas de datos: [correo].
• Qué datos y para qué: tus datos de identificación y contacto, y los de salud que se registran en tu ficha clínica, para atenderte, llevar tu ficha, agendar tus sesiones y cobrarlas.
• Por qué puedo tratarlos: porque son necesarios para tu atención de salud y porque la ley me obliga a llevar tu ficha clínica.
• Con quién los comparto: con nadie, salvo [los profesionales que me indiques] o cuando lo exija la ley. Uso [una aplicación de gestión] que guarda los datos por mi cuenta.
• Cuánto tiempo los guardo: la ficha clínica, al menos 15 años, como exige la Ley 20.584. Los demás datos, mientras dure la atención y lo que la ley pida después.
• Tus derechos: puedes pedirme acceso, rectificación, supresión, oposición, portabilidad y bloqueo de tus datos escribiendo a [correo]. Te respondo dentro de 30 días. Si no te respondo o no estás de acuerdo, puedes reclamar ante la Agencia de Protección de Datos Personales.

Dónde entra LUNO

En LUNO tú eres el responsable de los datos de tus pacientes y LUNO es tu encargado: los guarda y procesa solo por tu cuenta, para prestarte el servicio. Ya tienes hoy el registro de quién accede a cada ficha, el historial de cambios de cada nota, fichas protegidas contra el borrado durante los 15 años que exige la ley, la copia de la ficha en PDF para entregarle al paciente que la pida y el respaldo diario cifrado. Cada profesional ve solo a sus propios pacientes.

Estamos preparando LUNO para la nueva ley: el contrato de encargo entre tú y nosotros y herramientas para responder las solicitudes de tus pacientes. Lo que LUNO no hace por ti: informar a tus pacientes ni responder sus solicitudes. Eso sigue siendo tuyo; nosotros te lo hacemos más fácil.

Si atiendes a domicilio, mira cómo funciona LUNO para kinesiólogos, fonoaudiólogos, terapeutas ocupacionales, psicólogos y nutricionistas.

Preguntas frecuentes

¿La Ley 21.719 se aplica si trabajo solo y emito boleta de honorarios?

Sí. La ley se aplica a todo responsable de datos, sea persona natural o jurídica (art. 33). Lo que cambia es la exigencia: la ley gradúa los estándares según el tamaño y si eres persona natural (art. 14 septies).

¿Cuándo entra en vigencia la nueva ley de datos personales?

Hoy, el 1 de diciembre de 2026. El Senado aprobó el 28 de octubre de 2026 postergarla al 15 de octubre de 2027; si la Cámara la aprueba y se publica antes del 1 de diciembre, esa pasa a ser la fecha.

¿Necesito pedirle al paciente un consentimiento aparte para guardar sus datos de salud?

Para atenderlo, no: la ley permite tratar datos de salud cuando es necesario para el diagnóstico o el tratamiento (art. 16 bis, letra e). Sí sigue vigente el consentimiento informado de la Ley 20.584 para el tratamiento clínico.

¿Tengo que nombrar un delegado de protección de datos?

No es obligatorio. La ley dice que el responsable "podrá" designarlo (art. 50).

Si un paciente me pide borrar su ficha, ¿tengo que hacerlo?

No mientras exista la obligación de guardarla. La supresión no procede cuando el tratamiento es necesario para cumplir una obligación legal (art. 7), y la Ley 20.584 pide conservar la ficha al menos 15 años. Respóndele por escrito explicando el motivo.

Ley 21.719 según bcn.cl/leychile, consultada el 2 de noviembre de 2026. Los artículos citados son los de la Ley 19.628 tal como queda con la reforma. Estado de la postergación según la tramitación del boletín 18.623-07 informada por la prensa el 28 de octubre de 2026. Esta página es una guía de referencia y no reemplaza la asesoría de un abogado.