Datos personales de salud en Chile: qué cambia con la nueva ley.

La información relacionada con nuestra salud es una de las categorías de datos personales más sensibles que existen. Cada consulta médica, examen, diagnóstico, tratamiento, cirugía u hospitalización genera antecedentes que revelan aspectos íntimos de la vida de una persona. Si estos antecedentes se usan o divulgan indebidamente, pueden afectar la vida privada y la dignidad del paciente, e incluso generar consecuencias laborales, sociales o económicas.

A partir del 1 de diciembre de 2026 entrará en vigencia la profunda reforma introducida por la Ley N° 21.719 a la Ley N° 19.628 sobre Protección de la Vida Privada. Esta reforma transforma por completo el régimen chileno de protección de datos personales de salud. Con ella, Chile contará por primera vez con una normativa moderna, inspirada en estándares internacionales, especialmente europeos. Establecerá reglas mucho más estrictas para el tratamiento de datos personales por parte de organismos públicos y entidades privadas, incluyendo hospitales, clínicas, centros médicos, laboratorios y demás prestadores de salud.

La reforma también ha generado numerosas dudas en el ámbito sanitario. ¿Necesitan las clínicas el consentimiento del paciente para tratar sus datos personales de salud? ¿Qué nuevos derechos tendrán los pacientes? ¿La nueva ley modifica las reglas sobre la ficha clínica y la confidencialidad médica? ¿Cómo se relaciona con la Ley N° 20.584, sobre derechos y deberes de los pacientes?

En este artículo analizamos los principales cambios que introduce esta legislación desde la perspectiva de los pacientes. También explicamos cómo convivirá con las normas sanitarias vigentes, para entender qué derechos se fortalecen, cuáles siguen regulados por la legislación sanitaria especial y qué obligaciones nuevas deberán cumplir los prestadores de salud.

¿Por qué los datos personales de salud tienen una protección especial?

No toda información personal recibe el mismo nivel de protección jurídica. La legislación chilena distingue una categoría especialmente protegida: los datos personales sensibles. Dentro de ella reconoce una subcategoría aún más específica, el dato personal sensible relativo a la salud y al perfil biológico humano, para el cual establece reglas todavía más estrictas.

Esta calificación no es casual. Los antecedentes médicos permiten conocer aspectos íntimos de una persona: sus enfermedades, diagnósticos, tratamientos y discapacidades. También incluyen sus antecedentes de salud mental, información genética, resultados de exámenes, medicamentos prescritos e incluso datos sobre su salud sexual y reproductiva.

La utilización, divulgación o tratamiento indebido de esta información puede afectar gravemente la vida privada de las personas. Puede dar lugar a discriminación o provocar consecuencias personales, familiares, sociales e incluso patrimoniales.

Por ello, la Ley N° 19.628, la Ley N° 20.584 y la reforma de la Ley N° 21.719 reconocen que la información de salud merece un régimen de protección reforzado. En consecuencia, quienes recopilan, almacenan o utilizan estos datos deberán cumplir exigencias mucho más estrictas para resguardar la privacidad de los pacientes.

La nueva ley no deroga la Ley 20.584 ni el Código Sanitario.

Uno de los errores más frecuentes es creer que la nueva Ley de Protección de Datos Personales sustituye las normas que hoy regulan la ficha clínica. Esas normas están contenidas principalmente en la Ley N° 20.584 y en algunas disposiciones del Código Sanitario.

El nuevo estatuto de protección de datos viene a complementar la regulación vigente sobre fichas clínicas y sobre el secreto profesional. No la reemplaza.

¿Necesitan las clínicas el consentimiento del paciente para tratar sus datos personales de salud?

Esta es, probablemente, una de las preguntas más relevantes y también más complejas que plantea la reforma. La propia ley establece como regla general la necesidad de contar con un consentimiento expreso del titular.

A diferencia de otras materias reguladas por la reforma, el tratamiento de los datos personales de salud no quedó redactado de forma completamente clara. La ley establece expresamente los casos en que estos datos pueden tratarse sin consentimiento. Pero también deja abiertas interrogantes sobre la atención sanitaria habitual y sobre cómo esta nueva normativa se relaciona con la legislación sanitaria vigente.

En otras palabras, la discusión no consiste solo en determinar si una clínica necesita el consentimiento del paciente. La verdadera dificultad radica en identificar cuál es la base jurídica que legitima el tratamiento durante la prestación ordinaria de servicios de salud. También en cómo deben interpretarse las excepciones del artículo 16 bis de la ley.

Antes de abordar ese debate, conviene revisar las situaciones en que la propia ley autoriza el tratamiento de datos de salud sin el consentimiento del titular.

Casos en que la ley permite tratar datos personales de salud sin consentimiento.

1. Cuando el tratamiento resulte indispensable para salvaguardar la vida o integridad física o psíquica del titular o de otra persona (artículo 16 bis, letra a). Esto ocurre, por ejemplo, cuando un paciente ingresa inconsciente a urgencias tras un accidente. El equipo médico necesita acceder a sus antecedentes de alergias, enfermedades crónicas o tratamientos previos para decidir con la información necesaria. No es posible ni exigible recabar su consentimiento en ese momento.
2. Cuando el titular se encuentre física o jurídicamente impedido de otorgar el consentimiento (artículo 16 bis, letra a). Ocurre, por ejemplo, con un paciente en estado de coma, con discapacidad cognitiva severa, o con un menor de edad sin representante legal disponible durante la atención de urgencia.
3. En casos de alerta sanitaria legalmente decretada (artículo 16 bis, letra b).
4. Cuando sean utilizados con fines históricos, estadísticos o científicos, para estudios o investigaciones de interés público o en beneficio de la salud humana. También para el desarrollo de productos o insumos médicos que no podrían desarrollarse de otra manera. Si los resultados se publican, los datos deben anonimizarse antes (artículo 16 bis, letra c).
5. Cuando el tratamiento sea necesario para la formulación, ejercicio o defensa de un derecho ante tribunales de justicia o ante un órgano administrativo (artículo 16 bis, letra d).
6. Cuando el tratamiento sea necesario para fines de medicina preventiva o laboral, evaluación de la capacidad laboral, diagnóstico médico, asistencia sanitaria o social, o gestión de sistemas de salud (artículo 16 bis, letra e).
7. Cuando la ley así lo permita e indique expresamente la finalidad del tratamiento (artículo 16 bis, letra f).

¿Son estas las únicas situaciones en que pueden tratarse datos de salud sin consentimiento?

El artículo 16 bis parece entregar una respuesta categórica. Al regular las excepciones al consentimiento, señala que solo se podrán tratar los datos de salud del titular sin su consentimiento en los casos que la propia norma enumera.

El uso de la expresión “sólo” sugiere, en una primera lectura, que el legislador quiso establecer un catálogo taxativo de excepciones. Pero esta conclusión plantea de inmediato una nueva pregunta. Si las excepciones son taxativas, ¿cuál es la base jurídica que permite a hospitales y clínicas tratar los datos de sus pacientes durante la atención médica habitual? Es decir, fuera de los casos de riesgo para la vida o integridad del paciente.

Es en este punto donde surge una de las principales dificultades interpretativas de la nueva legislación.

La principal dificultad interpretativa

A primera vista podrían sostenerse al menos dos interpretaciones distintas.

Primera interpretación: la letra e) como habilitación general

Esta lectura entiende que el tratamiento ordinario de datos durante la atención sanitaria encuentra su fundamento en la letra e) del artículo 16 bis. Esa letra permite el tratamiento cuando sea necesario para fines de medicina preventiva o laboral, diagnóstico médico, asistencia sanitaria o gestión de sistemas de salud. Conforme a esta interpretación, la propia ley contendría una habilitación suficiente para que los prestadores traten los datos necesarios para la atención médica normal, sin requerir un consentimiento específico para cada tratamiento.

Segunda interpretación: el consentimiento sigue siendo la regla general.

Esta interpretación parte de que la regla general para tratar datos sensibles sigue siendo el consentimiento expreso del titular, conforme al inciso primero del artículo 16. El artículo 16 bis solo establecería hipótesis excepcionales en las que ese consentimiento deja de ser necesario. La letra e) no sería entonces una autorización autónoma para cualquier tratamiento, sino una descripción de finalidades que debe armonizarse con las demás exigencias de la ley.

Un matiz adicional: la restricción de finalidad sanitaria.

El propio artículo 16 bis agrega un matiz relevante en su primer párrafo. Dispone que, si se cumple el inciso primero del artículo 16 —es decir, si existe el consentimiento expreso que la ley exige para tratar cualquier dato sensible—, los datos de salud solo podrán tratarse, además, para los fines previstos por las leyes especiales en materia sanitaria.

Esta disposición no es una vía alternativa al consentimiento. Es una restricción adicional que opera sobre él. No basta con que el paciente consienta el tratamiento de sus datos de salud: ese consentimiento solo habilita el tratamiento si la finalidad perseguida está reconocida por la legislación sanitaria especial, como la Ley N° 20.584 o el Código Sanitario.

Lejos de despejar la duda, esta exigencia adicional refuerza la necesidad de precisar cuál es la base jurídica aplicable al tratamiento ordinario de datos de salud. Sobre todo cuando no existe un consentimiento específico y diferenciado para cada acto asistencial.

A ello se suma otra dificultad. La Ley N° 20.584 regula la confidencialidad de la ficha clínica y el acceso a ella, pero no autoriza de forma general y expresa todo tratamiento de datos de salud realizado por los prestadores. Además, la ficha clínica es solo uno de los múltiples soportes donde hoy se almacena información de salud, junto con sistemas hospitalarios, plataformas de laboratorio, imágenes diagnósticas y registros administrativos.

En consecuencia, la forma en que ambas leyes deberán integrarse es una cuestión que probablemente deberá precisar la futura Agencia de Protección de Datos Personales. En última instancia, también los tribunales de justicia.

Nuevos derechos para los pacientes sobre sus datos personales en salud.

La nueva Ley de Protección de Datos Personales reconoce derechos que fortalecen el control de las personas sobre su información. Entre ellos destacan el acceso, la rectificación, la supresión, la oposición, el bloqueo y la portabilidad de los datos.

Desde la perspectiva de los pacientes, estos derechos pueden traducirse en la posibilidad de:

1. Conocer qué información mantiene una clínica sobre ellos.
2. Saber con qué finalidad está siendo utilizada.
3. Solicitar la corrección de datos inexactos.
4. Oponerse a determinados tratamientos, cuando la ley lo permita.
5. Solicitar la suspensión temporal del tratamiento mientras se resuelve una reclamación.
6. Acceder a sus datos y recibir copia de ellos en formato electrónico.

¿Estos derechos reemplazan el derecho a obtener la ficha clínica?

No, y esta distinción es importante. El derecho de acceso de la nueva Ley N° 19.628 no sustituye el régimen especial de acceso a la ficha clínica.

Las reglas sobre quién puede solicitar una copia de la ficha clínica, en qué casos procede y cuáles son sus límites, siguen reguladas por la Ley N° 20.584 y sus normas sanitarias. La nueva ley amplía las facultades del titular sobre sus datos, pero no elimina las normas especiales de la documentación clínica.

Ambos regímenes deberán interpretarse de manera complementaria. Aun así, subsiste la duda sobre si, en la práctica, terminan generándose dos vías paralelas para acceder a la información clínica del paciente.

¿Cómo podrán ejercer estos derechos los pacientes?

La nueva legislación establece que los derechos deben ejercerse ante el responsable del tratamiento de los datos. Este deberá implementar mecanismos sencillos, accesibles y gratuitos para recibir las solicitudes.

Las solicitudes podrán referirse al acceso, rectificación, supresión, oposición o los demás derechos de la ley. Este procedimiento es una de las principales novedades de la reforma y busca facilitar el control efectivo de las personas sobre su información.

Nuevas obligaciones para clínicas y hospitales.

La nueva normativa no solo reconoce derechos para los pacientes. También incrementa las obligaciones de quienes administran información médica.

Las instituciones deberán cumplir principios de licitud, finalidad, proporcionalidad, calidad, seguridad, transparencia y confidencialidad. Además deberán:

1. Adoptar medidas técnicas y organizativas para proteger los datos desde el diseño de sus sistemas.
2. Mantener políticas de tratamiento de datos.
3. Implementar medidas de seguridad adecuadas.
4. Garantizar que el tratamiento se ajuste a los fines para los que fue recopilado.

La protección de datos deja de ser un aspecto administrativo. Se transforma en una obligación permanente de gestión y cumplimiento normativo dentro del sector salud.

Una crítica final: la falta de armonización con la Ley 20.584

Más allá de las dudas interpretativas puntuales, cabe formular una crítica de fondo a la técnica legislativa empleada. La reforma de la Ley N° 21.719 no armonizó expresamente su nuevo régimen con la Ley N° 20.584.

Una desconexión conceptual.

Ambas leyes operan con categorías y lenguaje distintos. La Ley 20.584 gira en torno a la relación asistencial y a la confidencialidad de la ficha clínica. La Ley 21.719 gira en torno al dato personal como objeto autónomo de protección. No existe una norma de conexión que indique cómo debe leerse una a la luz de la otra.

Una desconexión funcional.

Tampoco se estableció un mecanismo claro para la práctica diaria de un prestador de salud. No queda claro cuándo un tratamiento ya autorizado por la legislación sanitaria satisface también las exigencias de la nueva ley de datos personales. Tampoco cuándo se requiere un análisis adicional conforme al artículo 16 bis.

El resultado es que, en la práctica, clínicas y hospitales enfrentarán la sensación de estar sujetos a dos regímenes paralelos que rara vez dialogan entre sí. Ambos regulan, desde ángulos distintos, la misma realidad: la información de salud de un mismo paciente.

Esta falta de integración normativa no es un simple detalle técnico. Es una fuente real de incertidumbre jurídica. Probablemente recaerá, en un inicio, sobre los propios equipos legales y de cumplimiento de los prestadores de salud. Esto, hasta que la futura Agencia de Protección de Datos Personales, o los tribunales de justicia, vayan fijando criterios de interpretación armónica entre ambos cuerpos normativos.

Una ley que fortalece el control del paciente sobre su información.

La entrada en vigencia de la nueva Ley N° 19.628 representa uno de los cambios más importantes en protección de la vida privada de las últimas décadas en Chile. En el ámbito sanitario, la reforma no modifica la forma en que se presta la atención médica ni reemplaza las normas sobre la ficha clínica.

Sin embargo, sí fortalece los derechos de los pacientes sobre el tratamiento de su información personal. También aumenta las obligaciones de clínicas, hospitales y demás prestadores de salud.

En los próximos años, será la práctica administrativa, las instrucciones de la futura Agencia de Protección de Datos Personales y la interpretación de los tribunales las que irán delimitando cómo convivirán estas nuevas reglas con la legislación sanitaria vigente.

Cuadro comparativo: Ley N° 20.584 y nueva Ley N° 19.628

Ley N° 20.584	Nueva Ley N° 19.628
Regula los derechos y deberes de los pacientes durante la atención de salud.	Regula el tratamiento de los datos personales en todos los ámbitos, incluido el sanitario.
Se centra en la relación asistencial entre paciente y prestador.	Se centra en la protección de los datos personales y el control del titular sobre ellos.
Regula la ficha clínica, su confidencialidad y quiénes pueden acceder a ella.	Regula todo el ciclo de vida de los datos personales, en cualquier soporte.
Establece deberes específicos para los prestadores de salud.	Establece principios generales, derechos de los titulares y obligaciones para los responsables.
Es una legislación sanitaria especial.	Es una legislación general que debe aplicarse de forma complementaria con las normas sanitarias.
No fue modificada para coordinarse expresamente con la nueva ley de datos.	Tampoco incorporó una norma de remisión o armonización expresa con la legislación sanitaria.

Autor: Rodrigo Sala – Abogado.

by: abogadonegligencias.cl