La modernización del marco chileno de protección de datos ya no es una amenaza futura: entra en vigencia el 1 de diciembre de 2026 y exige a las empresas, cualquiera sea su tamaño, un cambio profundo en la forma de tratar la información de sus clientes, pacientes y trabajadores. Para el sector salud, que maneja datos sensibles por definición, el desafío es mayor y el margen de error, menor.
El sentido de la Ley N°21.719 (en adelante, la “Ley”) contradice la cultura organizacional con la que hemos convivido durante décadas. Las planillas con datos personales que circulan de un área de la empresa a otra sin restricción o control alguno, dejan de ser una práctica tolerable. Desde el inicio de su tramitación, en 2018, el legislador puso el acento en un objetivo que trasciende lo jurídico: instalar en trabajadores y trabajadoras una verdadera cultura de protección de los datos personales y sensibles.
El eje del nuevo régimen es el principio de responsabilidad proactiva (accountability): ya no basta con no infringir la Ley; la empresa debe estar en condiciones de demostrar que cumple. Ello supone conocer a fondo cada dato que tiene en su haber, clasificarlo, inventariarlo, protegerlo y garantizar a sus titulares el ejercicio efectivo de sus derechos.
Qué introdujo la Ley N°21.719:
Más allá de sus numerosas disposiciones, cinco novedades concentran el impacto práctico para las empresas:
1. Una autoridad con atribuciones: Se crea la Agencia de Protección de Datos Personales (APDP), corporación autónoma de derecho público, facultada para fiscalizar e investigar de oficio, aplicar multas, ordenar la suspensión de tratamientos y llevar un Registro Nacional de Sanciones de acceso público.
2. Derechos reforzados de los titulares (ARSOPB): Toda persona podrá ejercer los derechos de Acceso, Rectificación, Supresión, Oposición, Portabilidad y Bloqueo sobre sus datos, y la empresa deberá responder dentro de los plazos legales.
3. Deber de notificar las brechas de seguridad: Ante una vulneración que afecte datos personales, existe obligación de notificar a la Agencia y, en ciertos casos, a los afectados sin dilación indebida.
4. Bases de licitud del tratamiento: Todo tratamiento de datos deberá sustentarse en una causa legal habilitante, el consentimiento u otra base de licitud, debidamente documentada y acotada a una finalidad determinada.
5. Un régimen sancionatorio severo. Las multas alcanzan hasta 5.000 UTM por infracciones leves, 10.000 UTM por graves y 20.000 UTM por gravísimas; en caso de reincidencia pueden agravarse hasta el 2% o 4% de los ingresos anuales de la empresa.
¿Por qué el sector salud es el más expuesto?
La Ley otorga una protección reforzada a los datos sensibles, categoría en la que se encuentran, precisamente, los datos relativos a la salud. Para clínicas, laboratorios, farmacias, aseguradoras, prestadores y empresas de dispositivos médicos, esto no es un matiz: es el centro del negocio. La ficha clínica, los resultados de exámenes, los datos de farmacovigilancia, la información de estudios clínicos y hasta el historial de dispensación en farmacia constituyen datos sensibles cuyo tratamiento indebido expone a la organización a las sanciones más graves.
No es casual: la Ley califica como infracción gravísima la exposición masiva de datos sensibles de salud, el tratamiento fraudulento de datos, su uso para una finalidad distinta de la consentida y la vulneración del deber de secreto. En un sector donde la información fluye entre prestadores, seguros, laboratorios y autoridades sanitarias, cada transferencia debe contar con base de licitud, resguardos técnicos y trazabilidad.
Plan de acción inmediato para empresas
La adecuación es un proceso, no un trámite. Estas son las acciones que toda empresa, y con mayor urgencia, las del sector salud, debería poner en marcha de cara al 1 de diciembre de 2026:
1. Designar un delegado de Protección de Datos (DPO). Debe reunir idoneidad y conocimientos jurídicos, técnicos y organizacionales suficientes para liderar el cumplimiento.
2. Dotar al DPO de independencia y recursos reales. Autonomía funcional, presupuesto y un equipo de apoyo: el DPO no puede operar aislado ni sin respaldo de la alta dirección.
3. Levantar el mapa de datos e inventariar. Identificar cada proceso interno que utiliza datos, registrar los tipos de datos, su fuente, su base de licitud y sus destinatarios, y clasificarlos, con especial cuidado en los datos sensibles, en un registro de actividades de tratamiento.
4. Depurar las bases de licitud y las finalidades. Revisar consentimientos, contratos y cláusulas informativas para asegurar que todo tratamiento tenga sustento legal y una finalidad acotada.
5. Habilitar canales para el ejercicio de los derechos ARSOPB. Procedimientos claros y plazos de respuesta para que los titulares accedan, rectifiquen, supriman, se opongan, porten o bloqueen sus datos.
6. Implementar un protocolo de gestión de brechas. Detección, contención, evaluación y notificación oportuna a la Agencia y a los afectados cuando corresponda.
7. Ordenar la cadena de terceros. Revisar y ajustar los contratos con encargados y proveedores que traten datos por cuenta de la empresa, incorporando obligaciones de seguridad y confidencialidad.
La Ley N°21.719 no exige a las empresas alcanzar la perfección el 1 de diciembre, pero sí demostrar que han iniciado, y avanzado seriamente, su proceso de adecuación. En un sector que trata datos sensibles de salud, llegar tarde no es una opción: la exposición reputacional y económica es demasiado alta. La recomendación es una sola: comenzar a moverse desde ya, con una hoja de ruta clara y acompañamiento jurídico especializado, para llegar a tiempo y con respaldo. Asesoría y acompañamiento que, desde luego, ofrece Legal Pharma.
Por Petar Dragicevic, abogado asociado.
pdragicevic@legalpharma.cl
