La nueva ley de datos personales tiene una fecha legal, el 1 de diciembre de 2026, y un proyecto en el Senado para moverla. El Gobierno pide un año más. Un grupo de senadores propone seis meses o una aplicación por etapas. Mientras se decide, la Agencia que debe fiscalizarla todavía no tiene consejo directivo.
Para una consulta de salud, esa incertidumbre invita a dos errores opuestos. Uno es pensar que si se posterga no hay nada que hacer. El otro es creer que habrá que hacer firmar un consentimiento a cada paciente antes de atenderlo.
La ley no respalda ninguno de los dos. Para atender, diagnosticar y gestionar la atención, la ley permite tratar datos de salud sin pedir un consentimiento adicional. Lo que sí exige, y no depende de la fecha, es no usar esos datos para otra cosa sin permiso, explicar cómo se tratan y controlar quién más los toca.
Situación revisada al 11 de octubre de 2026.
¿Cuándo entra en vigencia la Ley 21.719?
Hoy la respuesta legal es el 1 de diciembre de 2026. Así lo fija el artículo primero transitorio de la Ley 21.719, publicada el 13 de diciembre de 2024, según la síntesis de la ley elaborada por la Biblioteca del Congreso.
Esa fecha puede cambiar. El 1 de septiembre el Gobierno ingresó al Senado el boletín 18623-07, con suma urgencia según el Diario Financiero.
De acuerdo con el análisis de Carey, el proyecto hace tres cambios principales:
- mueve la vigencia al 1 de diciembre de 2027;
- amplía de tres a cinco los integrantes del consejo de la Agencia de Protección de Datos;
- extiende a todos los obligados un régimen transitorio que hoy solo beneficia a las empresas de menor tamaño. Durante los primeros doce meses de vigencia, la Agencia podría sancionar con amonestación escrita.
El 2 de octubre, Pauta informó que los senadores Pedro Araya, Matías Walker y Juan Luis Castro cuestionan el año extra. Proponen una prórroga de seis meses o que algunas disposiciones rijan antes que otras. La Comisión de Constitución esperaba iniciar la discusión en la segunda semana de octubre. Al 11 de octubre, el Senado registra el proyecto como "En tramitación".
Escenario | Qué tendría que pasar | Qué significa para la consulta |
|---|---|---|
1 de diciembre de 2026 | Que el proyecto no se apruebe y publique antes de esa fecha | La ley rige con su texto actual. Es la fecha legal vigente |
Alrededor de mediados de 2027 | Que prospere la propuesta de seis meses o de aplicación por etapas | Medio año más de plazo. Aún no hay un texto aprobado que fije la fecha exacta |
1 de diciembre de 2027 | Que se apruebe el proyecto del Gobierno | Un año más de plazo y, según el proyecto, amonestación escrita para todos durante el primer año de vigencia |
En ninguno de los tres escenarios cambia lo que la ley exige. Solo cambia desde cuándo se puede fiscalizar y sancionar.
Para atender a un paciente no necesitas un consentimiento adicional
La Ley 21.719 clasifica los datos de salud como datos sensibles (artículo 2, letra g). La regla general para los datos sensibles es el consentimiento expreso del titular (artículo 16).
Pero los datos de salud tienen una norma propia, el artículo 16 bis. Ese artículo enumera casos en que se pueden tratar sin consentimiento. Uno de ellos, la letra e), cubre el tratamiento necesario para:
- diagnóstico médico;
- prestación de asistencia o tratamiento sanitario o social;
- gestión de sistemas y servicios de asistencia sanitaria y social.
En términos prácticos, registrar el motivo de consulta, escribir la evolución o derivar a un especialista son tratamientos de datos de salud cuya base legal es la atención misma. No necesitan una firma aparte.
Agendar la hora, confirmarla y recordarla también encajan razonablemente en la "gestión de servicios de asistencia sanitaria". Esto es una interpretación: la ley no lo detalla y todavía no hay pronunciamiento de la Agencia.
Lo que la ley sí exige, con cualquier fecha
No usar los datos para otra cosa sin permiso
El principio de finalidad (artículo 3, letra b) exige recolectar los datos con fines específicos, explícitos y lícitos. Usarlos para otro fin solo cabe en casos acotados, como una finalidad compatible o el marco de un contrato con el titular.
La diferencia práctica en una consulta está entre dos usos del mismo número de teléfono:
- Recordar una hora agendada es parte de la atención.
- Usar ese número para ofrecer un pack de sesiones o invitar a un taller es otra finalidad. Si involucra datos de salud, como enviar una promoción a "pacientes con ansiedad", requiere consentimiento expreso.
El riesgo de mezclar ambos usos está tipificado. Según la síntesis de la Biblioteca del Congreso:
- Infracción grave: tratar datos sin consentimiento ni fundamento legal, o con una finalidad distinta a la de su recolección.
- Infracción gravísima: tratar, comunicar o ceder a sabiendas datos sensibles sin fundamento.
- Multas: hasta 5.000 UTM para las leves, 10.000 para las graves y 20.000 para las gravísimas.
Explicar públicamente cómo tratas los datos
El artículo 14 ter obliga al responsable a mantener permanentemente a disposición del público información sobre su tratamiento de datos. Debe incluir, entre otros puntos:
- la política de tratamiento;
- las finalidades;
- la base que legitima cada uso;
- a quién se comunican o ceden los datos;
- cuánto tiempo se conservan;
- cómo ejercer los derechos de acceso, rectificación, supresión, oposición y portabilidad.
Para una consulta, esto se traduce en una política de privacidad breve, publicada en la web o en la página de reservas, escrita para pacientes y no copiada de una empresa grande.
Saber quién más toca los datos
Casi ninguna consulta trata los datos sola. La agenda online, el correo, el servicio de mensajería, el software de ficha o la planilla en la nube son proveedores que tratan datos por cuenta del profesional.
La ley los llama encargados (artículo 15 bis). Deben tratar los datos conforme al encargo y a las instrucciones del responsable. No pueden delegar el trabajo en otros sin autorización específica. Si usan los datos para otro fin, pasan a ser responsables ellos mismos.
En términos prácticos, el profesional debería poder responder qué proveedores tienen datos de sus pacientes y en qué condiciones.
Proteger los datos y saber qué hacer si se filtran
La ley exige medidas de seguridad proporcionales (artículo 14 quinquies). Cuando se vulneran datos sensibles, también obliga a avisar a la Agencia y a cada paciente afectado (artículo 14 sexies). Este punto lo desarrollamos en detalle en IA y ciberseguridad en centros de salud, junto con el deber de reporte de la Ley 21.663, que ya está vigente.
Ocho tareas para una consulta pequeña, con o sin postergación
Ninguna de estas tareas depende de la fecha que fije el Senado. Todas se pueden hacer sin contratar un área legal.
Tarea | Qué hacer en concreto | Base en la ley |
|---|---|---|
1. Inventariar dónde viven los datos | Lista simple: agenda, WhatsApp, correo, planillas, cuaderno de recepción, ficha clínica, respaldos | Principio de seguridad (art. 3 f) y deber de seguridad (art. 14 quinquies) |
2. Separar atención de comunicaciones | Usar los datos de contacto para agendar, confirmar y recordar. Pedir consentimiento aparte para promociones o boletines | Finalidad (art. 3 b) y consentimiento expreso para datos sensibles (art. 16) |
3. Pedir solo lo necesario al reservar | Nombre, RUT, contacto, previsión y tipo de atención. Evitar campos abiertos de síntomas o diagnóstico | Finalidad y proporcionalidad (art. 3) |
4. Publicar una política de privacidad | Finalidades, base legal, destinatarios, plazo de conservación y cómo ejercer derechos | Deber de información (art. 14 ter) |
5. Revisar a cada proveedor | Qué datos trata, dónde los guarda, si subcontrata y qué hace ante un incidente | Encargado de tratamiento (art. 15 bis) |
6. Ordenar los accesos | Cuentas individuales, no una clave compartida. Quitar accesos a quien deja de trabajar en la consulta | Deber de seguridad (art. 14 quinquies) |
7. Tener un plan para incidentes | Quién decide, a quién se avisa y cómo se informa a los pacientes afectados | Vulneraciones de seguridad (art. 14 sexies) |
8. Preparar la respuesta a solicitudes | Un canal y una forma de responder si un paciente pide acceso, corrección o supresión de sus datos | Derechos del titular (art. 14 ter, letra f) |
Sobre la tarea 3: el formulario de reserva no debería convertirse en una ficha clínica paralela. Lo explicamos con más detalle en qué pedir al paciente cuando reserva.
Sobre la tarea 8: antes de borrar información clínica a pedido de un paciente, conviene revisar las obligaciones de conservación de la ficha clínica, que tienen su propia regulación.
La tarea 1 suele ser la más reveladora. Muchas consultas descubren que las horas viven en tres lugares a la vez: la agenda, el chat de WhatsApp de la secretaria y una planilla de respaldo. Concentrar las reservas en un solo sistema, como una agenda online tipo Zagenda en la que los pacientes reservan directamente, reduce los lugares donde hay que proteger datos. No reemplaza la política de privacidad ni las decisiones que la ley deja en manos del profesional.
¿Qué cambia si finalmente se posterga?
Cambia el calendario de la fiscalización, no el contenido de las obligaciones. Si se aprueba el proyecto del Gobierno, habrá un año más antes de que la Agencia pueda sancionar. Durante el primer año de vigencia podría hacerlo con amonestación escrita en lugar de multa, también para profesionales y centros que no son empresas de menor tamaño.
Hay dos razones para no esperar:
- El texto de fondo no cambia. El proyecto no toca el principio de finalidad, el artículo 16 bis ni el deber de información. Lo que se ordene ahora sirve igual en 2027.
- Las instrucciones de la Agencia vendrán después. Según el análisis de Carey, las normas que la Agencia dicte antes de la vigencia solo serán obligatorias desde que la ley rija. Conviene tener lo esencial resuelto y ajustar detalles cuando existan esas instrucciones, en vez de partir de cero con plazos cortos.
En la práctica, el escenario más riesgoso es suponer una postergación que no llega a aprobarse a tiempo. Mientras el proyecto no sea ley publicada, la fecha es el 1 de diciembre de 2026.
Este contenido tiene fines informativos y no constituye asesoría jurídica. La aplicación de la Ley 21.719 puede depender de cómo esté organizada cada consulta o centro de salud, y de las instrucciones que dicte la Agencia de Protección de Datos Personales cuando entre en funciones.
Referencias
AZ. 2026. Ley de Datos Personales: Ejecutivo propone postergar su entrada en vigencia y modificar la nueva Agencia. Consultado el 11 de octubre de 2026 en https://www.az.cl/ley-de-datos-personales-ejecutivo-propone-postergar-su-entrada-en-vigencia-y-modificar-la-nueva-agencia/
Carey. 2026. Gobierno ingresa proyecto de ley que posterga en un año entrada en vigor de la Ley 21.719 sobre Protección de Datos Personales y fortalece la institucionalidad de la Agencia de Protección de Datos Personales. Consultado el 11 de octubre de 2026 en https://www.carey.cl/gobierno-ingresa-proyecto-de-ley-que-posterga-en-un-ano-entrada-en-vigor-de-la-ley-sobre-proteccion-de-datos-personales
Diario Financiero. 2026. El proyecto que posterga implementación de la ley de datos personales. Consultado el 11 de octubre de 2026 en https://www.df.cl/senal-df/la-minuta/el-proyecto-que-posterga-implementacion-de-la-ley-de-datos-personales
Diario Oficial de la República de Chile. 2024. Ley N° 21.719, que regula la protección y el tratamiento de los datos personales y crea la Agencia de Protección de Datos Personales. Consultado el 11 de octubre de 2026 en https://www.diariooficial.interior.gob.cl/publicaciones/2024/12/13/44023/01/2583630.pdf
Gallardo Contreras, María Alejandra. 2026. Ley de datos personales: senadores proponen prórroga de seis meses frente al año que pide el Gobierno. Pauta. Consultado el 11 de octubre de 2026 en https://www.pauta.cl/actualidad/2026/10/02/ley-de-datos-personales-senadores-proponen-prorroga-de-seis-meses-frente-al-ano-que-pide-el-gobierno.html
Senado de la República de Chile. 2026. Boletín 18623-07. Modifica la ley N° 21.719, que regula la protección y el tratamiento de los datos personales y crea la Agencia de Protección de Datos Personales, en el sentido que indica. Consultado el 11 de octubre de 2026 en https://tramitacion.senado.cl/appsenado/templates/tramitacion/index.php?boletin_ini=18623-07
Soto Martínez, Víctor. 2025. Descripción y síntesis de la ley N° 21.719. Serie Informes N° 12-25. Biblioteca del Congreso Nacional de Chile. Consultado el 11 de octubre de 2026 en https://obtienearchivo.bcn.cl/obtienearchivo?id=repositorio%2F10221%2F37137%2F1%2FInforme_12_25_Ley_Datos_Personales_rev.pdf
