La Ley 21.719 entra en vigencia el 1 de diciembre y fortalece las exigencias para quienes manejan información personal en Chile. En el sector salud, el resguardo de fichas clínicas y antecedentes médicos sitúa a profesionales, centros médicos y proveedores tecnológicos frente a nuevas responsabilidades.
El próximo 1 de diciembre de 2026 entra en vigencia en Chile la Ley 21.719 de protección de datos personales. En salud, refuerza el resguardo de información sensible, como diagnósticos, tratamientos y exámenes de los pacientes.
La normativa establece condiciones para usar estos datos y exige proteger su confidencialidad. Aunque contempla excepciones al consentimiento, como su uso para diagnosticar o atender a un paciente, estas no eliminan la obligación de resguardarlos.
También exige medidas de seguridad acordes con el riesgo. Si ocurre una brecha que ponga en riesgo los derechos de las personas, deberá informarse a la Agencia de Protección de Datos Personales y, cuando afecte datos sensibles, también a los pacientes involucrados.
El papel de los proveedores tecnológicos
En este escenario, la preparación de consultas y centros médicos también involucra a las empresas que almacenan y procesan sus registros clínicos.
Reservo, software médico para profesionales de la salud y centros médicos, explica que su trabajo de alineación con la nueva normativa combina controles tecnológicos, procedimientos internos y acuerdos sobre el tratamiento de la información.
Según Roberto Tonaca, encargado de ciberseguridad de la compañía, el primer paso es definir el papel de cada parte.
“El centro o consulta es el responsable de los datos de sus pacientes y nosotros actuamos como encargados del tratamiento: los usamos solo para prestar el servicio”, señala.
De acuerdo con la empresa, esta relación se formaliza mediante un acuerdo de tratamiento de datos, conocido como DPA, disponible para firmar con cada cliente.
Cifrado y trazabilidad de las fichas clínicas
Entre las medidas descritas por Tonaca se encuentra el cifrado de la información tanto durante su transmisión como durante su almacenamiento. Reservo utiliza TLS 1.2 o superior para las conexiones y AES-256 para los datos en reposo.
La infraestructura en la nube cuenta con un firewall de aplicaciones y monitoreo continuo de accesos y operaciones. Además, el personal de la compañía accede a ella mediante un sistema centralizado de inicio de sesión con autenticación multifactor obligatoria, que incorpora una verificación adicional a la contraseña.
En las fichas clínicas, la plataforma registra quién accede a cada una y cuándo. Las operaciones sobre la infraestructura también quedan documentadas en registros de actividad, que permiten contar con antecedentes para revisar accesos e investigar incidentes.
Recuperación de información y respuesta ante brechas
El resguardo también abarca la posibilidad de recuperar los registros. Según Tonaca, Reservo realiza respaldos diarios cifrados y pruebas de restauración para comprobar que la información pueda recuperarse cuando sea necesario.
A ello se suman escaneos semestrales de vulnerabilidades y plazos de corrección según su gravedad: menos de diez días para las críticas, quince para las altas y veinte para las medias.
La compañía dispone, además, de un protocolo formal de detección, contención, notificación y remediación de incidentes, liderado por su Delegado de Protección de Datos. Si se confirma una brecha, su compromiso es informar al cliente dentro de las siguientes 48 horas.
Qué ocurre cuando termina el servicio
La gestión de la información también contempla el cierre de la relación contractual. Reservo indica que sus clientes pueden solicitar la devolución o eliminación de los datos, respetando las obligaciones legales de conservación.
En el caso de las fichas clínicas, la Ley 20.584 exige a los prestadores conservarlas durante al menos quince años. Por ello, finalizar el contrato no implica su eliminación inmediata: según la compañía, estas se bloquean y se conservan durante el plazo legal aplicable.
Con la entrada en vigencia de la nueva normativa en diciembre, estos procedimientos forman parte de los aspectos que profesionales y centros médicos deben revisar junto a sus proveedores: cómo se protege la información, quién puede acceder a ella y qué mecanismos existen para responder si su seguridad se ve comprometida.
