Protección de datos de pacientes: Ley 21.719 en clínicas y prestadores de salud

Por qué los datos de salud exigen la máxima protección

Los datos de salud —diagnósticos, tratamientos, resultados de exámenes, antecedentes clínicos— pertenecen a la categoría de datos sensibles: su divulgación indebida puede generar discriminación, estigmatización o un daño grave a la persona titular.

Por eso la Ley 21.719 no los trata como un dato personal más. Un prestador de salud —clínica, consulta médica, laboratorio, centro odontológico— que no aplique las condiciones reforzadas que exige la ley se expone a las sanciones más altas contempladas y a un daño reputacional serio, precisamente por la naturaleza de la información que maneja.

Qué exige la Ley 21.719 para datos sensibles (Art. 16 y 16 bis)

El Art. 16 establece la regla general: los datos sensibles no pueden tratarse, salvo que exista consentimiento expreso del titular u otra habilitación legal específica. Es una prohibición con excepciones, no una autorización general.

El Art. 16 bis refuerza esta regla para los datos de salud y de perfil biológico: su tratamiento exige habilitaciones específicas y garantías adicionales de confidencialidad, por encima del estándar exigido a otros datos sensibles.

En la práctica, esto significa que un prestador de salud debe tener una base de licitud calificada (consentimiento explícito u otra causal específica, como la propia atención de salud) y medidas de seguridad acordes a esa sensibilidad, no medidas genéricas.

La ficha clínica: Ley 20.584 y Dto. 41 MINSAL

La ficha clínica tiene además su propio marco regulatorio, complementario a la Ley 21.719. La Ley 20.584 (Derechos y Deberes de los Pacientes, Arts. 12 a 15) establece que la ficha clínica es información reservada: solo puede acceder a ella el equipo tratante y quienes la ley autoriza expresamente, y el paciente tiene derecho a obtener copia de su propia ficha.

El Decreto 41 de MINSAL, de 2012, reglamenta la ficha clínica en detalle: exige conservarla por un mínimo de 15 años desde la última atención, controlar el acceso por perfiles de usuario y llevar un registro de quiénes acceden a cada ficha.

Para un prestador, esto se traduce en dos exigencias que deben convivir: proteger la ficha como dato sensible bajo la Ley 21.719, y cumplir el régimen de acceso restringido y conservación que fijan la Ley 20.584 y el Dto. 41.

Medidas concretas para un prestador de salud

Cumplir estas exigencias requiere pasar de la intención a controles verificables. Las medidas más relevantes para un prestador de salud son:

1. Restringir el acceso a la ficha clínica solo al personal que atiende directamente al paciente, retirando accesos generales o cuentas compartidas.
2. Migrar los registros clínicos desde Excel o Drive a un sistema de ficha clínica electrónica que controle el acceso por perfil y registre quién consulta cada ficha (por ejemplo Rayen, Medilink, Nubimed o Agendapro).
3. Conservar las fichas por el plazo legal —15 años desde el último ingreso de información, según el Art. 13 de la Ley 20.584 y el Decreto 41 de MINSAL— y recabar el consentimiento expreso donde corresponda al tratamiento de datos de salud.

Consentimiento y casos especiales: menores y datos biométricos

El consentimiento para tratar datos de salud debe ser expreso, no puede presumirse ni inferirse de una conducta pasiva. Cuando el prestador atiende a niños, niñas o adolescentes menores de 14 años, el Art. 16 quáter exige además la autorización de su padre, madre o representante legal, atendiendo siempre al interés superior del menor —una capa adicional de protección que se suma, no reemplaza, a las reglas sobre datos de salud.

Algunos prestadores usan además datos biométricos (huella dactilar, reconocimiento facial) para control de acceso o identificación de pacientes. El Art. 16 ter exige informar al titular el sistema usado, la finalidad y el plazo de conservación, con un consentimiento libre: si se filtran, estos datos no se pueden "cambiar" como una contraseña, lo que exige almacenarlos cifrados y con acceso reforzado.

Preguntas frecuentes

• ¿Una consulta médica individual también debe cumplir estas exigencias, o solo las clínicas grandes?

  La Ley 21.719 no distingue por tamaño: aplica a toda organización que trate datos personales, incluida una consulta individual. El nivel de exigencia es proporcional al riesgo del tratamiento, pero tratarse de datos de salud implica igualmente el régimen reforzado del Art. 16 bis.

• ¿Cuánto tiempo hay que conservar la ficha clínica de un paciente?

  Un mínimo de quince años, contados desde el último ingreso de información que experimente la ficha. Lo fijan el Art. 13 de la Ley 20.584 y el Decreto 41 de MINSAL, de 2012.

• ¿Quién puede acceder a la ficha clínica de un paciente?

  Según la Ley 20.584, solo el equipo tratante y quienes la ley autoriza expresamente. El prestador debe controlar ese acceso por perfiles y registrar quién consulta cada ficha, conforme al Dto. 41 MINSAL.

• ¿Basta con el consentimiento del paciente para tratar sus datos de salud?

  El consentimiento expreso es una de las bases de licitud que exige el Art. 16 bis, pero no la única: también puede habilitar el tratamiento otra causal legal específica, como la propia atención de salud. Lo que la ley no permite es tratar datos de salud sin ninguna base de licitud.

• ¿Qué pasa si el prestador usa huella digital o reconocimiento facial para identificar pacientes?

  Ese tratamiento queda sujeto al Art. 16 ter sobre datos biométricos: debe informarse el sistema usado, la finalidad y el plazo de conservación, obtener un consentimiento libre y almacenar los datos cifrados, dado que no pueden reemplazarse si se filtran.