Servicios / Por rubro
Protección de datos en clínicas y centros médicos
Los datos de salud son datos sensibles. Además, las instituciones de salud pueden estar sujetas a dos regímenes a la vez: la Ley 21.719 y la Ley Marco de Ciberseguridad.
Qué dice la ley sobre los datos de salud
- Son sensibles. Los datos relativos a la salud y al perfil biológico tienen esa categoría (art. 2° letra g).
- Regla general. Requieren consentimiento expreso, salvo las excepciones legales (art. 16).
- Reglas adicionales. Se tratan para los fines previstos en las leyes sanitarias, y la ley define casos sin consentimiento, como salvaguardar la vida o una alerta sanitaria decretada (art. 16 bis).
- Normas sectoriales. La ficha clínica se rige además por normas propias, como la Ley 20.584 sobre derechos y deberes de los pacientes.
Por qué una brecha es más exigente
Si una vulneración de seguridad afecta datos sensibles, además del reporte a la Agencia hay que comunicarla a los pacientes afectados, en lenguaje claro y sencillo (art. 14 sexies). Vea los pasos en nuestra guía de brechas de datos.
Cuándo se aplica también la Ley 21.663
La ley considera esencial, entre otros, la prestación institucional de salud por entidades como hospitales, clínicas, consultorios y centros médicos (Ley 21.663, art. 4°). Ante un incidente con impactos significativos, los plazos parten con una alerta temprana de máximo 3 horas al CSIRT Nacional.
Dónde suelen estar los riesgos
| Punto | Qué revisar |
|---|---|
| Accesos a la ficha | ¿Cada persona ve solo lo necesario para su función? ¿Queda registro de los accesos? |
| Correo y WhatsApp | ¿Se envían exámenes o diagnósticos por canales personales o sin protección? |
| Proveedores | Software clínico, laboratorios y agendas: ¿hay contrato que regule el encargo (art. 15 bis)? |
| Nube y transferencias | ¿Salen datos de Chile? ¿Con qué garantías (art. 27)? |
| Pacientes menores | Sus datos tienen reglas propias (art. 16 quáter). |
| Biometría | El control de acceso por huella o rostro tiene requisitos específicos (art. 16 ter). |
| Evaluación de impacto | El tratamiento de datos sensibles sin consentimiento, en las excepciones legales, la exige (art. 15 ter). |
| Continuidad | ¿Se probó restaurar un respaldo? ¿Qué pasa con la atención si los sistemas se detienen? |
Cómo podemos ayudar
Partimos con un Diagnóstico Completo, que revisa tanto los tratamientos como los controles técnicos y los procedimientos de incidentes. Si necesita saber si le aplica la Ley 21.663, lo incorporamos al análisis.
Contenido informativo, no constituye asesoría jurídica para un caso particular. Los artículos citados corresponden a la Ley 19.628 modificada por la Ley 21.719, salvo que se indique otra norma. La Ley 21.663 también está en Ley Chile. Revise la versión vigente antes de tomar decisiones.