Ley 21.719 en salud: por qué su clínica necesita una EIPD
Actualizado el
Sí. Para clínicas, laboratorios y prestadores de salud la EIPD es obligatoria, porque tratan datos de salud, que la Ley 21.719 clasifica como sensibles. El artículo 15 ter exige la Evaluación de Impacto cuando el tratamiento involucra datos sensibles o se realiza a gran escala, y una ficha clínica reúne ambas condiciones a la vez. Quedan cubiertos la ficha clínica electrónica, los exámenes de laboratorio, las agendas de pacientes, la telemedicina y la facturación con diagnóstico asociado. Omitir la EIPD cuando corresponde es una infracción grave, con multas de hasta 10.000 UTM. Ojo con el punto ciego más frecuente: su sistema clínico, el laboratorio externo y la nube donde viven los datos son encargados que necesitan un contrato de encargo (DPA) firmado. La obligación rige desde el 1 de diciembre de 2026 y no hay prórroga para el sector salud, así que conviene partir por la EIPD y por el mapa de proveedores que tocan datos de pacientes.
El art. 15 ter obliga a realizar una evaluación de impacto en protección de datos cuando el tratamiento puede generar un alto riesgo para los derechos de los titulares, en especial si involucra datos sensibles, como los de salud, o se efectúa a gran escala.
Por qué la EIPD no es opcional para un prestador de salud
La Ley 21.719 define los datos de salud como datos sensibles. Toda la ficha clínica, los resultados de laboratorio, los diagnósticos, los tratamientos y la información de un paciente entran en esa categoría, y reciben la protección más alta que contempla la ley.
El artículo 15 ter obliga a realizar una Evaluación de Impacto en Protección de Datos (EIPD) antes de iniciar tratamientos que puedan generar un alto riesgo para los derechos de las personas. La ley menciona expresamente el tratamiento a gran escala y el tratamiento de datos sensibles como supuestos que lo activan. Una clínica que gestiona miles de fichas clínicas cumple ambos criterios de sobra.
Por eso, en salud la pregunta no es si corresponde hacer la EIPD, sino cuándo. No hacerla es una infracción grave, con multas de hasta 10.000 UTM.
Qué procesos de una clínica quedan cubiertos
La EIPD no evalúa un sistema aislado, evalúa cómo su institución trata los datos de los pacientes de punta a punta. En un prestador de salud esto suele incluir mucho más de lo que se piensa al principio.
- La ficha clínica electrónica y todo el historial médico asociado.
- Los resultados de exámenes de laboratorio e imagenología.
- El agendamiento de horas, que cruza datos de contacto con motivo de consulta.
- La facturación y los convenios con isapres, Fonasa y seguros complementarios, donde aparece además la situación socioeconómica del paciente, que la ley también trata como dato sensible.
- La telemedicina y las plataformas de atención remota.
- Los videos de vigilancia en salas de espera y zonas de atención.
El punto ciego más frecuente: sus proveedores
La mayoría de las clínicas no trata los datos solo con sus propios sistemas. Usa un software de ficha clínica de un tercero, un laboratorio externo, una plataforma de agendamiento, un servicio de correo, un hosting en la nube. Cada uno de esos proveedores es un encargado de tratamiento, y la ley exige un contrato que regule esa relación.
En la práctica, el hallazgo más común no es la política de privacidad del sitio web, sino la falta de estos contratos con los proveedores. Si su laboratorio externo o su proveedor de ficha clínica no tiene un contrato de encargo de tratamiento firmado, su clínica responde por ese vacío.
Este trabajo se puede abordar en paralelo a la EIPD. Si aún no está seguro de por dónde empezar, revise si su institución necesita una EIPD y con qué alcance.
Los plazos son firmes y no hay prórroga para el sector
La ley entra en vigencia el 1 de diciembre de 2026, y esa fecha está confirmada. Las instituciones con ingresos sobre 100.000 UF no tienen ningún periodo de gracia especial, lo que deja fuera a la mayoría de las clínicas y prestadores de tamaño mediano o grande.
Una EIPD bien hecha toma tiempo: hay que mapear los tratamientos, entrevistar a las áreas, evaluar riesgos y documentar medidas. Partir con margen es la diferencia entre llegar con un documento sólido o improvisar sobre la fecha límite. Nosotros hacemos la implementación y trabajamos junto a su asesor legal, no lo reemplazamos.
Preguntas frecuentes
¿Una clínica está obligada a hacer una EIPD?
Sí. Los datos de salud son sensibles y las clínicas los tratan a gran escala, dos supuestos que activan la obligación del artículo 15 ter. Para un prestador de salud la EIPD es claramente obligatoria, y omitirla es una infracción grave de hasta 10.000 UTM.
¿Necesito nombrar un DPO o Delegado de Protección de Datos en mi clínica?
No es obligatorio por ley. El artículo 50 dice que la organización "podrá" designarlo, es voluntario. Solo pasa a ser exigible si su institución adopta de forma voluntaria un Modelo de Prevención de Infracciones. Lo que sí es obligatorio para una clínica es la EIPD.
¿Basta con actualizar la política de privacidad del sitio web?
No. Ese suele ser el punto menos crítico. En salud lo relevante es la EIPD sobre la ficha clínica y los contratos de encargo de tratamiento con sus proveedores externos: laboratorio, software de ficha, agendamiento, hosting. Ahí está el vacío que más se repite.
¿La cuenta con isapre o Fonasa también cuenta como dato sensible?
Sí. Además de los datos clínicos, la Ley 21.719 clasifica la situación socioeconómica del paciente como dato sensible. La información de convenios, coberturas y facturación asociada a un paciente queda dentro del alcance protegido y debe considerarse en la EIPD.