Ley 21.719: qué cambia el 1 de diciembre de 2026 para los profesionales en Chile

Qué es la Ley 21.719 y desde cuándo rige

La Ley 21.719 fue publicada en el Diario Oficial el 13 de diciembre de 2024 y entra en vigencia el 1 de diciembre de 2026. Deroga la antigua Ley 19.628, que llevaba más de dos décadas quedándose corta, y la reemplaza por un marco construido con el reglamento europeo (el GDPR) como referencia.

El cambio de fondo no es que aparezcan reglas nuevas de la nada: es que por primera vez hay una autoridad con dientes. La ley crea la Agencia de Protección de Datos Personales, con facultades para fiscalizar y sancionar. Bajo la 19.628 el incumplimiento era, en la práctica, un problema teórico. A partir de diciembre de 2026 deja de serlo.

¿Aplica si trabajo solo?

Sí. Esta es la confusión más común y la más cara. La ley se aplica a toda persona u organización que trate datos personales en Chile, sin umbral de tamaño ni de facturación. No hay una excepción para el profesional independiente.

Si atiendes pacientes, llevas causas o manejas la contabilidad de terceros, estás tratando datos personales todos los días: nombres, RUT, teléfonos, direcciones, diagnósticos, situación patrimonial. La consulta de un médico que trabaja solo maneja datos más sensibles que muchas empresas grandes.

Lo que sí existe es un período de transición para las empresas de menor tamaño según la Ley 20.416: durante los primeros doce meses de vigencia, la primera infracción se sanciona con amonestación escrita en vez de multa. Es una ventana para corregir, no una exención.

Qué son los datos sensibles y por qué importan más

La ley distingue los datos personales comunes de una categoría especial, los datos sensibles, que reciben la protección más alta y el régimen sancionatorio más duro. Entre ellos están los datos relativos a la salud —incluida la salud mental—, el perfil biológico, la vida sexual, las creencias y el origen étnico.

Esto pone a tres profesiones en la primera línea: salud, legal y contable. No porque manejen más volumen, sino porque manejan el tipo de dato cuya filtración hace más daño y cuya sanción es mayor.

Las obligaciones concretas que conviene mirar primero

1. 1Registro de actividades de tratamiento. Un documento que diga qué datos recoges, con qué finalidad, con qué base legal, quién accede, a quién se los transfieres y cuánto tiempo los conservas. Es la obligación más aburrida y la primera que te van a pedir.
2. 2Base de licitud. Cada tratamiento necesita una razón jurídica que lo sostenga: el consentimiento del titular, el cumplimiento de un contrato, una obligación legal. Guardar datos «porque siempre lo hemos hecho» no es una de ellas.
3. 3Plazo de conservación. Los datos se guardan mientras sean necesarios para la finalidad, o el plazo que fije la ley aplicable. En salud, la normativa sectorial fija plazos mínimos de conservación de la ficha que hay que respetar.
4. 4Derechos del titular. Las personas pueden pedir acceso, rectificación, cancelación, oposición y portabilidad de sus datos. Tienes que poder responder en plazo, lo que supone poder encontrar todo lo que tienes de esa persona.
5. 5Notificación de brechas. Si hay una filtración, hay que avisar a la Agencia sin dilaciones indebidas. Para eso primero hay que ser capaz de darse cuenta de que ocurrió.
6. 6Evaluación de impacto. Cuando el tratamiento de datos sensibles es a gran escala o de alto riesgo, la ley exige evaluar el impacto antes de ponerlo en marcha. Clínicas, laboratorios y centros de gestión médica caen típicamente aquí.

El problema real no es legal, es de orden

Casi todas las obligaciones anteriores suponen lo mismo: que sepas dónde está tu información. Y ahí es donde la mayoría de las consultas y estudios chicos se caen — no por mala fe, sino porque el registro del trabajo profesional está disperso.

Un ejemplo típico de una consulta: parte de la ficha está en un cuaderno, parte en un Word, los exámenes llegaron por WhatsApp, la hora se agendó por Instagram y el respaldo está en un pendrive. Cada uno de esos canales es un tratamiento de datos distinto, con su propia base de licitud y su propio riesgo de filtración. Responder «¿qué datos tiene usted sobre mí?» en ese escenario es imposible.

Por eso la pregunta útil no es «¿qué software cumple con la ley?» —ninguno cumple por ti— sino «¿puedo reconstruir, hoy, todo lo que tengo de una persona y explicar por qué lo tengo?». Si la respuesta es no, ese es el trabajo pendiente.

Dónde se procesa la información sí cambia el riesgo

La ley no prohíbe usar servicios externos ni trabajar con proveedores. Lo que hace es dejarte a ti como responsable: si contratas a un tercero que trata datos por tu cuenta, sigues respondiendo, y necesitas un contrato que regule qué puede hacer ese tercero con la información.

De ahí que reducir la cantidad de manos por las que pasa el dato sea la forma más simple de reducir el riesgo. Mientras menos servicios intermedios haya entre la conversación con tu paciente o cliente y el archivo donde queda registrada, menos superficie tienes que auditar, contratar y vigilar.

Es exactamente el criterio con el que construimos nuestras herramientas: el procesamiento ocurre en el equipo del profesional, y la información no se comparte con terceros, no se revende y no se usa para entrenar modelos.

software ficha clínica

software para abogados Chile

software para contadores Chile

Ley 21.719 y la ficha clínica: qué cambia para los médicos

Secreto profesional y notas de psicoterapia

Por dónde partir si aún no has hecho nada

1. 1Haz una lista de dónde vive hoy la información de tus pacientes o clientes. Todos los lugares, incluidos el teléfono y los cuadernos.
2. 2Por cada lugar, escribe qué datos hay, para qué los usas y hace cuánto están ahí.
3. 3Elimina lo que ya no necesitas y no estás obligado a conservar. Lo que no guardas no se puede filtrar.
4. 4Reduce la cantidad de lugares. Un registro ordenado en un sitio es más defendible que cinco a medias.
5. 5Deja escrito el resultado. Ese documento es el registro de actividades de tratamiento que exige la ley.

Ninguno de estos pasos requiere comprar nada. Requieren tiempo — que es justamente lo que escasea, y la razón por la que este trabajo se posterga hasta que hay una fiscalización de por medio.

Este artículo describe en términos generales qué establece la Ley 21.719 y no constituye asesoría legal. Para evaluar tu caso concreto, consulta a un abogado. El texto oficial de la ley está disponible en la Biblioteca del Congreso Nacional (bcn.cl/leychile).