Ley de protección de datos en el contexto de la salud

Question 1

¿Puedo seguir llevando mis fichas en papel?

Accepted Answer

Sí. Lo que cambia no es el soporte, son las condiciones. La Ley 20.584 admite papel, electrónico u otro soporte. Exige registros completos y que se aseguren el acceso, la conservación, la confidencialidad y la autenticidad del contenido y de los cambios. En soporte papel, el Ministerio de Salud define por resolución un conjunto mínimo de datos. Conservar al menos quince años (art. 13 de la misma ley) y, desde la vigencia de la Ley 21.719, responder solicitudes del titular en el plazo del artículo 11, son exigencias de fondo: el papel no las dispensa. Desde el 1 de diciembre de 2026, el responsable debe mantener a disposición del público la información del artículo 14 ter de la Ley 21.719 (doce contenidos, de la letra a) a la l), con política fechada y versionada). Eso no depende del soporte de la ficha.

Question 2

¿Cuánto tiempo tengo que guardar la ficha de un paciente?

Accepted Answer

Al menos quince años. El artículo no fija desde qué día se cuenta ese plazo. La Ley 20.584, artículo 13, obliga a conservar la ficha clínica «por un período de al menos quince años». Ese texto no indica el dies a quo: no dice si se cuenta desde la apertura, desde la última atención u otro hito. Un reglamento del Ministerio de Salud debe establecer forma y condiciones de almacenamiento, protección y eliminación. Mientras rige esa obligación de conservar, el derecho de supresión de la Ley 21.719 no procede cuando el tratamiento es necesario para cumplir una obligación legal (art. 7, inciso final, romano ii). La ficha bajo el deber de conservación de la 20.584 encaja en esa excepción: no se suprime para incumplir el mínimo de quince años. Criterio práctico (no está en el artículo): muchas consultas cuentan los quince años desde la última atención porque la ficha es un solo instrumento. Conviene documentar el criterio que se use hasta que el reglamento precise la materia.

Question 3

Un paciente me pide que borre sus datos. ¿Qué hago?

Accepted Answer

Respondes en plazo. Conservas lo que la obligación de ficha cubre; el resto se evalúa con el artículo 7. La respuesta no es «no procede» a ciegas ni «borré todo». El artículo 7 de la Ley 21.719 lista cuándo el titular puede pedir eliminación y cuándo no procede la supresión — entre otros casos, cuando el tratamiento es necesario para cumplir una obligación legal. La Ley 20.584 obliga a conservar la ficha al menos quince años. La ficha clínica, en el artículo 12 de la 20.584, es el instrumento donde se registra el conjunto de antecedentes relativos a las áreas relacionadas con la salud de la persona. No es una lista cerrada de «clínico sí / teléfono no»: hay que fundar qué se conserva por la obligación de ficha y qué se suprime porque ya no hay base. La respuesta al titular debe ser escrita y fundada (art. 11). Desde la vigencia de la 21.719, recibida la solicitud el responsable acusa recibo y se pronuncia a más tardar en treinta días corridos. Ese plazo puede prorrogarse una sola vez, hasta por otros treinta días corridos (art. 11). El artículo no exige en su texto «causa justificada» ni un aviso previo al vencimiento del primer plazo; sí exige respuesta escrita y, si deniega, fundarla e indicar el plazo para reclamar ante la Agencia.

Question 4

¿Puedo mandar informes de mis pacientes por WhatsApp?

Accepted Answer

Depende de a quién y con qué base. El reenvío informal casi nunca cumple la forma de una cesión. La Ley 21.719 no se aplica al tratamiento que las personas naturales hacen «en relación con sus actividades personales» (art. 1). Eso cubre, en su letra, lo que una persona hace con sus propios datos en el ámbito personal — no convierte en «personal» el tratamiento profesional de quien recibe y archiva el informe en su consulta. Si le entregas al titular una copia de lo suyo, no es el mismo supuesto que ceder a un tercero. Siguen rigiendo los deberes del responsable, entre ellos el de seguridad (art. 14 quinquies). Si envías el informe a otro profesional o prestador, en principio hay cesión de datos (art. 15). El artículo permite ceder con consentimiento del titular y para los fines del tratamiento; también permite ceder cuando sea necesario para un contrato en que es parte el titular, cuando haya interés legítimo en los términos del art. 13 letra d), o cuando lo disponga la ley. La cesión debe constar por escrito o por medio electrónico idóneo, individualizando partes, datos y finalidades. Si se cede sin el consentimiento del titular siendo éste necesario, la cesión es nula y el cesionario debe suprimir lo recibido. La Ley 20.584, artículo 13, además obliga a dar acceso oportuno a la información de la ficha cuando la requiera un profesional de la salud que participe directamente en la atención del titular, para la continuidad del cuidado. Eso no es «reenviar a cualquier colega por chat». Criterio práctico: que sea el paciente quien entregue el documento a quien quiera suele ser el camino más simple y el más alineado con el art. 1 respecto de lo que hace el titular con lo suyo.

Question 5

¿Qué es eso de tener una «política publicada»?

Accepted Answer

Información permanente a disposición del público, con al menos los doce contenidos del artículo 14 ter. Desde la vigencia de la Ley 21.719 (1 de diciembre de 2026), el responsable debe facilitar y mantener permanentemente a disposición del público —en su sitio web o medio equivalente— al menos la información de las letras a) a l) del artículo 14 ter. No es un contrato que el paciente firme: es deber de información y transparencia. En síntesis, alineada al artículo: a) la política de tratamiento, con fecha y versión; b) individualización del responsable (y representante legal) y del encargado de prevención, si existe; c) medios de contacto para solicitudes; d) categorías de datos, universo de personas, destinatarios, finalidades y base de legitimidad; e) política y medidas de seguridad; f) derechos de acceso, rectificación, supresión, oposición y portabilidad; g) derecho a recurrir ante la Agencia; h) en su caso, transferencia a un tercer país u organización internacional y el nivel de protección o las garantías; i) período de conservación; j) fuente de los datos; k) si el tratamiento se basa en consentimiento, el derecho a retirarlo; l) decisiones automatizadas y, en su caso, lógica y consecuencias. Se dice a veces que son diez: el texto llega hasta la l).

Question 6

¿Me pueden multar? ¿De cuánto estamos hablando?

Accepted Answer

Desde el 1 de diciembre de 2026, la Agencia puede sancionar. Las multas llegan hasta 5.000, 10.000 o 20.000 UTM según gravedad. La Ley 21.719 crea la Agencia de Protección de Datos Personales y el régimen de infracciones y sanciones. Su vigencia diferida es el 1 de diciembre de 2026. Hasta entonces, el marco de datos personales es, en lo principal, la Ley 19.628 y el reclamo ante el tribunal que esa ley contempla; la ficha clínica ya obliga por la 20.584. El artículo 35 gradúa: infracciones leves, amonestación escrita o multa de hasta 5.000 UTM; graves, hasta 10.000 UTM; gravísimas, hasta 20.000 UTM. Si no se adoptan en plazo las medidas de subsanación que fije la Agencia (no mayor a sesenta días), se impone un recargo del 50% a la multa. Durante los primeros doce meses de vigencia, respecto de empresas de menor tamaño (Ley 20.416 art. 2°), la Agencia podrá aplicar amonestación escrita en vez de multa (art. sexto transitorio). Dice «podrá», no «deberá».

Question 7

Trabajo en un centro con más profesionales. ¿Todos ven todo?

Accepted Answer

No. El acceso lo da estar vinculado a esa atención, no solo pertenecer al prestador. La Ley 20.584, artículo 13, dice que los terceros no directamente relacionados con la atención de la persona no tendrán acceso a la ficha. «Ello incluye al personal de salud y administrativo del mismo prestador, no vinculado a la atención de la persona». La cesión de datos entre responsables se regula en el artículo 15 de la Ley 21.719. Cuando los datos no salen del mismo responsable, no se configura esa cesión a otro responsable: el límite relevante es el de acceso de la 20.584 (quién dentro del prestador puede ver la ficha). Compartir con un profesional que actúa como responsable distinto (por ejemplo, su propia consulta) es otro supuesto: ahí rige el artículo 15 de la 21.719.

Question 8

Uso un programa o una nube. ¿Eso me deja cubierto?

Accepted Answer

No te quita la calidad de responsable. El tratamiento por un tercero se rige por un contrato de encargo. El artículo 15 bis de la Ley 21.719 permite tratar datos a través de un tercero mandatario o encargado. Ese tratamiento se rige por el contrato entre responsable y encargado: debe establecer al menos objeto del encargo, duración, finalidad del tratamiento, tipo de datos, categorías de titulares, y derechos y obligaciones de las partes. Si el encargado trata con un objeto distinto del encargo o cede sin autorización en los términos del artículo, se le considera responsable para todos los efectos legales y responde solidariamente con el responsable por los daños, sin perjuicio de la responsabilidad contractual. Usar un proveedor sin el marco contractual que el 15 bis exige deja el encargo fuera de lo que el artículo ordena. El responsable de los datos de tus pacientes sigues siendo tú.

Ley de protección de datos en el contexto de la salud

Seis cosas que casi todos creen, y que el texto desmiente

Cómo llegamos acá

Las preguntas que se hace quien atiende

¿Puedo seguir llevando mis fichas en papel?

¿Cuánto tiempo tengo que guardar la ficha de un paciente?

Un paciente me pide que borre sus datos. ¿Qué hago?

¿Puedo mandar informes de mis pacientes por WhatsApp?

¿Qué es eso de tener una «política publicada»?

¿Me pueden multar? ¿De cuánto estamos hablando?

Trabajo en un centro con más profesionales. ¿Todos ven todo?

Uso un programa o una nube. ¿Eso me deja cubierto?

¿Y a ti qué te aplica?

Y lo que todavía no está escrito

Y una hoja para la sala de espera

Por qué sabemos que el primer mito es el más caro