Ley 21.719 en el sector salud: pacientes, historias clínicas y datos sensibles
El sector salud es uno de los más expuestos a la Ley 21.719: trata datos sensibles por definición. Clínicas, hospitales y laboratorios enfrentan obligaciones reforzadas. Esta guía cubre lo crítico.
Por qué la salud es datos sensibles
La Ley 21.719 clasifica como datos sensibles aquellos referidos a las características físicas o morales de las personas, datos sobre vida sexual, origen étnico, opiniones políticas, convicciones religiosas, afiliación sindical, datos genéticos y datos relativos a la salud.
Esto significa que el sector salud trabaja con datos sensibles por defecto. Las obligaciones se intensifican:
- Consentimiento explícito del titular (no implícito)
- Medidas de seguridad reforzadas
- EIPD prácticamente obligatoria para nuevos tratamientos
- Restricciones a transferencias internacionales
Bases legales típicas en salud
El consentimiento NO es la única base. En salud predominan otras:
| Base legal | Cuándo se aplica |
|---|---|
| Contrato | Prestación de servicios médicos al paciente |
| Obligación legal | Reportes obligatorios al MINSAL, notificación de enfermedades |
| Intereses vitales | Emergencias donde el paciente no puede consentir |
| Interés público | Vigilancia epidemiológica, salud pública |
| Consentimiento explícito | Investigación clínica, tratamientos especiales, marketing |
Tratamientos típicos a documentar en el RAT
La ficha clínica electrónica: protección reforzada
La ficha clínica es el tratamiento más sensible y más fiscalizado. Medidas mínimas exigibles:
- Cifrado en reposo y tránsito (mínimo AES-256)
- Control de accesos por rol: solo personal clínico que atiende al paciente
- Audit log inmutable: quién, cuándo y qué consultó
- Doble autenticación para accesos remotos
- Anonimización en estudios poblacionales
- Retención mínima: 15 años en Chile (Ley General de Salud)
Riesgos específicos del sector
- Compartir fichas con aseguradoras: requiere consentimiento explícito o base legal específica
- Telemedicina sin DPA con plataforma: AWS, Zoom Healthcare, etc. exigen contrato DPA firmado
- Apps de salud propias: cada función puede ser tratamiento separado, casi siempre EIPD
- Investigación con datos clínicos: anonimización + consentimiento informado + EIPD
- Marketing a pacientes: consentimiento separado del consentimiento médico
- Acceso de cobranzas a fichas: limitar acceso a datos económicos, no clínicos
Confirmer360 para el sector salud
Plantillas EIPD específicas, RAT pre-armado con los 8 tratamientos típicos y audit log inmutable para SUSESO y MINSAL.
Solicitar demo gratuita