--- title: "Datos de salud: las reglas de contacto en Colombia y en Chile" description: "Chile activa su ley de datos el 1 de diciembre de 2026 y Colombia ya sanciona por divulgar una historia clínica. Qué cambia para tu agenda y tus campañas." url: https://www.getarbol.com/blog/datos-salud-reglas-contacto-colombia-chile/ lang: es --- # Datos de salud: las reglas de contacto en Colombia y en Chile Chile activa su ley de datos el 1 de diciembre de 2026 y Colombia ya sanciona por divulgar una historia clínica. Qué cambia para tu agenda y tus campañas. [**David Lara** Mentor técnico · Ingeniería en Arbol](https://www.getarbol.com/blog/autores/david-lara/) 6 de mayo de 2026 10 min de lectura En Colombia y en Chile el dato de salud no es un dato más: las dos leyes lo clasifican como dato sensible y eso decide qué puedes hacer con el teléfono que una persona te dejó. Recordarle la cita que ya tiene agendada forma parte de la atención; ofrecerle otro servicio con esa misma base es una finalidad distinta y se rige por otras reglas. Colombia lo aplica desde la [Ley 1581 de 2012](https://www.suin-juriscol.gov.co/viewDocument.asp?ruta=Leyes/1684507) y ya tiene sanciones firmes; Chile lo vuelve exigible el 1 de diciembre de 2026 con la [Ley 21.719](https://www.bcn.cl/leychile/navegar?idNorma=1209272). La fecha chilena es lo nuevo. La ley se publicó en el Diario Oficial en diciembre de 2024 y sus artículos permanentes entran en vigencia veinticuatro meses después, junto con la Agencia de Protección de Datos Personales que la misma norma crea. Para una institución de salud en Santiago o en Concepción eso significa que la próxima temporada alta de agenda ya se opera bajo el régimen nuevo. Para una en Bogotá o en Medellín no cambia nada en el papel, pero sí cambia el estándar con el que se va a comparar la región. ## El punto de partida es idéntico en los dos países La coincidencia es notable. En Colombia, el artículo 5 de la Ley 1581 define como sensibles “los datos relativos a la salud, a la vida sexual y los datos biométricos”, y el artículo 6 prohíbe tratarlos salvo que la persona haya dado su autorización explícita o se cumpla alguna de las excepciones tasadas. En Chile, la [Ley 21.719](https://www.bcn.cl/leychile/navegar?idNorma=1209272) incorpora en la misma categoría “los datos relativos a la salud, al perfil biológico humano, los datos biométricos” y la información sobre vida sexual, orientación sexual e identidad de género. Chile además ya traía un candado propio desde antes: la Ley 20.584 de derechos y deberes del paciente establece en su [artículo 12](https://www.suseso.gob.cl/612/w3-propertyvalue-130626.html) que toda la información que surja de la ficha clínica “será considerada como dato sensible”. No es una interpretación: está escrito en la ley sectorial. Los dos marcos, uno al lado del otro Qué dice cada país sobre el dato de salud Dimensión Colombia Chile Norma general Ley 1581 de 2012 Ley 21.719, publicada en diciembre de 2024 Desde cuándo se aplica Vigente 1 de diciembre de 2026 ¿La salud es dato sensible? Sí, artículo 5 Sí, y la ficha clínica también por la Ley 20.584 Regla de base Prohibido tratarlos salvo autorización explícita Sólo para los fines de las leyes sanitarias, con casos tasados sin consentimiento Quién vigila Superintendencia de Industria y Comercio Agencia de Protección de Datos Personales Sanción máxima Hasta 2.000 salarios mínimos y cierre definitivo de la operación Hasta 20.000 unidades tributarias mensuales Fuente: SUIN-Juriscol, Biblioteca del Congreso Nacional de Chile y Superintendencia de Seguridad Social ## La frontera no es el canal, es la finalidad Aquí es donde la mayoría de las instituciones se equivoca. La discusión interna suele ser “¿podemos escribir por mensajería o hay que llamar?”, y esa pregunta no es la relevante. Lo que las dos leyes miran es **para qué recolectaste el dato y para qué lo estás usando ahora**. La ley chilena lo dice con todas sus letras. Su principio de finalidad exige que los datos se recolecten “con fines específicos, explícitos y lícitos” y que el tratamiento se limite a esos fines. Y en el catálogo de infracciones graves aparece, en primer lugar, tratar datos “con una finalidad distinta de aquélla para la cual fueron recolectados”. La misma norma abre después una puerta específica para el sector: los datos de salud pueden tratarse sin consentimiento cuando sea necesario, entre otros casos, para “prestación de asistencia o tratamiento de tipo sanitario o social, o gestión de sistemas y servicios de asistencia sanitaria y social”. Traducido a la operación de una institución: confirmar una cita en Colombia o una hora en Chile, reprogramarla, avisar que el profesional se atrasó o llamar a un control que forma parte de la ruta de atención vive dentro de la gestión asistencial. Ofrecer un examen que la persona nunca pidió, cruzar la base con una promoción o pasarle el listado a un tercero es otra cosa, y ahí el permiso tiene que existir y poder mostrarse. La prueba de los dos mensajes Escribe los dos mensajes que tu institución manda esta semana y pregúntate, por cada uno: ¿esta persona me dejó el teléfono para esto? Si el mensaje sirve para que reciba la atención que ya está en curso, estás dentro de la finalidad original. Si el mensaje existe para venderle algo distinto, necesitas su autorización y necesitas poder probar cuándo la dio. ## Menos texto en el mensaje también es cumplimiento El caso colombiano más ilustrativo de 2025 no fue una filtración masiva ni un ataque informático. La Superintendencia de Industria y Comercio [sancionó a una entidad del sistema](https://sedeelectronica.sic.gov.co/comunicado/la-sic-sanciona-sos-eps-por-divulgar-sin-autorizacion-ni-justificacion-legal-la-historia-clinica-de-un-paciente-incluido-su-diagnostico-de) por compartir la historia clínica completa de una persona —incluido su diagnóstico de VIH— con cuatro directivos de una empresa, en el marco de una calificación de origen de enfermedad laboral. El problema no fue sólo que se compartiera: fue que se compartió información que no era necesaria para ese trámite. La autoridad lo encuadró como una vulneración de los principios de necesidad, finalidad y circulación restringida. Ese mismo principio aparece en el catálogo chileno de infracciones graves: tratar datos “innecesarios en relación con los fines del tratamiento”. Y en el de gravísimas: vulnerar el deber de secreto sobre datos sensibles, o tratarlos y cederlos a sabiendas en contravención a la ley. La consecuencia práctica es contraintuitiva y muy barata de aplicar: **el recordatorio que menos dice es el que mejor cumple**. Un mensaje que anuncia la fecha, la hora y la sede no revela nada; uno que nombra el servicio, el examen o el motivo de consulta convierte cualquier pantalla ajena, cualquier grupo familiar y cualquier teléfono prestado en una divulgación. Es la misma lógica que ya discutimos al hablar de [lo que viene después de la historia clínica interoperable](https://www.getarbol.com/blog/despues-historia-clinica-interoperable/): tener el dato disponible no autoriza a moverlo. ## Cuánto cuesta equivocarse Chile ordenó las multas en tres tramos, según la gravedad de la infracción. Son montos que se expresan en unidades tributarias mensuales, la unidad reajustable que publica cada mes el Servicio de Impuestos Internos. El régimen chileno de sanciones Multa máxima por tramo de infracción Multa máxima (unidades tributarias mensuales) Si hay reincidencia, la Agencia puede aplicar hasta tres veces el monto de la infracción cometida. Fuente: Biblioteca del Congreso Nacional de Chile, texto vigente desde el 1 de diciembre de 2026 Con la [UTM de julio de 2026](https://www.sii.cl/valores_y_fechas/utm/utm2026.htm), fijada en $71.649, el tramo más alto equivale a unos $1.433 millones de pesos chilenos. El valor se reajusta todos los meses, así que la cifra exacta dependerá del mes en que se imponga la sanción. Colombia no tiene tramos, pero sí tiene una herramienta que conviene leer despacio. El artículo 23 de la Ley 1581 permite multas de hasta 2.000 salarios mínimos mensuales legales vigentes, suspensión de las actividades de tratamiento por hasta seis meses, cierre temporal y —textualmente— “cierre inmediato y definitivo de la operación que involucre el Tratamiento de datos sensibles”. Para una institución de salud, esa última letra es la que importa: la operación que se puede cerrar es, precisamente, la que maneja datos de salud. ## El problema no es legal, es operativo Cuando la Superintendencia de Industria y Comercio [midió el estado de las medidas de seguridad](https://sedeelectronica.sic.gov.co/noticias/superindustria-revela-que-seis-de-cada-diez-empresas-y-entidades-publicas-no-han-implementado-medidas-apropiadas-para-garantizar-la) sobre 32.763 organizaciones que habían registrado bases de datos, el resultado fue incómodo. No hablaba de intenciones: hablaba de controles que existen o no existen. La foto del cumplimiento en Colombia Lo que encontró el estudio sobre 32.763 organizaciones 65,7% No había implementado medidas apropiadas de seguridad 79% No tenía políticas que regularan el acceso a datos sensibles 83% No tenía procedimientos de auditoría implementados Fuente: Superintendencia de Industria y Comercio, diciembre de 2019 Es un corte de 2019 y desde entonces el registro cambió, pero el patrón que describe sigue siendo el que se ve en la práctica: la carpeta de políticas existe, y el control diario no. Nadie sabe quién exportó la base la semana pasada, ni con qué autorización se llamó a esas cuatrocientas personas, ni quién tiene acceso al listado de los que faltaron. La ley chilena agrega una obligación que vuelve visible ese vacío. Cuando ocurre una vulneración de seguridad con riesgo razonable para las personas, la institución debe reportarla a la Agencia “por los medios más expeditos posibles y sin dilaciones indebidas”, y cuando los datos afectados son sensibles debe además avisarle a cada persona afectada, en lenguaje claro. Omitir deliberadamente ese aviso está tipificado como infracción gravísima. Una institución que no sabe quién tiene acceso a qué no puede cumplir ese deber aunque quiera: no tiene con qué reconstruir el incidente. Cómo llegamos hasta acá La línea de tiempo del dato de salud en los dos países Ley 20.584 Chile declara sensible la ficha clínica El artículo 12 establece que toda la información que surja de la ficha clínica es dato sensible. Ley 1581 Colombia define los datos sensibles El artículo 5 incluye la salud; el artículo 6 prohíbe tratarla sin autorización explícita. dic 2024 Se publica la Ley 21.719 Chile aprueba su régimen general de datos personales y crea la Agencia de Protección de Datos Personales. ago 2025 Sanción por una historia clínica divulgada La autoridad colombiana sanciona a una entidad del sistema por compartir un diagnóstico que no era necesario para el trámite. 1 dic 2026 Entra en vigencia el régimen chileno Empiezan a regir las obligaciones, las infracciones y las multas de hasta 20.000 unidades tributarias mensuales. Fuente: Biblioteca del Congreso Nacional de Chile, SUIN-Juriscol y Superintendencia de Industria y Comercio ## Qué puede hacer tu institución este semestre - **Escribe la finalidad de cada base, en una frase.** Agenda, cobro, contacto asistencial, difusión. Si una base no tiene finalidad escrita, no hay forma de defender su uso ante nadie. - **Separa las listas por finalidad, no por canal.** Una lista para gestión de la atención y otra para difusión, con la autorización guardada en la segunda. Mezclar las dos es exactamente la conducta que la ley chilena clasifica como infracción grave. - **Guarda la autorización con fecha, texto y medio.** No basta con que la persona haya dicho que sí: hay que poder mostrar cuándo, a qué y en qué términos. - **Recorta el contenido de los mensajes salientes.** Fecha, hora y sede alcanzan. El servicio, el examen y el motivo de consulta sobran, y son lo que convierte un recordatorio en una divulgación. - **Define quién avisa si hay una filtración y en cuánto tiempo.** En Chile el reporte a la autoridad no tiene un plazo cómodo: es sin dilaciones indebidas, y con aviso directo a las personas cuando los datos son sensibles. - **Revisa a quién le entregas la base.** Quien procesa datos por encargo tuyo no te libera de responsabilidad; te la suma. Nada de esto exige un proyecto de un año. Exige decidir, una sola vez, para qué sirve cada contacto y dejarlo registrado — que es la misma disciplina que sostiene una campaña de [demanda inducida que no se convierte en spam](https://www.getarbol.com/blog/demanda-inducida-matematica-ips/) y una operación de mensajería que no ahoga al equipo, como discutimos al analizar [el canal de mensajería como puerta de agenda](https://www.getarbol.com/blog/whatsapp-citas-medicas-colombia/). Si tu institución está poniendo orden en cómo contacta a las personas que atiende, ese orden es, literalmente, [gobernanza](https://www.getarbol.com/gobernanza/). Aviso Este contenido tiene fines informativos y educativos. No sustituye el diagnóstico, el tratamiento ni el consejo de un profesional de la salud calificado. Ante cualquier duda, síntoma o decisión sobre tu salud, consulta a tu médico o a la institución de salud correspondiente. ## Sigue leyendo Regulación **Sigue leyendo** Regulación ### [Lo que viene después de la historia clínica electrónica interoperable](https://www.getarbol.com/blog/despues-historia-clinica-interoperable/) La interoperabilidad de la historia clínica ya arrancó. La década 2020-2026 obligó a las IPS a tener los datos; la que viene premia a las que los hagan pensar: cohortes, brechas de atención y búsqueda activa. El equipo de Arbol 29 may 2026 4 min de lectura Leer el artículo ### Más para leer Canales ### [WhatsApp ya es el canal favorito de tus pacientes. ¿Tu agenda lo sabe?](https://www.getarbol.com/blog/whatsapp-citas-medicas-colombia/) El 92% de los colombianos conectados usa WhatsApp y las EPS grandes ya agendan por ahí. La pregunta no es si abrir el canal, sino cómo atenderlo sin ahogar a tu equipo. El equipo de Arbol 18 may 2026 3 min de lectura Campañas ### [Demanda inducida: la obligación que puede llenar tu agenda — si la matemática da](https://www.getarbol.com/blog/demanda-inducida-matematica-ips/) La Resolución 3280 obliga a las IPS a salir a buscar al paciente. Una campaña de 2.000 pacientes son 100 días-persona de llamadas. Así se hace la cuenta — y así se ejecuta sin quemar al equipo. El equipo de Arbol 16 mar 2026 3 min de lectura América Latina Regulación ### [Oportunidad en Colombia, garantía GES en Chile: no es lo mismo](https://www.getarbol.com/blog/garantias-tiempo-espera-colombia-chile/) La oportunidad de la cita en Colombia es un promedio; el GES chileno fija un plazo legal por enfermedad. Dos garantías, no una misma cifra. David Lara 29 abr 2026 11 min de lectura ## Veamos tu población en Arbol. Una videollamada de 30 minutos con nuestro equipo, con tus casos: tu contrato, tus pacientes y tus canales. Sales con una primera lectura de tu población, tu contrato y tus frecuencias de uso. [Agenda una demo](https://cal.com/tomas-giraldo-pdfbl9/30-min-arbol-ai-demo) [Escríbenos por WhatsApp](https://wa.me/573185230045?text=Hola%2C%20quiero%20saber%20m%C3%A1s%20sobre%20Arbol%20para%20mi%20instituci%C3%B3n.) [**Colombia**](https://www.getarbol.com/colombia/), en operación · Pensado para Latinoamérica --- **Arbol AI** — agentes de IA para clínicas, hospitales y prestadores de salud de Latinoamérica: contestan y contactan a los pacientes por llamada, WhatsApp, SMS, correo y chat web, agendan sus citas 24/7 y dejan registro de cada conversación. - Página original: - Agenda una demo: · Precios: - Índice para agentes: · Soporte: