Datos de salud: las reglas de contacto en Colombia y en Chile

En Colombia y en Chile el dato de salud no es un dato más: las dos leyes lo clasifican como dato sensible y eso decide qué puedes hacer con el teléfono que una persona te dejó. Recordarle la cita que ya tiene agendada forma parte de la atención; ofrecerle otro servicio con esa misma base es una finalidad distinta y se rige por otras reglas. Colombia lo aplica desde la Ley 1581 de 2012 y ya tiene sanciones firmes; Chile lo vuelve exigible el 1 de diciembre de 2026 con la Ley 21.719.

La fecha chilena es lo nuevo. La ley se publicó en el Diario Oficial en diciembre de 2024 y sus artículos permanentes entran en vigencia veinticuatro meses después, junto con la Agencia de Protección de Datos Personales que la misma norma crea. Para una institución de salud en Santiago o en Concepción eso significa que la próxima temporada alta de agenda ya se opera bajo el régimen nuevo. Para una en Bogotá o en Medellín no cambia nada en el papel, pero sí cambia el estándar con el que se va a comparar la región.

El punto de partida es idéntico en los dos países

La coincidencia es notable. En Colombia, el artículo 5 de la Ley 1581 define como sensibles “los datos relativos a la salud, a la vida sexual y los datos biométricos”, y el artículo 6 prohíbe tratarlos salvo que la persona haya dado su autorización explícita o se cumpla alguna de las excepciones tasadas. En Chile, la Ley 21.719 incorpora en la misma categoría “los datos relativos a la salud, al perfil biológico humano, los datos biométricos” y la información sobre vida sexual, orientación sexual e identidad de género.

Chile además ya traía un candado propio desde antes: la Ley 20.584 de derechos y deberes del paciente establece en su artículo 12 que toda la información que surja de la ficha clínica “será considerada como dato sensible”. No es una interpretación: está escrito en la ley sectorial.

La frontera no es el canal, es la finalidad

Aquí es donde la mayoría de las instituciones se equivoca. La discusión interna suele ser “¿podemos escribir por mensajería o hay que llamar?”, y esa pregunta no es la relevante. Lo que las dos leyes miran es para qué recolectaste el dato y para qué lo estás usando ahora.

La ley chilena lo dice con todas sus letras. Su principio de finalidad exige que los datos se recolecten “con fines específicos, explícitos y lícitos” y que el tratamiento se limite a esos fines. Y en el catálogo de infracciones graves aparece, en primer lugar, tratar datos “con una finalidad distinta de aquélla para la cual fueron recolectados”. La misma norma abre después una puerta específica para el sector: los datos de salud pueden tratarse sin consentimiento cuando sea necesario, entre otros casos, para “prestación de asistencia o tratamiento de tipo sanitario o social, o gestión de sistemas y servicios de asistencia sanitaria y social”.

Traducido a la operación de una institución: confirmar una cita en Colombia o una hora en Chile, reprogramarla, avisar que el profesional se atrasó o llamar a un control que forma parte de la ruta de atención vive dentro de la gestión asistencial. Ofrecer un examen que la persona nunca pidió, cruzar la base con una promoción o pasarle el listado a un tercero es otra cosa, y ahí el permiso tiene que existir y poder mostrarse.

Menos texto en el mensaje también es cumplimiento

El caso colombiano más ilustrativo de 2025 no fue una filtración masiva ni un ataque informático. La Superintendencia de Industria y Comercio sancionó a una entidad del sistema por compartir la historia clínica completa de una persona —incluido su diagnóstico de VIH— con cuatro directivos de una empresa, en el marco de una calificación de origen de enfermedad laboral. El problema no fue sólo que se compartiera: fue que se compartió información que no era necesaria para ese trámite. La autoridad lo encuadró como una vulneración de los principios de necesidad, finalidad y circulación restringida.

Ese mismo principio aparece en el catálogo chileno de infracciones graves: tratar datos “innecesarios en relación con los fines del tratamiento”. Y en el de gravísimas: vulnerar el deber de secreto sobre datos sensibles, o tratarlos y cederlos a sabiendas en contravención a la ley.

La consecuencia práctica es contraintuitiva y muy barata de aplicar: el recordatorio que menos dice es el que mejor cumple. Un mensaje que anuncia la fecha, la hora y la sede no revela nada; uno que nombra el servicio, el examen o el motivo de consulta convierte cualquier pantalla ajena, cualquier grupo familiar y cualquier teléfono prestado en una divulgación. Es la misma lógica que ya discutimos al hablar de lo que viene después de la historia clínica interoperable: tener el dato disponible no autoriza a moverlo.

Cuánto cuesta equivocarse

Chile ordenó las multas en tres tramos, según la gravedad de la infracción. Son montos que se expresan en unidades tributarias mensuales, la unidad reajustable que publica cada mes el Servicio de Impuestos Internos.

Con la UTM de julio de 2026, fijada en $71.649, el tramo más alto equivale a unos $1.433 millones de pesos chilenos. El valor se reajusta todos los meses, así que la cifra exacta dependerá del mes en que se imponga la sanción.

Colombia no tiene tramos, pero sí tiene una herramienta que conviene leer despacio. El artículo 23 de la Ley 1581 permite multas de hasta 2.000 salarios mínimos mensuales legales vigentes, suspensión de las actividades de tratamiento por hasta seis meses, cierre temporal y —textualmente— “cierre inmediato y definitivo de la operación que involucre el Tratamiento de datos sensibles”. Para una institución de salud, esa última letra es la que importa: la operación que se puede cerrar es, precisamente, la que maneja datos de salud.

El problema no es legal, es operativo

Cuando la Superintendencia de Industria y Comercio midió el estado de las medidas de seguridad sobre 32.763 organizaciones que habían registrado bases de datos, el resultado fue incómodo. No hablaba de intenciones: hablaba de controles que existen o no existen.

Es un corte de 2019 y desde entonces el registro cambió, pero el patrón que describe sigue siendo el que se ve en la práctica: la carpeta de políticas existe, y el control diario no. Nadie sabe quién exportó la base la semana pasada, ni con qué autorización se llamó a esas cuatrocientas personas, ni quién tiene acceso al listado de los que faltaron.

La ley chilena agrega una obligación que vuelve visible ese vacío. Cuando ocurre una vulneración de seguridad con riesgo razonable para las personas, la institución debe reportarla a la Agencia “por los medios más expeditos posibles y sin dilaciones indebidas”, y cuando los datos afectados son sensibles debe además avisarle a cada persona afectada, en lenguaje claro. Omitir deliberadamente ese aviso está tipificado como infracción gravísima. Una institución que no sabe quién tiene acceso a qué no puede cumplir ese deber aunque quiera: no tiene con qué reconstruir el incidente.

Qué puede hacer tu institución este semestre

• Escribe la finalidad de cada base, en una frase. Agenda, cobro, contacto asistencial, difusión. Si una base no tiene finalidad escrita, no hay forma de defender su uso ante nadie.
• Separa las listas por finalidad, no por canal. Una lista para gestión de la atención y otra para difusión, con la autorización guardada en la segunda. Mezclar las dos es exactamente la conducta que la ley chilena clasifica como infracción grave.
• Guarda la autorización con fecha, texto y medio. No basta con que la persona haya dicho que sí: hay que poder mostrar cuándo, a qué y en qué términos.
• Recorta el contenido de los mensajes salientes. Fecha, hora y sede alcanzan. El servicio, el examen y el motivo de consulta sobran, y son lo que convierte un recordatorio en una divulgación.
• Define quién avisa si hay una filtración y en cuánto tiempo. En Chile el reporte a la autoridad no tiene un plazo cómodo: es sin dilaciones indebidas, y con aviso directo a las personas cuando los datos son sensibles.
• Revisa a quién le entregas la base. Quien procesa datos por encargo tuyo no te libera de responsabilidad; te la suma.

Nada de esto exige un proyecto de un año. Exige decidir, una sola vez, para qué sirve cada contacto y dejarlo registrado — que es la misma disciplina que sostiene una campaña de demanda inducida que no se convierte en spam y una operación de mensajería que no ahoga al equipo, como discutimos al analizar el canal de mensajería como puerta de agenda. Si tu institución está poniendo orden en cómo contacta a las personas que atiende, ese orden es, literalmente, gobernanza.