--- title: "Ley 21.719 y ficha única: los datos sensibles que viven en recepción" description: "En diciembre rigen la Ley 21.719 y la nueva constatación de la ficha clínica única, y el WhatsApp y el cuaderno de recepción también guardan datos…" url: https://www.getarbol.com/blog/datos-sensibles-whatsapp-recepcion-ley-21719/ lang: es --- # Ley 21.719 y ficha única: los datos sensibles que viven en recepción En diciembre rigen la Ley 21.719 y la nueva constatación de la ficha clínica única, y el WhatsApp y el cuaderno de recepción también guardan datos sensibles. [**David Lara** Mentor técnico · Ingeniería en Arbol](https://www.getarbol.com/blog/autores/david-lara/) 13 de octubre de 2026 9 min de lectura Diciembre de 2026 junta dos plazos: el día 1 entra en vigencia la [Ley 21.719](https://www.bcn.cl/leychile/navegar?idNorma=1209272) de protección de datos personales, y el 16 se vuelve exigible la nueva forma de acreditar la ficha clínica única que fijó la [Circular IP N°68](https://www.superdesalud.gob.cl/app/uploads/2026/06/circular-ip-n-68-modifica-version-n-6_0001-1.pdf). La Superintendencia de Salud ya advirtió que puede haber datos sensibles en sistemas que no son la ficha clínica, y en recepción se acumulan con facilidad: el WhatsApp de un teléfono personal, el cuaderno de llamadas pendientes, los audios. Puntos clave - La Ley 21.719 entra en vigencia el 1 de diciembre de 2026 y clasifica los datos relativos a la salud como datos personales sensibles. - Desde el 16 de diciembre de 2026, la acreditación revisa la ficha clínica única según la Circular IP N°68: código único, soportes vinculados y acceso con clave personal. - La Superintendencia de Salud advierte que puede haber datos sensibles en sistemas que no son la ficha clínica, y que igual deben resguardarse. - Recepción los acumula sin proponérselo: chats en teléfonos personales, fotos de cédulas, audios, cuadernos de llamadas y planillas de lista de espera. - El primer paso es un inventario: dónde está cada dato, quién accede, en qué equipo, cuánto tiempo se guarda y cómo se elimina. ## Diciembre junta dos plazos que miran el mismo dato El 25 de septiembre de 2026, la Superintendencia de Salud reunió a las 41 entidades que acreditan a los prestadores institucionales del país en su [Seminario de Entidades Acreditadoras](https://www.superdesalud.gob.cl/noticias/2026/09/superintendencia-de-salud-realizo-seminario-de-entidades-acreditadoras-con-participacion-del-instituto-de-salud-publica/). El sistema ya no es pequeño: en 2010 había 12 prestadores institucionales acreditados y al cierre del primer semestre de 2026 eran 971. Entre los temas de la jornada estuvo **cómo deben verificar las acreditadoras la ficha clínica única de cada prestador**. Esa verificación cambia pronto. La [Circular IP N°68](https://www.superdesalud.gob.cl/app/uploads/2026/06/circular-ip-n-68-modifica-version-n-6_0001-1.pdf), firmada el 16 de junio de 2026, reescribió la interpretación de la característica REG 1.1 («el prestador institucional cuenta con ficha clínica única e individual») y fijó que entra en vigencia seis meses después. Las [recomendaciones de la Superintendencia para REG 1.1](https://www.superdesalud.gob.cl/app/uploads/2026/08/reg-1-1-minsal.pdf) lo traducen a una fecha: exigible desde el 16 de diciembre de 2026. El mismo documento enumera el marco legal de la ficha clínica: la Ley 20.584, el Decreto 41 sobre fichas clínicas, la Ley 21.663 de ciberseguridad, la Ley 21.668 de interoperabilidad y la Ley 21.719, esta última con una nota: entra en vigencia el 1 de diciembre de 2026. La fecha cuadra con la propia ley, publicada el 13 de diciembre de 2024, cuyas modificaciones rigen desde el primer día del mes vigésimo cuarto posterior a su publicación. Del papel a la fiscalización La ley de datos y la nueva constatación de la ficha llegan con quince días de diferencia 13 dic 2024 Se publica la Ley 21.719 Regula la protección y el tratamiento de los datos personales y crea la Agencia de Protección de Datos Personales. 16 jun 2026 Circular IP N°68 La Superintendencia redefine cómo se constata la ficha clínica única (REG 1.1), con vigencia a los seis meses. ago 2026 Recomendaciones para REG 1.1 La Superintendencia advierte que puede haber datos sensibles en sistemas que no son la ficha clínica. 25 sep 2026 Seminario de Entidades Acreditadoras Las 41 acreditadoras repasan cómo verificar la ficha clínica única de cada prestador. 1 dic 2026 Entra en vigencia la Ley 21.719 Los datos relativos a la salud quedan como datos personales sensibles bajo el nuevo régimen. 16 dic 2026 Exigible la nueva constatación de REG 1.1 Las acreditadoras verifican código único, soportes, vinculación y acceso con clave personal e intransferible. Fuente: Biblioteca del Congreso Nacional de Chile; Superintendencia de Salud En mayo explicamos [las reglas de contacto que fija el dato de salud en Chile](https://www.getarbol.com/blog/datos-salud-reglas-contacto-colombia-chile/): la finalidad, los casos sin consentimiento y los tramos de multas de la Ley 21.719. Lo nuevo es la coincidencia. **La ley y la acreditación llegan el mismo mes y miran el mismo dato**, y una institución que solo ordena su ficha clínica va a dejar fuera justamente la parte que la ley también alcanza. ## La acreditación revisa la ficha; la ley alcanza todo lo demás Según la Circular IP N°68, el prestador debe describir en un documento institucional la apertura de la ficha, su número identificador, los soportes donde se registra, la vinculación entre ellos, incluidos los resultados de exámenes, y el acceso del personal que interviene en la atención directa, que incluye a profesionales, técnicos y administrativos. En soporte electrónico, **el acceso debe ser con clave personal e intransferible**. También debe describir la entrega de la ficha, su digitalización y su eliminación. La constatación no es solo documental. En la [presentación de circulares vigentes](https://www.superdesalud.gob.cl/app/uploads/2026/09/circulares-y-of-2026-ea-lj.pdf) que la Superintendencia compartió en el seminario, el evaluador verifica cuatro de esos requisitos (número identificador, soportes, vinculación y acceso) con entrevistas al personal, de al menos dos funcionarios de distintos estamentos, observación directa y simulaciones. Si falla uno de los cuatro requisitos en el lugar evaluado, el elemento medible se da por no cumplido. Hasta ahí, la ficha. Pero las recomendaciones para REG 1.1 agregan una advertencia que vale para todo lo demás: toda la información de la ficha clínica es dato sensible, **pero puede haber datos sensibles en otros sistemas que no son ficha clínica**. REG 1.1 solo constata lo relacionado con la ficha, aun cuando la información personal y los datos sensibles deben resguardarse siempre según la regulación vigente. Esas mismas recomendaciones piden evitar sorpresas como registros sueltos en papel, registros electrónicos fuera de la ficha, en el escritorio de un computador o en correos, y prestaciones que no se registran. ## Recepción es donde los datos sensibles se salen de la ficha Piensa en un día normal de recepción. Una persona manda por WhatsApp la foto de una orden de examen para pedir hora; otra envía un audio contando qué le pasa; una tercera deja su nombre, su teléfono y el motivo de consulta para que la llamen de vuelta, y eso queda anotado en un cuaderno o en una planilla. Nada de eso es ficha clínica, y todo eso son **datos relativos a la salud**, que la Ley 21.719 define como datos personales sensibles. El problema no es el consentimiento. La ley permite tratar datos de salud sin consentimiento cuando es necesario, entre otros fines, para la prestación de asistencia sanitaria o la gestión de servicios de asistencia sanitaria, y la gestión de una hora médica se mueve, en general, dentro de esa finalidad. El problema es el control: la ley obliga al responsable a adoptar medidas que aseguren la confidencialidad, integridad, disponibilidad y resiliencia de los sistemas, y que eviten el acceso no autorizado. También le exige que sus dependientes cumplan el deber de secreto. Un teléfono personal con conversaciones de las personas que atiende el centro difícilmente cumple esas condiciones de forma verificable. Si se pierde, la institución ni siquiera puede decir qué datos había. Y la ley pide reportar a la Agencia de Protección de Datos Personales, sin dilaciones indebidas, las vulneraciones de seguridad que generen un riesgo razonable para las personas, y avisarles a ellas cuando se trata de datos sensibles. **Es difícil reportar lo que nunca se inventarió.** Hay además un problema de confianza. El 6 de octubre, en su guía para atenderse a distancia de forma segura, [FONASA recordó a sus usuarios](https://www.fonasa.gob.cl/noticias/telemedicina-teleconsulta-telerehabilitacion-con-fonasa/) que agenden sus atenciones por los canales oficiales del prestador, que no envíen fotografías de su cédula de identidad y que desconfíen de cuentas que los contacten sin que lo hayan pedido. Una recepción que pide la foto de la cédula a un número personal le pide a la persona justo lo que FONASA, en esa guía, le aconseja no hacer. ## Un inventario de recepción cabe en una semana No hace falta un proyecto de sistemas para empezar. Hace falta recorrer recepción con una pregunta: ¿dónde queda escrito, grabado o fotografiado algo sobre la salud de una persona que no está en la ficha clínica? Inventario de recepción Seis lugares donde buscar datos sensibles fuera de la ficha - Los chats de WhatsApp en teléfonos personales. Órdenes, resultados, fotos de cédulas y motivos de consulta en un equipo que la institución no administra. - Los audios y notas de voz. Describen síntomas o tratamientos y suelen quedar también en el respaldo personal del teléfono. - El cuaderno de llamadas pendientes. Nombre, teléfono y motivo en una hoja que cualquiera puede leer desde el mostrador. - Las planillas de lista de espera. Copias locales de la agenda con diagnósticos o especialidades, que viajan por correo o en un pendrive. - Los correos y el escritorio del computador de recepción. Es lo que la Superintendencia nombra como registros electrónicos fuera de la ficha. - Los grupos de mensajería del equipo. La coordinación interna también hace circular nombres, horas y motivos de consulta. Fuente: elaboración de Arbol a partir de las recomendaciones para REG 1.1 de la Superintendencia de Salud y de la Ley 21.719 Para cada lugar, anota cinco cosas: qué datos guarda, quién accede, en qué equipo, cuánto tiempo se conservan y cómo se eliminan. Con esa tabla hay tres decisiones posibles por fila: **traerlo a un canal institucional, vincularlo a la ficha clínica o eliminarlo**. Lo que no tenga dueño ni regla de eliminación es la primera prioridad. Conviene hacerlo antes de la próxima visita de acreditación y no después. Si la evaluación incluye entrevistas y simulaciones con el personal, quien atiende recepción tiene que saber explicar dónde deja cada dato y por qué. ## Un canal institucional con registro reemplaza al teléfono personal La salida práctica no es prohibir WhatsApp, que es el canal por el que las personas ya escriben. Es que ese canal sea de la institución: **un número institucional, conversaciones registradas con fecha, hora y resultado, y acceso por rol con credenciales personales**. Así, la respuesta a la pregunta de la acreditadora o de la Agencia deja de depender de la memoria de una persona. Arbol trabaja en esa parte del contacto. Pone agentes de IA en el teléfono, el WhatsApp y el chat web de la institución, que agendan sobre el calendario que ya usa y dejan cada conversación grabada, transcrita y auditable: quién dijo qué, por qué canal y cómo terminó. El agente no da consejo clínico: esas decisiones quedan siempre en el equipo de salud. No reemplaza la política de datos de tu institución, pero le da un lugar donde aplicarse. Si estás evaluando un canal así, revisa [qué debe exigir la gerencia a un agente de voz](https://www.getarbol.com/blog/agente-voz-centros-chile/), [cómo gobernar el propósito del contacto alrededor de la hora médica](https://www.getarbol.com/blog/proposito-contacto-hora-medica-cl/) y [cómo trabajamos en Chile y otros países](https://www.getarbol.com/paises/). > **Aviso.** Este contenido tiene fines informativos y educativos. No sustituye el diagnóstico, el tratamiento ni el consejo de un profesional de la salud calificado. Ante cualquier duda, síntoma o decisión sobre tu salud, consulta a tu médico o a la institución de salud correspondiente. ## Sigue leyendo América Latina **Sigue leyendo** América Latina Regulación ### [Datos de salud: las reglas de contacto en Colombia y en Chile](https://www.getarbol.com/blog/datos-salud-reglas-contacto-colombia-chile/) Chile activa su ley de datos el 1 de diciembre de 2026 y Colombia ya sanciona por divulgar una historia clínica. Qué cambia para tu agenda y tus campañas. David Lara 6 may 2026 10 min de lectura Leer el artículo ### Más para leer Chile Gestión en salud ### [Contacto con propósito clínico alrededor de la hora médica](https://www.getarbol.com/blog/proposito-contacto-hora-medica-cl/) Gobierna el contacto en Chile: propósito clínico, consentimiento, ficha clínica y trazabilidad alrededor de la hora médica, no del canal. Emilia Santander 27 may 2026 13 min de lectura Chile Tecnología en salud ### [Agente de voz en centros de salud: guía gerencial CL](https://www.getarbol.com/blog/agente-voz-centros-chile/) Qué debe exigir gerencia a un agente de voz en centros de salud en Chile: hora médica, handoff, evidencia y métricas sin promesas vacías. Veronica Tobon 4 jul 2026 13 min de lectura Chile Regulación ### [Si el huellero no te reconoce, la Isapre igual debe venderte el bono](https://www.getarbol.com/blog/huella-falla-bono-electronico-isapre/) Desde el 1 de diciembre, si la huella y el mecanismo alternativo fallan, la Isapre debe emitir el bono con tu cédula: qué hacer en el mesón y cómo reclamar. Norbelys Chirinos 13 oct 2026 8 min de lectura ## Veamos tu población en Arbol. Una videollamada de 30 minutos con nuestro equipo, con tus casos: tu contrato, tus pacientes y tus canales. Sales con una primera lectura de tu población, tu contrato y tus frecuencias de uso. [Agenda una demo](https://cal.com/tomas-giraldo-pdfbl9/30-min-arbol-ai-demo) [Escríbenos por WhatsApp](https://wa.me/573185230045?text=Hola%2C%20quiero%20saber%20m%C3%A1s%20sobre%20Arbol%20para%20mi%20instituci%C3%B3n.) [**Colombia**](https://www.getarbol.com/colombia/), en operación · Pensado para Latinoamérica --- **Arbol AI** — agentes de IA para clínicas, hospitales y prestadores de salud de Latinoamérica: contestan y contactan a los pacientes por llamada, WhatsApp, SMS, correo y chat web, agendan sus citas 24/7 y dejan registro de cada conversación. - Página original: - Agenda una demo: · Precios: - Índice para agentes: · Soporte: