Protección de datos de pacientes en Chile: Ley 19.628 y la nueva Ley 21.719 para centros radiológicos dentales

Chile está viviendo el cambio regulatorio más importante en protección de datos en más de dos décadas. La Ley 19.628 sobre Protección de la Vida Privada, vigente desde 1999, fue durante años uno de los regímenes más laxos de la región. Eso cambia con la Ley 21.719, publicada en diciembre de 2024 y con vigencia plena desde diciembre de 2026, que moderniza el régimen alineándolo con el RGPD europeo y crea la nueva Agencia de Protección de Datos Personales.

Para un centro radiológico dental en Chile, esto significa un período de transición de dos años en el que debes adaptar procesos, contratos con proveedores y medidas técnicas. Este artículo explica lo que dice cada ley, lo que cambia con la 21.719, y cómo CBCTHub cumple ambas obligaciones desde hoy.

Marco regulatorio: las leyes que aplican a una clínica dental en Chile

• Ley 19.628 (1999) sobre Protección de la Vida Privada. Régimen actualmente vigente.
• Ley 21.719 (2024) que modifica la 19.628. Crea la Agencia de Protección de Datos Personales y multas significativas. Vigencia diciembre de 2026.
• Ley 20.584 (2012) sobre Derechos y Deberes del Paciente. Regula confidencialidad de la ficha clínica.
• Código Sanitario artículos sobre secreto profesional.
• Reforma constitucional 2018: el artículo 19 número 4 reconoce la protección de datos personales como derecho fundamental.

Ley 19.628: lo que está vigente hoy

Datos sensibles y consentimiento

El artículo 2 letra g de la Ley 19.628 define como datos sensibles aquellos referentes a características físicas o morales de las personas, incluyendo los datos relativos a la salud. El artículo 10 exige consentimiento escrito y específico para tratar estos datos, salvo que la ley autorice expresamente.

Derechos del titular

Acceso, modificación, eliminación y bloqueo. Se ejercen mediante carta certificada o medio equivalente. El responsable tiene dos días hábiles para responder.

Ficha clínica

La Ley 20.584 establece que la ficha clínica es propiedad del prestador, pero los datos son del paciente. Se conserva por al menos quince años. El paciente puede solicitar copia y debe entregarse en un plazo razonable.

Sanciones de la 19.628

El régimen vigente es débil: multas de una a cincuenta UTM por infracción (entre USD 70 y USD 3.500 aproximadamente). Sin autoridad de control específica, las multas se aplican vía juicio civil.

Ley 21.719: lo que cambia desde diciembre de 2026

Nueva Agencia de Protección de Datos Personales

Por primera vez Chile tendrá un organismo regulador con potestad fiscalizadora y sancionadora, similar a la AEPD española o el INAI mexicano.

Multas significativamente mayores

• Infracciones leves: hasta 5.000 UTM (aproximadamente CLP 326 millones).
• Infracciones graves: hasta 10.000 UTM (CLP 650 millones).
• Infracciones gravísimas: hasta 20.000 UTM (CLP 1.300 millones, alrededor de USD 1.4 millones).

Nuevas obligaciones

• Delegado de Protección de Datos obligatorio para tratamientos a gran escala de datos sensibles (incluye centros radiológicos).
• Registro de actividades de tratamiento documentado.
• Notificación de brechas a la Agencia en 72 horas.
• Evaluación de impacto en protección de datos (EIPD) para tratamientos de alto riesgo.
• Derecho a la portabilidad de datos.
• Privacy by design y privacy by default.
• Reglas estrictas para transferencias internacionales.

Riesgos concretos para un centro radiológico dental chileno

Hasta hoy muchas clínicas chilenas usan WhatsApp para enviar tomografías, Google Drive sin cifrado para almacenar respaldos, o pendrives sin contraseña. Esos hábitos, tolerados bajo la Ley 19.628, se convertirán en infracciones graves desde diciembre de 2026. Un solo incidente reportado puede acabar con multas de varios cientos de millones de pesos.

Cómo CBCTHub te ayuda a cumplir la Ley 19.628 hoy y la 21.719 mañana

Consentimiento informado en formato Ley 20.584

CBCTHub genera plantillas de consentimiento informado adaptadas a la legislación chilena, con lenguaje claro sobre finalidad, base legal, plazos de conservación y derechos del paciente. El paciente firma electrónicamente y la firma queda verificable públicamente.

Cifrado de extremo a extremo

TLS 1.3 en todas las conexiones y AES-256 en reposo en Cloudflare R2. Cumple las medidas técnicas que exige la Ley 21.719 artículos sobre seguridad.

Audit log exportable

Cada acceso al examen queda registrado. En caso de una solicitud de la Agencia o de un paciente que pregunte quién vio su tomografía, exportas el log en CSV desde el panel.

PIN y links únicos con expiración

Cada examen tiene URL única con identificador opaco y PIN opcional. La página pública de la clínica exige PIN obligatorio. Los links expiran automáticamente según la política que configures.

Derecho a la eliminación (Ley 19.628 art. 12 y futuro derecho al olvido)

El endpoint DELETE /api/v1/exams/{id} borra el examen y todos los DICOM en R2. Cumple la solicitud de eliminación en cuestión de segundos.

Portabilidad anticipada

Aunque la Ley 19.628 no exige portabilidad, la 21.719 si. El endpoint /api/account/export-data ya entrega los datos en JSON estructurado, lo que te deja listo para cumplir cuando entre en vigor.

Acuerdo de tratamiento

CBCTHub firma un acuerdo de tratamiento con cada centro chileno, alineado con las exigencias que la Ley 21.719 introducirá sobre encargados de tratamiento.

RLS multi-tenant en Supabase

Aislamiento estricto entre clínicas mediante Row Level Security. Tu centro nunca puede ver datos de otra clínica, ni siquiera por error de un desarrollador.

Localización y notificación de brechas

Tenemos procedimiento de respuesta a incidentes que cumple el plazo de 72 horas que introduce la Ley 21.719. Si detectamos una brecha, te notificamos para que puedas reportar a la Agencia.

Checklist de cumplimiento para tu centro radiológico chileno

• Designar responsable de protección de datos (prepárate para el DPO obligatorio de la 21.719).
• Documentar todas las actividades de tratamiento.
• Firmar acuerdos de tratamiento con CBCTHub y otros proveedores.
• Plantilla de consentimiento informado según Ley 20.584.
• Política de retención de 15 años para la ficha clínica.
• Procedimiento de respuesta a solicitudes de acceso, modificación, eliminación.
• Plan de respuesta a incidentes con plazo de 72 horas (prepárate para la 21.719).
• Capacitación anual del personal.
• Auditar proveedores cloud y exigir cifrado.

FAQ

¿Puedo seguir usando WhatsApp para enviar tomografías?

Hoy es una zona gris bajo la Ley 19.628. Desde diciembre de 2026 con la Ley 21.719 sera claramente una infracción porque no cumple los requisitos de seguridad ni de trazabilidad. Usa un link seguro de CBCTHub.

¿Cuánto tiempo debo conservar el CBCT?

La Ley 20.584 establece un mínimo de quince años para la ficha clínica, que incluye los exámenes asociados.

¿Qué pasa si pierdo el respaldo con datos de pacientes?

Hoy la sanción es baja. Desde diciembre de 2026, la falta de notificación de la brecha a la nueva Agencia puede ser una infracción gravísima con multas de hasta 20.000 UTM.

¿Necesito un DPO?

Hoy no es obligatorio. Con la Ley 21.719, si tu centro trata datos sensibles a gran escala (cualquier centro radiológico activo lo hace), lo sera. Designa uno desde ya para no improvisar en 2026.

Recursos oficiales

• Ley 19.628 en BCN
• Ley 21.719 en BCN
• Ley 20.584 sobre Derechos y Deberes del Paciente
• Ministerio de Salud de Chile

Descarga el acuerdo de tratamiento de CBCTHub | Solución para centros radiológicos en Chile | Planes y precios

Este artículo es informativo y no constituye asesoría legal. Consulta con un abogado especializado en protección de datos chileno para tu caso específico.