Ley 21.719 y su ficha clínica: qué cambia el 1 de diciembre de 2026

Chile tiene fecha para su nueva ley de protección de datos personales, y esa fecha ya no está lejos. Para la mayoría de los rubros es una preocupación administrativa más. Para un psicólogo, que trabaja todos los días con lo que la propia ley define como el tipo de dato con más protección, es otra cosa.

Qué es la Ley 21.719, en corto

La Ley 21.719 se publicó en el Diario Oficial el 13 de diciembre de 2024 y moderniza a fondo la antigua Ley 19.628 sobre protección de la vida privada. Entra en plena vigencia el 1 de diciembre de 2026 y crea un nuevo organismo fiscalizador, la Agencia de Protección de Datos Personales, con facultad para investigar, sancionar y ordenar medidas correctivas.

El plazo entre la publicación y la entrada en vigencia —dos años— existe justamente para que profesionales y empresas adecúen sus procesos antes de que la exigencia sea real. Ese plazo ya casi se agotó.

Por qué a un psicólogo le importa más que a la mayoría

La ley define una categoría de datos sensibles que exige más consentimiento, más seguridad y más cuidado que un dato personal común: datos de salud, origen étnico, afiliación sindical o política, convicciones religiosas, vida sexual y, en el caso chileno, también la situación socioeconómica. Los datos de salud están ahí de forma explícita — y la ficha clínica, las notas de sesión, los antecedentes y cualquier diagnóstico que usted registre de un paciente encajan directamente en esa categoría, sin necesidad de interpretación forzada.

Dicho de otro modo: lo que hoy guarda en una carpeta, un Excel o un sistema cualquiera para llevar el historial de sus pacientes es, desde el punto de vista legal, de los datos más protegidos que existen en Chile.

Lo que va a tener que poder demostrar

• Consentimiento libre, informado e inequívoco para tratar datos sensibles — no basta con un aviso genérico de privacidad que nadie lee.
• Medidas de seguridad más estrictas, como cifrado y control de acceso limitado a quien realmente necesita ver ese dato.
• Respeto a los derechos ARCO de sus pacientes — acceso, rectificación, cancelación y oposición sobre sus propios datos — y capacidad de responder si la Agencia le pide cuentas sobre eso.
• Notificación de brechas de seguridad a la Agencia cuando corresponda, en vez de manejarlas en silencio.
• Cuidado con las herramientas de IA genéricas: pegar información de un paciente en un chatbot gratuito, sin control sobre dónde se procesa, es exactamente el tipo de práctica que la nueva ley busca dejar atrás. Lo desarrollamos en nuestra guía de inteligencia artificial y psicología en su consulta.

Las multas, en pesos reales

La ley clasifica las infracciones en tres niveles: leves (hasta 5.000 UTM), graves (hasta 10.000 UTM) y gravísimas (hasta 20.000 UTM) — estas últimas incluyen, entre otras conductas, la exposición masiva de datos sensibles de salud y el tratamiento doloso o desviado de su finalidad. Al valor de la UTM de septiembre de 2026 ($71.721, según el SII), esas cifras son:

Si hay reincidencia dentro de los cinco años siguientes, la ley permite calcular la sanción también como un porcentaje de la facturación anual de la empresa en Chile —2% en infracciones graves, 4% en gravísimas—, aplicando el monto que resulte mayor. La Agencia también puede aplicar sanciones accesorias: suspender el tratamiento de datos hasta por 30 días, ordenar eliminar bases de datos completas o publicar la sanción en medios de circulación nacional.

Qué puede hacer antes del 1 de diciembre de 2026

1. Revise dónde guarda hoy la ficha de sus pacientes — una planilla sin cifrar en su notebook personal no cumple ninguno de los estándares que la ley va a exigir.
2. Formalice el consentimiento que pide a cada paciente para tratar sus datos, por escrito, no solo de palabra.
3. Elija herramientas que ya trabajen con cifrado y control de acceso, en vez de intentar construir esas medidas usted mismo desde cero.
4. Tenga un plan simple para una eventual brecha de seguridad — a quién avisar y en qué plazo, antes de que haga falta.

Cómo ayuda Nerela

Nerela cifra los datos de sus pacientes en tránsito y en reposo, los aloja en la Unión Europea con copias de seguridad automáticas, y aísla cada cuenta a nivel de base de datos — nadie fuera de su consulta puede ver la ficha de sus pacientes. Usted puede pedir la exportación completa o el borrado cuando quiera, sin costo. Son, precisamente, el tipo de medidas que la Ley 21.719 exige para datos sensibles de salud. Dicho eso, con honestidad: la responsabilidad legal de cumplir con la ley —el consentimiento que pide a cada paciente, su propia política de privacidad, cómo responde ante la Agencia— sigue siendo suya como profesional, y un software es una parte de esa tarea, no la tarea completa.