Filtraciones en salud: qué exige la Ley 21.719 ante una brecha de datos

En pocas semanas el sector salud chileno acumuló dos casos que sirven de advertencia. A fines de septiembre de 2026 el Hospital Clínico de la Universidad de Chile presentó una querella por un ciberataque a su servicio de Imagenología: según la querella, se publicaron en un foro RUT, nombres, fechas de exámenes, médicos solicitantes y resultados. Antes, el 2 de septiembre, la Fiscalía formalizó a un joven vinculado a "Rutify", una plataforma que reunía datos obtenidos de accesos ilícitos a organismos como Fonasa, el IPS o municipalidades, y que en mayo llegó a exponer información de salud asociada a garantías GES.

No vamos a especular sobre las causas técnicas de esos incidentes, que están en investigación. Lo que sí podemos hacer es responder una pregunta práctica: si un incidente así ocurre después del 1 de diciembre de 2026, ¿qué le exige la Ley 21.719 a la clínica, al hospital o a la empresa afectada?

Primero: los datos de salud son datos sensibles

La Ley 21.719 mantiene y refuerza la categoría de datos sensibles, que incluye los datos relativos a la salud. Tratarlos exige una base de licitud más estricta, y su vulneración agrava la responsabilidad: el artículo 37 obliga a la Agencia a considerar, al fijar una multa, "si el tratamiento realizado incluye datos personales sensibles o datos personales de niños, niñas y adolescentes". Más detalle en nuestra guía de datos sensibles.

El deber de seguridad: no basta con tener medidas, hay que probarlas

El artículo 14 quinquies obliga al responsable a adoptar medidas técnicas y organizativas proporcionales al riesgo, entre ellas cifrado o seudonimización, capacidad de restaurar los datos tras un incidente y "un proceso de verificación, evaluación y valoración regulares de la eficacia" de esas medidas. La frase más importante viene al final: ante un incidente y en caso de controversia, corresponde al responsable acreditar que las medidas existían y funcionaban. La carga de la prueba es de la organización.

El deber de reportar: Artículo 14 sexies

El texto de la ley en BCN establece tres capas:

• Reporte a la Agencia: el responsable debe reportar, "por los medios más expeditos posibles y sin dilaciones indebidas", las vulneraciones que causen destrucción, filtración, pérdida, alteración o acceso no autorizado a datos personales, cuando exista un riesgo razonable para los derechos y libertades de los titulares. La ley no fija un número de horas; la exigencia es actuar sin demoras injustificadas.
• Registro interno: hay que registrar cada comunicación, describiendo la naturaleza de la vulneración, sus efectos, las categorías de datos, el número aproximado de afectados y las medidas adoptadas.
• Aviso a los titulares: cuando la vulneración afecta datos sensibles, datos de niños y niñas menores de catorce años o datos de obligaciones económicas, financieras, bancarias o comerciales, también hay que avisar a cada titular, en lenguaje claro, indicando qué datos se vieron afectados, las posibles consecuencias y las medidas adoptadas. Si no es posible avisar uno a uno, debe publicarse un aviso en un medio masivo de alcance nacional.

En un caso como el de exámenes de imagenología, los datos son de salud: la notificación a los pacientes sería obligatoria, no opcional.

Cuánto puede costar

Las infracciones se clasifican en leves, graves y gravísimas, con multas de hasta 5.000, 10.000 y 20.000 UTM respectivamente (artículo 35). Para empresas que no son de menor tamaño y que reinciden en infracciones graves o gravísimas, la multa puede llegar al 2% o 4% de sus ingresos anuales. Además, la Agencia indica medidas correctivas que deben adoptarse en un plazo no mayor a 60 días; si no se cumplen, la multa sube un 50%. Ver detalle en sanciones y multas.

Hay también atenuantes que dependen de lo que hagas antes y después del incidente (artículo 36): la autodenuncia ante la Agencia con medidas de mitigación, la colaboración en la investigación, la reparación a los afectados y contar con un modelo de prevención certificado.

Los proveedores también cuentan

Muchos incidentes en salud ocurren en plataformas de terceros: sistemas de imágenes, laboratorios, agendamiento, telemedicina. El artículo 15 bis exige que la relación con cada encargado de tratamiento conste en un contrato que fije el objeto, la duración, la finalidad, el tipo de datos y los derechos y obligaciones de las partes. El encargado debe cumplir el deber de seguridad del artículo 14 quinquies y, ante una vulneración, reportarla al responsable. Pero el deber de avisar a la Agencia y a los pacientes sigue siendo del responsable: si tu proveedor sufre la brecha, tú respondes frente a los titulares. Revisa nuestras guías de encargados de tratamiento y cláusulas DPA del Art. 15 bis.

Checklist para clínicas, centros médicos y laboratorios

1. Inventario: identifica en tu registro de actividades dónde hay datos de salud, qué sistemas los contienen y qué proveedores acceden.
2. Protocolo de vulneraciones escrito: quién decide si hay "riesgo razonable", quién reporta a la Agencia, quién redacta el aviso a pacientes y en qué plazos internos.
3. Plantillas listas: aviso a la Agencia, aviso a titulares en lenguaje claro y registro del incidente. Redactarlas durante una crisis es el peor momento.
4. Contratos con proveedores: cláusulas de seguridad, notificación inmediata al responsable y derecho de auditoría.
5. Evidencia: guarda pruebas de las medidas de seguridad y de sus revisiones periódicas; las vas a necesitar para acreditar cumplimiento.
6. Simulacro: ensaya una vez al año un incidente con dirección, TI, legal y comunicaciones.
7. Evaluación de impacto: para tratamientos masivos de datos de salud, una DPIA ayuda a detectar riesgos antes del incidente.

La parte técnica (pruebas de intrusión, endurecimiento de sistemas, cumplimiento de la Ley Marco de Ciberseguridad) es especialidad de Skarn. En LeySeguraDigital nos enfocamos en la capa de datos personales: que tu organización sepa qué datos tiene, tenga el protocolo y los documentos listos, y pueda demostrar cumplimiento ante la Agencia.

Nota: este artículo es informativo y no constituye asesoría legal. Los casos citados se describen según la información publicada por los medios enlazados; las investigaciones están en curso.