Las clínicas manejan el dato más sensible que existe
Una clínica no maneja datos de clientes: maneja datos sensibles de salud. Historias clínicas, diagnósticos, recetas, exámenes, imágenes, derivados, y ahora también historiales de telecuidado y chats con pacientes.
La Ley 21.719 los trata como datos de categorías especiales, que requieren un nivel de protección más alto que un email o un número de teléfono. Y la fecha que tienes en el calendario es el 1 de diciembre de 2026: ese es el día en que entra en plena vigencia la ley.
Existe un proyecto de ley (Boletín 18.623-07) que propone postergar la vigencia al 1 de diciembre de 2027 y ampliar el Consejo de la Agencia de Protección de Datos. Fue aprobado en general por la Comisión de Constitución del Senado el 20 de octubre de 2026, pero aún no está aprobado en pleno ni promulgado. Si tu plan depende de esa postergación, estás betting contra un proyecto que todavía puede cambiar.
Por qué una clínica es un objetivo
Los datos de salud son de los más sought-after del mercado: sirven para suplantar identidad, para estafas de seguros, para presionar al paciente o simplemente para venderlos.
El contexto no es tranquilo. Según el reporte "Think Ahead" de Security Ecosystem Knowledge (SEK), con datos de 2025 y publicado por rga.cl el 1 de julio de 2026, Chile sufrió 8,8 billones de intentos de ciberataque en 2025. De ellos, 5 billones corresponden a escaneos activos atribuidos a FortiGuard Labs/Fortinet: no son ataques exitosos, pero son el volumen de intentos que enfrentaron los sistemas.
A eso se suma la fuga de datos en el día a día de una clínica:
- La ficha clínica en un software de hace diez años, sin parches.
- El WhatsApp personal del recepcionista con datos de pacientes.
- El Excel compartido por correo con la lista de turnos.
- La carpeta de red con los respaldos de exámenes sin cifrar.
- El pendrive con los consentimientos firmados.
Ninguna de esas fugas necesita un atacante sofisticado. Necesita que nadie la haya revisado.
Paso 0: el inventario que nadie quiere hacer
Antes de cualquier medida técnica, necesitas saber qué tienes. La mayoría de las clínicas no lo sabe, y por eso la ley no se puede cumplir.
Recorre tu operación y lista, sistema por sistema:
| Dato | Dónde vive | ¿Quién accede? | ¿Cuánto tiempo se guarda? |
|---|---|---|---|
| Ficha clínica | Software X | Recepcionistas, profesionales | 5 años o más |
| Exámenes e imágenes | Servidor Y / disco externo | X, Y | Sin política definida |
| Recetas y certificados | Carpeta de red | Todos | Indefinido |
| Turnos y contactos | WhatsApp, Excel | Personal no técnico | Indefinido |
| Consentimientos | Carpeta física, pendrive | Selección | Indefinido |
| Respaldos | Disco externo, nube | Depende de quién configure | Sin control |
Ese inventario es tu punto de partida y, por sí solo, ya es un entregable exigible.
Los 4 frentes de una clínica
1. Datos sensibles: consentimiento explícito y trazable
La ley exige que el consentimiento sea libre, informado, específico y destacado. En una clínica esto significa:
- El paciente tiene que saber para qué se usa cada dato (atención, investigación, marketing de terceros).
- No puedes usar los datos de un paciente para contactarlo comercialmente solo porque "aceptó el tratamiento".
- Cada consentimiento tiene que quedar registrado: fecha, canal, finalidad y quién lo solicitó.
- La firma en papel es válida, pero necesitas el registro.
El punto que más duele: si le pides consentimiento para todo junto en un contrato de 8 páginas, no tienes consentimiento destacado para la parte sensible.
2. Seguridad de la información sensible
Mínimos para una clínica:
- Cifrado en reposo (discos, base de datos, respaldos) y en tránsito (TLS en todas las comunicaciones con el software y con el laboratorio).
- Control de acceso por roles, no una clave compartida para todo el equipo.
- Registros de auditoría: quién abrió qué ficha, quién descargó un examen.
- Respaldos cifrados y probados: un respaldo que nunca se restauró no es un respaldo.
- Salir de WhatsApp y Drive personal para datos de pacientes. Es la medida con mejor relación costo/beneficio de toda esta lista.
3. Derechos del titular
Tu clínica debe poder atender, en plazos razonables:
- Acceso: el paciente pide su ficha y sus exámenes.
- Rectificación: un dato está mal registrado.
- Supresión: el paciente pide que elimines sus datos.
- Oposición: el paciente no quiere que uses sus datos para un fin concreto.
Esto significa un procedimiento escrito, un responsable identificado y un canal de contacto (el mismo que usas para sacar horas).
4. IA y datos de pacientes
Si usas IA en tu clínica (transcripción de consultas, resumen de notas, chatbot de orientación), pregúntate dónde procesa esos datos. Si el modelo corre en un servicio cloud externo, la historia clínica sale de tu consulta. Y si usas datos de pacientes para entrenar o afinar un modelo, necesitas una base legal y avisos al titular que la mayoría de las clínicas no tiene.
La alternativa: inferencia local. Si el modelo corre en tu propia infraestructura, la historia clínica no se va.
Plan de 90 días para una clínica
Días 1-30: inventario y contención
- Inventario de datos (la tabla de arriba, completa).
- Cifrado de todo lo que guarde datos sensibles, empezando por la máquina con las fichas.
- Respaldo cifrado y probado (restauración real, no solo "se hizo el respaldo").
- Sacar los datos de pacientes de WhatsApp y de las carpetas compartidas.
- Revisar el software: versión, parches, dependencias. Si corre sobre Node, escanea las dependencias con npmsecure: una clínica con software viejo es una clínica con vulnerabilidades conocidas sin enterarse.
Días 31-60: consentimiento y procedimiento
- Rediseñar el consentimiento, destacando por separado los usos sensibles.
- Crear el procedimiento de derechos del titular y el formulario de solicitud.
- Actualizar la política de privacidad y los avisos de cartillas.
- Capacitar al equipo: por qué no se usa WhatsApp y qué se puede decir por teléfono.
Días 61-90: control y mejora
- Centralizar los registros y revisar los accesos.
- Testear el plan de respuesta a incidentes: WarRoom para tener la alerta, el responsable, la línea de tiempo y el reporte listos antes de necesitarlos.
- Revisión trimestral del inventario: los datos cambian más rápido que los sistemas.
Qué aporta Personnn a una clínica
- Privacy: inventario de datos, consentimientos, políticas, procedimiento de derechos del titular y capacitación.
- Higiene: revisión de la seguridad de los sistemas que ya usas (versiones, parches, dependencias).
- npmsecure: escaneo de vulnerabilidades en las dependencias del software que corre tu ficha clínica.
- Inference: IA local para transcribir o resumir consultas sin sacar la historia clínica de la clínica.
- WarRoom: respuesta a incidentes lista antes de que ocurra, con roles y documentación.
No prometemos que un plan de 90 días te deje "100% conforme". Prometemos que vas a saber qué datos tienes, dónde están, quién los ve y qué hacer el 1 de diciembre de 2026.
Checklist mínimo para el 1 de diciembre
- Inventario de datos personales y sensibles completo
- Consentimientos actualizados, destacados y registrados
- Datos sensibles cifrados en reposo y en tránsito
- Control de acceso por roles, sin claves compartidas
- Respaldos cifrados y con restauración probada
- Procedimiento de derechos del titular publicado y operable
- Política de privacidad y avisos actualizados
- Equipo capacitado
- Software y dependencias revisados
- Plan de respuesta a incidentes definido y con responsable
Si tienes tres o más casillas sin marcar, tu clínica no está lista para el 1 de diciembre de 2026. Y el proyecto de postergación no está aprobado: no cuentes con eso.
Próximos pasos
Si tu clínica necesita ordenarse antes de esa fecha, Personnn puede hacerte la evaluación inicial y el plan. Contáctanos.
Fuentes consultadas: Ley 21.719 (Chile) — protección de datos personales y categorías especiales. Boletín 18.623-07 (Senado de Chile) — proyecto de postergación, aprobado en general por la Comisión de Constitución el 20 oct 2026, pendiente de aprobación en pleno y promulgación. Reporte "Think Ahead" de Security Ecosystem Knowledge (SEK), datos 2025, publicado en rga.cl el 1 jul 2026 (escaneos activos atribuidos a FortiGuard Labs/Fortinet). Personnn (personnn.com) — descripción de Privacy, Higiene, npmsecure, Inference y WarRoom.