En una consulta pequeña, los datos de un paciente casi nunca viven en un solo lugar. Su nombre y teléfono están en la agenda online. La confirmación de la hora pasa por el correo o la mensajería. La evolución está en la ficha electrónica, y quizás hay una planilla de respaldo en la nube.
Cada uno de esos servicios trata datos de tus pacientes, pero la responsabilidad no se traslada con ellos. Para la nueva ley de datos personales, quien decide para qué y cómo se usan esos datos sigue siendo el profesional o el centro. Los proveedores actúan por su cuenta.
Eso tiene una consecuencia práctica: la ley te entrega, sin decirlo así, una lista de preguntas que deberías poder hacerle a cada proveedor. Este artículo las ordena.
Situación revisada al 12 de octubre de 2026.
Tu consulta es responsable; tus proveedores son "encargados"
La Ley 21.719 distingue dos papeles:
- Responsable de datos: quien "decide acerca de los fines y medios del tratamiento de datos personales" (artículo 2, letra n). En una consulta, es el profesional o el centro.
- Tercero mandatario o encargado: quien trata datos personales por cuenta del responsable (artículo 2, letra x). Es el papel de la agenda online, el correo, la ficha electrónica o el servicio de almacenamiento cuando guardan o procesan información de tus pacientes.
El artículo 15 bis regula esa relación. Exige un contrato que establezca el objeto, la duración, la finalidad, el tipo de datos, las categorías de titulares y los derechos y obligaciones de las partes. También fija deberes para el encargado:
- tratar los datos solo según el encargo y las instrucciones del responsable;
- cumplir los deberes de confidencialidad y de seguridad;
- reportar al responsable cualquier vulneración de seguridad;
- no delegar el encargo en otros sin autorización específica y por escrito;
- suprimir o devolver los datos cuando el encargo termina.
Si el encargado usa los datos para otro fin o los cede sin autorización, la ley lo considera responsable de datos. Además, responde solidariamente con el responsable por los daños. Eso no libera a la consulta: elegir un proveedor y entregarle datos de salud sigue siendo una decisión suya.
Dónde están hoy los datos de tus pacientes
Antes de preguntarle algo a un proveedor, conviene saber cuántos tienes. Este es el inventario típico de una consulta pequeña:
Servicio | Qué datos suele tener | Sensibilidad |
|---|---|---|
Agenda online | Nombre, RUT, contacto, previsión, tipo de atención, historial de reservas, notas | Media a alta: una hora con un psiquiatra o un psicólogo ya revela algo sobre la salud |
Ficha clínica electrónica | Motivo de consulta, diagnóstico, evolución, indicaciones | Alta: datos de salud en sentido estricto |
Correo electrónico | Confirmaciones, exámenes adjuntos, informes, conversaciones | Variable, y a menudo alta por los adjuntos |
Mensajería | Coordinación de horas, fotos, audios, consultas informales | Variable y difícil de controlar |
Almacenamiento en la nube y planillas | Listados de pacientes, respaldos, informes | Variable |
Pagos y boletas | Nombre, RUT, monto, fecha de atención | Media |
Videollamadas y herramientas con IA | Imagen, voz, transcripciones | Alta si registran o procesan la consulta |
Para la ley, todos los datos de salud son sensibles (artículo 2, letra g), aunque no todos los servicios los traten con la misma intensidad.
Una forma directa de reducir el riesgo es que cada servicio guarde solo lo que necesita. La agenda debería tener lo necesario para agendar, confirmar y cobrar. La información clínica debería quedar en la ficha, no en notas de la reserva ni en conversaciones de chat. Lo desarrollamos en qué pedir al paciente cuando reserva.
Diez preguntas para hacerle a cada proveedor
Cada pregunta sale de una regla concreta de la ley. Si un proveedor no puede responderlas por escrito, esa falta de respuesta ya es información útil.
# | Pregunta | Qué respuesta buscar | Base en la ley |
|---|---|---|---|
1 | ¿Actúas como encargado de los datos de mis pacientes y en qué documento consta? | Un contrato o condiciones de servicio que reconozcan ese rol | Art. 2 x) y art. 15 bis |
2 | ¿Para qué usas los datos y para qué no? | Que se usen solo para prestar el servicio y nunca para publicidad propia, venta o entrenamiento de modelos sin autorización | Art. 15 bis (uso conforme al encargo) |
3 | ¿Qué otras empresas procesan los datos por tu cuenta? | Una lista de subencargados y el compromiso de no agregar otros sin avisar | Art. 15 bis (delegación solo con autorización escrita) |
4 | ¿En qué país se guardan los datos? | Ubicación declarada y, si están fuera de Chile, las garantías que se aplican | Arts. 27 y 28 (transferencia internacional) |
5 | ¿Cómo se protege la información? | Medidas concretas: cifrado, control de accesos, respaldos, monitoreo | Art. 14 quinquies (deber de seguridad) |
6 | ¿Puedo dar a cada persona de mi equipo solo el acceso que necesita? | Usuarios individuales con permisos distintos, sin claves compartidas | Art. 14 quinquies y art. 14 bis (confidencialidad) |
7 | ¿Queda registro de quién vio o cambió un dato? | Historial de actividad por usuario | Art. 14 quinquies (verificar la eficacia de las medidas) |
8 | Si hay un incidente, ¿cómo y en cuánto tiempo me avisas? | Un procedimiento y un plazo de aviso al cliente | Art. 15 bis (deber de reportar) y art. 14 sexies |
9 | ¿Puedo exportar los datos de un paciente si me los pide? | Exportación en un formato usable | Derechos de acceso y portabilidad (art. 14 ter, letra f) |
10 | ¿Qué pasa con los datos si dejo de usar el servicio? | Devolución o eliminación verificable dentro de un plazo | Art. 15 bis (supresión o devolución al terminar) |
Las preguntas que más se olvidan
La pregunta 3 suele sorprender. Un servicio puede guardar los datos en una infraestructura de terceros, enviar mensajes a través de otra empresa o usar un proveedor de inteligencia artificial para transcribir o responder. Cada uno es un eslabón más. La ley exige que esa delegación cuente con autorización escrita del responsable.
La pregunta 10 es la que se descubre tarde: al cambiar de sistema. Conviene saber de antemano si podrás llevarte la información y si la anterior se eliminará.
Cuando el "proveedor" es una cuenta personal
Muchas consultas coordinan horas con un correo o un número de mensajería personal. El problema no es la herramienta en sí. El problema es que una cuenta personal no está pensada para que un profesional gestione datos de terceros como responsable: no suele haber un contrato de encargo, ni roles para el equipo, ni forma de recuperar la información si quien la administra deja la consulta.
Lo práctico es mover la coordinación de horas a sistemas profesionales y dejar la mensajería solo para avisos que no contengan información clínica.
Cómo responde Zagenda a estas preguntas
Zagenda es un proveedor de agenda online para profesionales y centros de salud, así que estas preguntas también nos aplican. Estas son nuestras respuestas.
Qué datos tratamos. Zagenda está diseñada como agenda, no como ficha clínica. Gestiona los datos de contacto de cada paciente, el historial de reservas, los recordatorios y las notas para la próxima atención. No está pensada para almacenar información médica. En términos prácticos, la información clínica queda en la ficha que el profesional elija, y la agenda trata solo lo necesario para agendar, confirmar y recordar.
Encargados y transferencias. Según nuestra política de privacidad:
- los datos se comparten con encargados únicamente bajo contrato de confidencialidad y seguridad;
- si hay una transferencia internacional, se exige que el país receptor ofrezca un nivel de protección equivalente al chileno.
Cuando se usa el asistente de reservas por voz, la política informa que intervienen proveedores externos de inteligencia artificial, que pueden estar fuera de Chile. Esos proveedores reciben solo la información mínima necesaria y no usan los datos para entrenar sus modelos.
Seguridad. La información viaja cifrada entre tu dispositivo y nuestros servidores, y también se guarda cifrada.
Accesos. Cada persona del equipo entra con su propio usuario, con roles y permisos según su función. Así, la recepción y cada profesional ven solo lo que necesitan, sin claves compartidas.
Registro de actividad. Cada reserva guarda un historial de cambios por usuario: quién la creó, la modificó o la canceló, y cuándo.
Respaldos. La información se respalda de forma automática y periódica, para recuperarla ante una falla.
Ubicación de los datos. Los datos se alojan en servidores con medidas de seguridad física y lógica.
Incidentes. Si ocurre un incidente que afecte los datos de tus pacientes, nos comprometemos a avisarte para que puedas cumplir tus propias obligaciones de reporte.
Salida del servicio. Si decides dejar Zagenda, puedes exportar tu información, y la eliminamos de nuestros sistemas al término del servicio.
Una agenda segura ayuda a cumplir una parte de las obligaciones, pero no las cumple por la consulta. La política de privacidad para pacientes, el uso que se da a los datos y la elección del resto de los proveedores siguen siendo decisiones del profesional o del centro.
Qué hacer si un proveedor no responde
No todos los proveedores tendrán hoy respuestas completas, sobre todo porque la Agencia aún no publica sus modelos. Un camino razonable:
- Ordena por sensibilidad. Empieza por la ficha clínica y la agenda, que concentran más datos de salud.
- Pide las respuestas por escrito. Una conversación telefónica no sirve como respaldo.
- Reduce lo que entregas. Si un servicio no responde bien, entrégale menos datos. Una herramienta de mensajería, por ejemplo, puede quedar solo para avisos sin contenido clínico.
- Decide antes de diciembre. Cambiar de sistema toma tiempo. Si la fecha legal se mantiene, conviene llegar a ella con los proveedores ya revisados.
La seguridad del sistema que eliges es tan importante como lo que haces dentro de tu consulta. Lo explicamos con más detalle en IA y ciberseguridad en centros de salud.
Este contenido tiene fines informativos y no constituye asesoría jurídica. La aplicación de la Ley 21.719 puede depender de cómo esté organizada cada consulta y de las instrucciones que dicte la Agencia de Protección de Datos Personales cuando entre en funciones.
Referencias
Diario Oficial de la República de Chile. 2024. Ley N° 21.719, que regula la protección y el tratamiento de los datos personales y crea la Agencia de Protección de Datos Personales. Consultado el 12 de octubre de 2026 en https://www.diariooficial.interior.gob.cl/publicaciones/2024/12/13/44023/01/2583630.pdf
Senado de la República de Chile. 2026. Boletín 18623-07. Modifica la ley N° 21.719, que regula la protección y el tratamiento de los datos personales y crea la Agencia de Protección de Datos Personales, en el sentido que indica. Consultado el 12 de octubre de 2026 en https://tramitacion.senado.cl/appsenado/templates/tramitacion/index.php?boletin_ini=18623-07
Zagenda SPA. 2026. Política de privacidad. Consultado el 12 de octubre de 2026 en https://app.zagenda.net/privacidad
Zagenda SPA. s. f. Agenda online para centros y profesionales de salud. Consultado el 12 de octubre de 2026 en https://zagenda.net/cl/rubros/salud/
