Desde el 1 de diciembre de 2026 rige la Ley 21.719, que moderniza la Ley 19.628 y crea la Agencia de Protección de Datos Personales. Para un ELEAM el cambio es concreto: la residencia trata a diario datos de salud, que la ley considera datos sensibles, y desde esa fecha debe poder demostrar que los usa para fines claros, que los protege, que responde a tiempo las solicitudes de residentes y familias, y que avisa las brechas de seguridad. Las multas pueden llegar a 20.000 UTM, según la gravedad de la infracción.
No tienes que dejar de registrar: el cuidado de salud sigue siendo una base válida para tratar los datos de tus residentes. Lo que cambia es el orden: quién accede, con qué proveedores y qué haces cuando algo falla.
Qué cambia con la Ley 21.719 en una residencia de personas mayores
La Ley 19.628, de 1999, no tenía un organismo que la fiscalizara. La Ley 21.719 crea la Agencia, que podrá fiscalizar y sancionar. Para un ELEAM, esto se traduce en cinco tareas:
- Informar a residentes y familias para qué se usan sus datos, con quién se comparten y cuánto tiempo se guardan, con una política disponible al público, con fecha y versión.
- Aplicar medidas de seguridad adecuadas al riesgo y poder demostrarlas si ocurre un incidente.
- Responder los derechos de las personas dentro de plazos fijos.
- Reportar las brechas de seguridad a la Agencia y, cuando hay datos de salud, a cada persona afectada.
- Firmar contratos con los proveedores que tratan datos por encargo de la residencia.
Esto se suma al Decreto 20: la carpeta personal de cada residente es de acceso restringido (art. 29 e) y quien conoce sus datos sensibles debe guardar reserva (art. 30).
Datos sensibles de salud: ¿necesito el consentimiento del residente?
No para cuidarlo. La Ley 19.628 modificada por la Ley 21.719 permite tratar sin consentimiento los datos de salud necesarios para la asistencia sanitaria o social (art. 16 bis). Las evoluciones, los signos vitales, los medicamentos y el plan de cuidados entran ahí, igual que la carpeta personal y los registros que exige el Decreto 20.
Lo que no es necesario para el cuidado sí requiere consentimiento expreso, por escrito y separado para cada fin. Por ejemplo:
- Enviar información de salud a familiares por WhatsApp o correo.
- Publicar fotos o videos de residentes en redes sociales, en la web o en el diario mural.
Si el residente no puede expresar su voluntad, decide su representante legal, y la residencia igual le explica en palabras simples.
Derechos de residentes y familias: los plazos que debes cumplir
Toda persona, por sí o mediante su representante, puede ejercer los derechos de acceso, rectificación, supresión, oposición, portabilidad y bloqueo (ARCO+P) sobre sus datos. Si el titular fallece, pueden ejercerlos sus herederos.
| Situación | Plazo |
|---|---|
| Responder una solicitud de acceso, rectificación, supresión, oposición o portabilidad | 30 días corridos, prorrogables una sola vez por 30 días más |
| Responder una solicitud de bloqueo | 2 días hábiles |
| Reclamar ante la Agencia si la respuesta es negativa o no llega a tiempo | 30 días hábiles para la persona |
Importante: la ficha clínica se conserva al menos 15 años desde el último registro (Decreto 41 de 2012 del Minsal). Si una familia pide borrar la carpeta, la residencia puede rechazar la supresión explicando el motivo y ofrecer otras medidas, como corregir o bloquear datos. Para no perder plazos, usa un formulario y un registro de solicitudes, como la solicitud de ejercicio de derechos sobre datos personales.
Qué hacer ante una brecha de seguridad de datos
Una brecha es cualquier falla en que datos personales se pierden, se filtran o quedan al alcance de quien no debía verlos. En una residencia suele ser cotidiana: una carpeta olvidada en la sala de espera de un hospital, un celular robado con fotos de residentes o un informe enviado por WhatsApp a la persona equivocada.
La ley exige reportar a la Agencia, por los medios más rápidos y sin demoras indebidas, las brechas que signifiquen un riesgo razonable para los derechos de las personas, y comunicarlas a cada afectado, en lenguaje claro, cuando incluyan datos sensibles como los de salud (art. 14 sexies). Omitir deliberadamente esa comunicación es una infracción gravísima. El protocolo ante brechas de seguridad de datos personales ordena los pasos: contener, avisar, evaluar, comunicar, registrar y corregir.
Software, contador y otros proveedores: los encargados del tratamiento
La residencia es la responsable de los datos: decide para qué y cómo se usan. Los proveedores que los manejan por cuenta de ella son encargados: el software clínico, el laboratorio, la contabilidad o la mantención informática. La ley exige un contrato que los obligue a seguir las instrucciones de la residencia, guardar secreto, aplicar medidas de seguridad y avisar las brechas que detecten.
Antes de contratar un software para ELEAM, pregunta dónde se guardan los datos, si hay permisos según el cargo, cómo se respaldan y qué pasa con ellos si terminas el contrato. Si los datos se guardan fuera de Chile, verifica que el país tenga un nivel adecuado de protección o que el contrato dé garantías adecuadas. En la Ficha Clínica ELEAM de MACA, MACA opera como encargado del tratamiento y el control de los datos queda en la residencia.
Papel o digital: ¿qué conviene para cumplir la ley?
La ley aplica igual a las carpetas en papel y a los sistemas digitales. Ninguno cumple por sí solo: lo que cuenta es cómo se usa.
| Exigencia | En papel | En digital |
|---|---|---|
| Acceso restringido | Mueble con llave y control de quién saca cada carpeta | Usuario y clave personal, con permisos según el cargo |
| Saber quién revisó qué | Registro manual de acceso y préstamo de carpetas | Historial de accesos del sistema, si lo tiene |
| Evitar pérdidas | Archivo protegido del agua y del fuego | Respaldos periódicos con prueba de recuperación |
| Eliminar al cumplir el plazo | Trituradora o empresa especializada, con acta | Borrado seguro, incluidos los respaldos |
El riesgo más común no es el sistema, sino las costumbres: pizarras con diagnósticos en el pasillo, grupos de WhatsApp con fotos de residentes y claves compartidas entre turnos.
Protección de datos en ELEAM: plan de 10 pasos para estar listo
- Designa a un coordinador(a) de protección de datos. En residencias pequeñas puede ser la dirección técnica o la administración.
- Haz un inventario de qué datos tienes, dónde están y quién accede a ellos (registro de actividades de tratamiento).
- Escribe tu política de protección de datos, con fecha y versión. Puedes partir del modelo de política de protección de datos para ELEAM.
- Separa lo que requiere consentimiento, como fotos y envíos a familiares, y pídelo por escrito.
- Ordena los accesos: carpetas bajo llave, permisos por cargo y registro de quién revisa las fichas.
- Pide un compromiso de confidencialidad al personal, a los practicantes y a los voluntarios.
- Firma una cláusula de encargo con cada proveedor que trate datos de la residencia.
- Habilita un canal de derechos con formulario, registro y control de plazos.
- Prepara la respuesta a brechas: protocolo, contactos a mano y registro de incidentes.
- Define plazos de conservación y capacita al equipo al ingresar y una vez al año, por ejemplo dentro de las 22 horas anuales del plan de capacitación que exige el Decreto 20.
Para saber por dónde partir, responde el test de protección de datos para ELEAM, que entrega un informe en PDF con tus prioridades.
¿Qué pasa si mi residencia no cumple?
Las infracciones se clasifican en leves, graves y gravísimas, y las multas pueden llegar a 20.000 UTM. La ley contempla además un modelo voluntario de prevención de infracciones, con un delegado de protección de datos, que ayuda a demostrar diligencia. Y una filtración de datos de salud daña algo más difícil de recuperar: la confianza de las familias.
Este artículo es referencial y no reemplaza una asesoría legal: valida tu plan con tu asesor antes del 1 de diciembre de 2026.
En la biblioteca de documentos de protección de datos encuentras 11 modelos gratuitos en Word y PDF, desde la política hasta el registro de incidentes. Y si quieres dejar el papel, la Ficha Clínica ELEAM trabaja con permisos por rol y puedes probarla gratis por 12 días.
Preguntas frecuentes
¿Cuándo entra en vigencia la Ley 21.719 de protección de datos?
El 1 de diciembre de 2026. Desde esa fecha la Agencia de Protección de Datos Personales podrá fiscalizar y sancionar, también a los ELEAM y residencias de personas mayores.
¿Un ELEAM necesita el consentimiento del residente para registrar sus datos de salud?
No para cuidarlo: la ley permite tratar sin consentimiento los datos de salud necesarios para la asistencia sanitaria o social. Los demás usos, como enviar información de salud a familiares por WhatsApp o publicar fotos, requieren consentimiento expreso y por escrito.
¿Cuánto plazo tiene una residencia para responder una solicitud de acceso a datos?
30 días corridos desde que la recibe, prorrogables una sola vez por 30 días más. Las solicitudes de bloqueo se responden dentro de 2 días hábiles.
¿Puede una familia exigir que la residencia borre la ficha clínica de su familiar?
No necesariamente. La ficha clínica debe conservarse al menos 15 años desde el último registro según el Decreto 41 de 2012 del Minsal, por lo que la residencia puede rechazar la supresión explicando el motivo y ofrecer otras medidas, como corregir o bloquear datos.
¿De cuánto son las multas de la Ley 21.719?
Las infracciones se clasifican en leves, graves y gravísimas, y las multas pueden llegar a 20.000 UTM según su gravedad. Omitir deliberadamente la comunicación de una brecha de seguridad es una infracción gravísima.
Normativa de referencia
- Ley 21.719, que regula la protección y el tratamiento de los datos personales y crea la Agencia de Protección de Datos Personales (Biblioteca del Congreso Nacional, leychile.cl)
- Ley 19.628 sobre protección de la vida privada, texto modificado por la Ley 21.719 (leychile.cl)
- Ley 20.584, que regula los derechos y deberes de las personas en relación con acciones vinculadas a su atención en salud (leychile.cl)
- Decreto 41 de 2012 del Ministerio de Salud, reglamento sobre fichas clínicas (leychile.cl)
- Decreto 20 de 2021 del Ministerio de Salud, reglamento de establecimientos de larga estadía para adultos mayores, texto vigente (leychile.cl)
Contenido referencial escrito por el equipo de MACA, que trabaja con ELEAM desde 2020, según la normativa chilena vigente al 4 de octubre de 2026. Valida su aplicación en tu residencia con tu dirección técnica y tu asesor.
