Ley 21.719 y los datos de tus pacientes por WhatsApp: lo que tu clínica tiene que exigir

Desde el 1 de diciembre de 2026 rige en Chile la Ley 21.719 de protección de datos personales, y los datos de salud son datos sensibles: la categoría más protegida. La primera responsable frente a la ley es la clínica, no el proveedor del software. Por eso vale la pena saber qué preguntar antes de conectar un asistente al WhatsApp de tus pacientes.

Lo primero: la responsable es la clínica

La ley distingue dos papeles, y esa distinción es la que decide quién responde:

• El responsable es quien decide para qué se usan los datos. En este caso, la clínica.
• El encargado es quien los trata siguiendo instrucciones del responsable. En este caso, el proveedor del asistente.

Que el proveedor sea el encargado no libera a la clínica: la ley le exige elegir proveedores que den garantías y dejarlo por escrito en un contrato de encargo. Si mañana hay un problema, la que aparece en primera línea es la clínica.

Por eso la pregunta no es «¿tu sistema cumple?», sino «¿qué me firmas y qué me entregas para que yo pueda cumplir?».

Qué cambia cuando los datos son de salud

Los datos de salud son sensibles. En la práctica, para una clínica que usa WhatsApp eso significa cuatro cosas:

1. Hay que tener una base legal clara para tratarlos. La atención de salud tiene su propia vía en la ley; el uso comercial de esos mismos datos, no.
2. Se pide más cuidado técnico: control de accesos, registro de quién ve qué, y borrado cuando ya no se necesitan.
3. El paciente tiene derechos que hay que poder cumplir en plazo: saber qué datos tienes de él, corregirlos, eliminarlos y oponerse.
4. Mandar publicidad es otra cosa que atender. Escribirle a un paciente antiguo para ofrecerle una promoción no se ampara en la atención de salud: necesita su consentimiento y una forma fácil de darse de baja.

Esa cuarta es la que más se salta la industria, y es la más fácil de comprobar desde fuera: basta con recibir la promoción.

Las diez preguntas que le tienes que hacer a tu proveedor

Sirven para cualquier proveedor, no solo para nosotros. Si alguna no te la responden por escrito, ahí tienes tu respuesta:

1. ¿Me firmas un contrato de encargo de tratamiento de datos?
2. ¿Dónde quedan guardadas las conversaciones y por cuánto tiempo?
3. ¿Qué terceros ven los datos —el proveedor de la inteligencia artificial, el hosting, la mensajería— y en qué país están?
4. Si un paciente pide que borren todo lo suyo, ¿lo pueden hacer en todos los sistemas y en cuántos días?
5. ¿Me entregan lo que necesito para el aviso de privacidad de mi clínica?
6. ¿Cómo se da de baja un paciente de los mensajes que no son de su atención?
7. ¿Qué pasa con mis datos si dejo de ser cliente?
8. ¿Hay registro de quién entró al panel y qué vio?
9. ¿Qué se hace si hay una filtración, y en cuánto tiempo me avisan?
10. ¿Qué información de salud viaja por WhatsApp y cuál no?

Lo que nosotros decidimos no hacer, y por qué

Tres reglas que aplicamos en las clínicas que atendemos, y que existen justamente por esto:

• Los resultados de exámenes no salen por WhatsApp. El asistente puede avisar que están listos; la entrega va por el canal que defina la clínica.
• No se pregunta el motivo de consulta cuando no hace falta para agendar. Menos datos sensibles escritos, menos exposición.
• La campaña a pacientes antiguos lleva baja. Quien pide que no le escriban queda fuera, y queda registrado.

Y una cosa que decimos derecho: la ley empieza a regir el 1 de diciembre de 2026 y la adecuación es un trabajo que la clínica hace con su abogado. Nosotros aportamos la parte técnica y el contrato de encargo; no vendemos un sello de cumplimiento, porque quien lo venda te está vendiendo humo. Esta página es información general, no asesoría legal.

Lo que está medido en clínicas que ya funcionan

Estos no son números de folleto: salen de los paneles de dos clínicas chilenas en marcha, con su ventana de tiempo delante. Se publican sin el nombre de la clínica por respeto a ellas.

Un centro médico de Temuco, en 44 días (14 de julio al 27 de agosto de 2026):

• 1.302 conversaciones atendidas. Una persona del equipo tuvo que meterse en 26 de ellas: el 98 % lo llevó el asistente solo.
• 105 citas agendadas por el propio asistente, contadas cuando la hora ya quedó escrita en el sistema de la clínica, no cuando el paciente dijo que sí.
• 1.524 recordatorios enviados: 1.028 el día antes y 496 el mismo día.
• 112 pacientes escribieron entre las 22:00 y las 8:00, 32 de ellos entre medianoche y las 7 de la mañana. Esas conversaciones las abrió el paciente: a esa hora el asistente no manda nada.
• 302 de las 1.302 (23,2 %) llegaron con la clínica cerrada, de noche o el fin de semana.

Una clínica dental de Santiago, en la campaña de pacientes que no volvían (julio y agosto de 2026):

• 260 mensajes entregados de verdad —contados por el acuse de entrega, no por lo que salió de la cola—, 41 personas respondieron y 25 volvieron a agendar.
• $1.699.000 entraron a caja de 12 de esas 25 familias, cruzado con los pagos registrados en el software de la clínica.

Lo que estos números no prueban: son dos clínicas, con su realidad, su equipo y su demanda. En el diagnóstico gratuito miramos la tuya antes de prometerte nada.

Qué mirar antes de firmar

Preguntas frecuentes