La protección de la información clínica ya es una obligación para los centros de terapias. Hoy se aplican la Ley 19.628, la Ley 20.584 y el reglamento de fichas clínicas. La Ley 21.719 modifica la Ley 19.628 y su régimen general entra en vigencia el 1 de diciembre de 2026; no elimina las obligaciones sanitarias existentes.
Esta guía distingue las reglas vigentes de la preparación para diciembre. Última revisión: 6 de octubre de 2026, sobre los textos oficiales enlazados al final.
Qué debes hacer hoy con la ficha clínica
La ficha reúne información de la atención y documentos que la sustentan. Una derivación o un informe de otro profesional puede integrarla: que el archivo provenga de otro centro no lo convierte en un documento prescindible.
- Conservación: al menos quince años desde la última incorporación de información a la ficha, según el artículo 11 del DS 41. El plazo corresponde al expediente, no a la antigüedad aislada de cada adjunto.
- Integridad y confidencialidad: preservar el contenido y sus modificaciones, limitar accesos y contar con respaldo y recuperación.
- Acceso del paciente: la Ley 20.584 reconoce a las personas habilitadas la copia íntegra, gratuita y sin dilaciones indebidas, en las condiciones de su artículo 13. No establece allí un plazo general de cinco días hábiles ni un cobro ordinario de reproducción.
- Autorización: verifica la identidad del solicitante y, cuando corresponda, su representación o poder. Entrega la información por un canal que proteja su confidencialidad.
La disponibilidad de un documento en el portal no determina todo el alcance del derecho de acceso. Tampoco basta llamar «privada» a una nota para excluirla de una solicitud de copia de la ficha. El centro debe revisar su contenido, las reglas aplicables y los derechos de terceros.
Fuente: Ley 20.584, artículos 12 y 13 y DS 41, reglamento de fichas clínicas.
Consentimiento para atención y tratamiento de datos
El consentimiento asistencial y la base jurídica para tratar datos cumplen funciones distintas. Para la atención, la regla general admite consentimiento verbal; determinados procedimientos requieren constancia escrita y existen excepciones legales. En salud digital también hay reglas específicas de registro.
Para tratar datos de salud, identifica la autorización legal aplicable a cada finalidad. No todo tratamiento asistencial depende de una casilla de consentimiento: existen supuestos legales que permiten tratar esos datos sin él. Una autorización para atender al paciente tampoco habilita automáticamente publicidad, investigación o envío de información a una herramienta de IA.
Separa esas finalidades y explica qué información recibirá cada proveedor. Distingue los datos de salud de otros datos del negocio; no toda la información de un centro es sensible por el solo hecho de estar almacenada allí.
Fuentes: Ley 20.584, artículos 14 y 15, Ley 19.628 vigente y Ley 21.719, régimen de datos sensibles y de salud.
Qué cambia desde diciembre de 2026
La reforma crea la Agencia de Protección de Datos Personales y refuerza los deberes de seguridad, transparencia y responsabilidad. Para preparar los procedimientos del centro, considera estas diferencias:
| Tema | Regla que debes considerar |
|---|---|
| Solicitudes de derechos | Respuesta del responsable dentro de 30 días corridos, prorrogables una vez por hasta otros 30 días corridos. No confundir con plazos de reclamación ante la Agencia. |
| Vulneraciones de seguridad | Aviso a la Agencia sin dilaciones indebidas cuando concurre el supuesto de riesgo previsto en la ley; comunicación a titulares en los casos correspondientes. No existe una regla general de 72 horas. |
| Delegado de protección de datos | Forma parte del modelo voluntario de prevención del artículo 49. No hay una obligación general automática por tratar datos sensibles a gran escala. |
| Portabilidad general | Aplica bajo las condiciones legales, entre ellas tratamiento automatizado basado en consentimiento. Es distinta de la entrega de información clínica que ya reconoce la Ley 20.584. |
| Evaluación de impacto | Es previa al tratamiento de alto riesgo y obligatoria en los supuestos del artículo 15 ter, incluidos el tratamiento masivo o a gran escala y los datos sensibles bajo excepciones al consentimiento. |
El régimen sancionatorio distingue infracciones leves, graves y gravísimas. La sanción depende de la conducta y de los criterios legales, no de que el centro use papel o un software determinado.
Fuente: Ley 21.719, artículos 9, 11, 14 sexies, 15 ter, 34 y siguientes, y 49.
Menores de edad y representantes
Verifica quién puede representar al paciente y considera su autonomía progresiva y derecho a ser oído. Tener registrado a alguien como contacto, pagador o apoderado en un sistema no acredita por sí solo todas las facultades para acceder a la ficha.
La reforma distingue las reglas generales de niños y adolescentes y establece una regla especial para datos sensibles de adolescentes menores de dieciséis años, con las excepciones legales correspondientes. No reemplaza las reglas de consentimiento asistencial ni las resoluciones judiciales que puedan existir.
Fuentes: Ley 20.584, artículo 14 y Ley 21.719, artículo 16 quáter.
Cómo preparar al equipo del centro
Un plan útil debe permitir demostrar qué ocurre con la información, desde su ingreso hasta su entrega o eliminación procedente:
- Inventariar categorías de datos, finalidades, autorizaciones, proveedores y ubicaciones.
- Revisar permisos de secretaría, administración, terapeutas y soporte según sus funciones efectivas.
- Separar consentimientos opcionales y registrar su otorgamiento y revocación.
- Documentar la relación con proveedores y las condiciones de transferencias internacionales.
- Probar la recuperación conjunta de registros y archivos. Tener respaldos no demuestra por sí solo que se puede reconstruir una ficha.
- Definir un procedimiento de solicitudes: recepción, identidad, revisión, respuesta y evidencia de entrega.
- Preparar la respuesta a incidentes, sus responsables y los criterios de notificación.
- Revisar conservación por finalidad y la disposición final cuando sea legalmente procedente.
- Evaluar riesgos antes de incorporar nuevos usos de IA o datos sensibles.
Una solicitud de supresión no autoriza a destruir información que deba conservarse legalmente. El centro debe explicar la decisión y distinguir esa información de datos destinados a finalidades que ya terminaron.
Qué puede aportar un software de gestión
Una ficha digital, el historial documental, los permisos, el registro de consentimientos y la auditoría ayudan a organizar los controles. Deben acompañarse de procedimientos, contratos, capacitación y pruebas de recuperación.
Lexa dispone de herramientas para gestionar fichas, consentimientos, estados documentales y publicación en el portal. Estas funciones no equivalen a una certificación de cumplimiento, ni acreditan por sí solas conservación durante quince años o una exportación completa del expediente. El centro debe comprobar el alcance de sus herramientas y de sus procedimientos de entrega.
Preguntas frecuentes
¿La Ley 21.719 ya está vigente?
Su régimen general entra en vigencia el 1 de diciembre de 2026. Mientras tanto, siguen aplicando la Ley 19.628 vigente y las obligaciones sanitarias de la Ley 20.584 y su reglamento.
¿Cuánto tiempo tengo para responder una solicitud de derechos?
Desde la entrada en vigencia de la reforma, el artículo 11 contempla 30 días corridos, prorrogables una vez por hasta otros 30 días corridos. La copia de la ficha clínica tiene además su regla sanitaria de entrega gratuita y sin dilaciones indebidas; no uses ese plazo general para postergar una entrega clínica.
¿Debo notificar una brecha en 72 horas?
La Ley 21.719 exige notificar a la Agencia sin dilaciones indebidas cuando se cumple el supuesto legal de riesgo. Debes analizar también cuándo corresponde comunicarla a los titulares. Un plazo interno de respuesta no sustituye esas obligaciones.
¿Necesito un delegado de protección de datos para mi centro?
No hay una obligación general automática por tener muchos pacientes o tratar datos sensibles. El delegado integra el modelo voluntario de prevención del artículo 49. Asignar responsables de privacidad sigue siendo una decisión organizativa útil.
¿Qué pasa si un paciente pide eliminar su ficha?
El centro debe revisar la solicitud y explicar las obligaciones de conservación aplicables. El DS 41 exige al menos quince años desde la última incorporación de información a la ficha. Esto no justifica conservar indefinidamente todo dato comercial o administrativo.
¿Puedo usar WhatsApp para comunicarme con pacientes?
Debes evaluar finalidad, destinatario, contenido, seguridad y condiciones del proveedor. Para coordinación, limita el mensaje a lo necesario; evita incluir antecedentes clínicos en notificaciones. El nombre de la aplicación no acredita por sí solo que un envío de datos de salud esté autorizado o protegido.
¿Mi proveedor de software asume toda la responsabilidad?
El centro conserva sus obligaciones como responsable de los tratamientos que decide. El proveedor tiene las obligaciones que correspondan a su función. Un contrato o una función del software no traslada automáticamente toda la responsabilidad.
Fuentes oficiales
- Ley 19.628 sobre protección de la vida privada.
- Ley 20.584 sobre derechos y deberes en atención de salud.
- DS 41 sobre fichas clínicas.
- Ley 21.719 que reforma la protección de datos personales.