Desde el 1 de diciembre de 2026 rige la nueva ley de datos personales. Qué te exige si atiendes pacientes, qué derechos tienen ellos, los plazos para responder y las multas. Con los artículos citados.
Modifica a fondo la Ley 19.628 sobre protección de la vida privada, que regía desde 1999.
Si llevas la ficha de tus pacientes, eres responsable de esos datos, aunque atiendas sola o solo y aunque la ficha esté en un software. El software, la planilla en la nube o el correo que uses son encargados: tratan los datos por tu cuenta, según tus instrucciones, y no pueden usarlos para otra cosa art. 15 bis.
Con cada encargado tiene que haber un contrato que fije el objeto del encargo, su duración, la finalidad, los tipos de datos, a quiénes se refieren y los derechos y obligaciones de las partes. La Agencia publicará modelos tipo de esos contratos art. 15 bis.
El deber de secreto o confidencialidad sobre los datos de una persona subsiste aun después de terminada la relación con ella, y tienes que procurar que lo cumplan también quienes tratan datos bajo tu responsabilidad art. 14 bis. Vulnerarlo respecto de datos sensibles es una infracción gravísima art. 34 quáter.
Los datos de salud son datos sensibles art. 2, letra g, y solo pueden tratarse para los fines previstos por las leyes sanitarias art. 16 bis. Esto es lo que cambia para quien atiende:
La ley no exige lo mismo a todos: los estándares mínimos de información y seguridad se fijarán considerando el tipo de datos, si el responsable es persona natural o jurídica, su tamaño y el volumen de datos que trata. Los determinará la Agencia mediante instrucciones generales art. 14 septies.
Cada paciente, por sí o a través de su representante, puede pedirte arts. 4 a 8 ter:
El bloqueo temporal, en cambio, se responde dentro de dos días hábiles, y mientras no lo resuelvas no puedes tratar esos datos art. 11. Si rechazas una solicitud, tienes que fundarlo y avisarle a tu paciente que tiene 30 días hábiles para reclamar ante la Agencia.
La supresión no procede cuando el tratamiento es necesario para cumplir una obligación legal art. 7, y la ficha clínica se conserva al menos quince años desde el último registro (Decreto 41, artículo 11). Se responde por escrito, dentro del plazo, explicando ese motivo. El detalle de la conservación está en nuestra guía de la ficha clínica.
La ley crea la Agencia de Protección de Datos Personales, que fiscaliza, resuelve los reclamos de las personas y aplica sanciones arts. 30 y 30 bis. Las infracciones se clasifican en tres niveles arts. 34 bis a 35:
Durante los primeros doce meses de vigencia, cuando corresponda sancionar a empresas de menor tamaño, la Agencia podrá aplicar una amonestación escrita en vez de multa artículo sexto transitorio. Las sanciones quedan en un Registro Nacional de Sanciones y Cumplimiento art. 39.
Lo que la ley le pide al sistema donde llevas a tus pacientes, ya resuelto:
Lo que sigue siendo tuyo como responsable: informar a tus pacientes cómo tratas sus datos, responder sus solicitudes y reportar a la Agencia si hay una vulneración.
Desde el 1 de diciembre de 2026. La ley se publicó el 13 de diciembre de 2024 y sus cambios a la Ley 19.628 entran en vigencia el primer día del mes vigésimo cuarto posterior a esa publicación (artículo primero transitorio).
Sí. La ley llama responsable de datos a toda persona natural o jurídica que decide para qué y cómo se tratan los datos personales (art. 2, letra n). Si llevas la ficha de tus pacientes, eres responsable de esos datos.
La ley permite tratar datos de salud sin consentimiento cuando es necesario para prestar asistencia o tratamiento sanitario (art. 16 bis, letra e). Eso no reemplaza el consentimiento informado para la atención que exige la Ley 20.584, que es otra obligación y sigue vigente.
Puede pedirlo, pero la supresión no procede cuando el tratamiento es necesario para cumplir una obligación legal (art. 7). La ficha se conserva al menos 15 años desde el último registro (art. 11 del Decreto 41), así que se responde por escrito explicando ese motivo.
Treinta días corridos desde que la recibes, prorrogables por una sola vez hasta por otros treinta. Si te piden el bloqueo temporal de sus datos, tienes dos días hábiles (art. 11).
Si hay un riesgo razonable para sus derechos, tienes que reportarlo a la Agencia sin dilaciones indebidas y, como se trata de datos sensibles, avisar también a cada paciente afectado en lenguaje claro (art. 14 sexies).
Hasta 5.000 UTM por infracciones leves (o una amonestación escrita), hasta 10.000 UTM por graves y hasta 20.000 UTM por gravísimas (art. 35). Durante el primer año, a las empresas de menor tamaño la Agencia puede aplicarles una amonestación escrita en vez de multa (artículo sexto transitorio).
El software actúa como encargado: trata los datos por tu cuenta y según tus instrucciones. La ley exige un contrato que fije el objeto, la duración, la finalidad, los tipos de datos y las obligaciones de cada parte (art. 15 bis). Tú sigues siendo la o el responsable.
Ficha clínica, consentimientos y el canal de derechos de tus pacientes, en un solo lugar.
7 días gratis · Sin tarjeta · Después, $11.990/mes
Dudas sobre MindSession, al tiro
Hola. ¿Tienes dudas sobre MindSession? Elige una pregunta o escríbeme la tuya.
