La ley de datos y la oportunidad que tiene la red de salud pública

En diciembre de 2026 entra en vigencia la Ley 21.719, que reemplaza una norma de protección de datos de 1999, después de treinta años. Se ha discutido casi exclusivamente en clave política, y eso me parece un error de enfoque. Quien gestiona salud debería mirarla desde otro ángulo, preguntándose qué cambia en la relación entre la red asistencial y los datos de millones de pacientes, y qué se puede empezar a hacer ya, sin esperar a que llegue diciembre, para que ese cambio termine siendo una oportunidad y no un problema mal administrado.

El punto de partida técnico no es complicado. La ley reconoce los datos de salud como una categoría de dato sensible y exige consentimiento y seguridad reforzados. Pero hay un elemento en el artículo 44 que a los organismos públicos les conviene entender bien. Hace responsable directo al jefe superior del servicio, no solo a la institución, cuando la infracción involucra datos sensibles. Yo no lo leería como una amenaza. Es, más bien, una señal de que la gobernanza de datos en salud dejó de ser un tema técnico y pasó a ser también un tema directivo, algo que muchos directores todavía no han asumido.

Esa lectura se confirma si uno mira lo que ya pasó en la red pública, incluso sin la ley vigente todavía. El ciberataque al Instituto de Salud Pública en 2025 retrasó resultados de VIH y hepatitis. Fonasa sufrió un incidente en 2023. Este año se detectó una filtración de datos sensibles en el Servicio de Salud Araucanía Sur. No son casos aislados. Es la misma historia repitiéndose, sistemas que se digitalizaron rápido mientras la gobernanza de la información se quedó atrás. La ley no inventa ese riesgo. Simplemente lo pone sobre la mesa, con nombre y con consecuencias para quien lo administra.

El diagnóstico de preparación institucional tampoco es alentador, aunque sí es útil. El Ministerio de Salud todavía no emite un instructivo formal para los servicios, y la guía transversal para el sector público no incluye un instrumento de evaluación de impacto, pese a que la ley lo exige para tratamientos de alto riesgo como la ficha clínica electrónica o los algoritmos que priorizan listas de espera.

Fonasa y el ISP, justo las instituciones que ya vivieron un incidente, no han contado públicamente cuál es su plan. Y el segmento menos atendido de todos es la atención primaria municipal. Cerca de 345 municipios administran consultorios con capacidades técnicas muy distintas entre sí, y por esa red pasan 57 millones de atenciones al año. Cerrar esa brecha es, a mi juicio, la tarea más urgente y la de mayor impacto para la población.

Pero nada de esto se resuelve solo con protocolos y perfiles de cargo. Lo que hay detrás de la ley, en el fondo, es un cambio cultural, y ese cambio cultural es lo que más le va a costar a la red, más que cualquier ajuste técnico. Durante años el dato del paciente circuló con la lógica de la urgencia asistencial. Se compartía por WhatsApp entre turnos, se imprimía sin mayor cuidado, se guardaba en planillas personales porque el sistema oficial no daba abasto. Pedirle a un funcionario de un CESFAM saturado que piense dos veces antes de mandar una ficha por el canal más rápido que tiene a mano no es un simple ajuste de procedimiento. Ahí está la verdadera dificultad de esta ley, más que en el articulado.

Se trata de lograr que miles de personas, con distintos niveles de formación y con la presión diaria de atender pacientes, incorporen una manera distinta de tratar la información, y eso toma tiempo, capacitación sostenida y, probablemente, algunos tropiezos antes de que se asiente.

Ante esto, hay pasos que la red puede tomar sin esperar más instrucciones, y que ya se han probado en experiencias iniciales dentro del sector. Designar un responsable de protección de datos, con el personal ya disponible, tal como permite la propia ley. Construir un mapa de los tratamientos más sensibles, partiendo por la ficha clínica y siguiendo con los sistemas de agendamiento, telemedicina y laboratorio. Y definir protocolos de respuesta ante incidentes que sean simples y que se puedan activar en menos de 24 horas, en lugar de procedimientos extensos que en la práctica nadie llega a aplicar. El Departamento de Estadísticas del Minsal ya confeccionó perfiles de cargo para esta función, un recurso que buena parte de los servicios ni siquiera ha revisado.

También tiene sentido pensar en metas por etapas. Llegar a un nivel base de cumplimiento antes de diciembre, priorizando los tratamientos de mayor riesgo, y dejar el resto para los primeros meses de vigencia, apoyándose en instrumentos que ya existen, como los compromisos de desempeño colectivo. Para la atención primaria municipal en particular, un plan diferenciado, que reconozca su doble dependencia y sus capacidades desiguales, evitaría que el segmento con más atenciones termine siendo también el más expuesto.

En el fondo, la ley obliga a responder una pregunta de gestión, no solo de cumplimiento. Quién es responsable de cada dato, quién puede acceder a él y para qué. Responder eso con anticipación, y no después del próximo incidente, es lo que separa a un servicio que se limita a cumplir la norma de uno que construye, de paso, una red de salud en la que la gente pueda confiar.