La Ley 21.719 en tu clínica dental: qué cambia y qué ya está resuelto con Dentalink

Partamos con un dato bastante obvio, pero que casi nunca se piensa así: la ficha de tu paciente no es solo un nombre y un teléfono. Es una radiografía panorámica, un plan de tratamiento de ortodoncia, una foto de antes y después de un blanqueamiento, el diagnóstico de una periodontitis. Para la nueva Ley de Protección de Datos Personales (Ley 21.719), todo eso es un dato sensible, exactamente en la misma categoría que un examen de sangre o una ficha psiquiátrica.

Eso cambia bastante el cálculo de riesgo para una clínica dental. No porque antes no importara cuidar esa información (siempre importó), sino porque desde el 1 de diciembre de 2026 existe una agencia fiscalizadora, hay multas concretas y hay un estándar claro de qué se espera de ti como responsable de esos datos.

Si tienes clínica dental y usas Dentalink, esto es lo que necesitas entender, separado en dos partes: qué exige la ley y qué de eso ya está resuelto en la plataforma que usas todos los días.

¿Por qué le importa esto justo a una clínica dental?

Porque a diferencia de un retail o una app de delivery, tú tratas datos de salud como parte del día a día normal de la atención. Cada ficha clínica, cada radiografía, cada indicación de tratamiento cae en la categoría más exigente que reconoce la ley: datos sensibles de salud. La regla general para tratarlos es el consentimiento, salvo que exista una ley sanitaria que autorice directamente ese tratamiento (que es justamente el caso de atender a un paciente).

La Ley 21.719 se publicó en diciembre de 2024, después de más de siete años de tramitación, tomando bastante del estándar europeo (el GDPR). Entra en plena vigencia el 1 de diciembre de 2026. Antes de esa fecha, la Agencia de Protección de Datos Personales ya va a tener poder para fiscalizar y sancionar, así que el margen para "ir viendo" se está achicando rápido.

¿Necesito pedirle consentimiento a mis pacientes para todo?

Esta es la confusión más común y también la más tranquilizadora una vez que la aclaras: no. Atender a un paciente tiene su propia base legal, no depende del consentimiento de tratamiento de datos. Agendar una hora, completar la ficha clínica, hacer seguimiento de un tratamiento de ortodoncia o emitir una boleta son parte de la atención misma y están cubiertos por la relación contractual y por obligaciones legales (como la ley sanitaria que te obliga a mantener la ficha clínica).

Donde sí necesitas un consentimiento específico, expreso y revocable es en todo lo que va más allá de la atención: campañas de WhatsApp avisando de una promoción de blanqueamiento, correos de fidelización, recordatorios comerciales que no están directamente ligados al tratamiento del paciente. Ahí la ley te pide algo previo, informado y que el paciente pueda revocar cuando quiera.

Vale la pena no confundir esto con el consentimiento informado de la Ley 20.584, que es el que firma un paciente antes de un procedimiento (por ejemplo, antes de una cirugía de terceros molares). Son dos cosas distintas que conviven: una autoriza el procedimiento de salud, la otra autoriza el uso de sus datos.

¿Qué pasa con las fotos de antes y después que subo a Instagram?

Aquí hay que tener cuidado real. Una foto de antes y después de una ortodoncia o un diseño de sonrisa es, sin ambigüedad, un dato de salud, aunque parezca solo "marketing visual". Publicarla sin un consentimiento expreso, específico para ese uso, es exactamente el tipo de tratamiento que la ley clasifica entre las infracciones más graves si se hace en contravención a la norma.

La solución práctica no es dejar de mostrar tus casos (son tu mejor vitrina), sino tener el consentimiento de ese paciente registrado y guardado, específico para uso en redes o en tu sitio web, separado del consentimiento general de atención. Si alguna vez te fiscalizan, lo que importa no es que hayas pedido permiso "de palabra", sino que puedas demostrarlo.

¿Qué pasa si un paciente me pide que borre su ficha?

Otro mito que genera bastante angustia: "si el paciente me lo pide, tengo que borrar todo". Falso. La Ley 20.584 (artículo 13) te obliga a conservar la ficha clínica por al menos 15 años, y ese deber legal prima por sobre el derecho de supresión que da la Ley 21.719. Los pacientes sí pueden ejercer derechos de acceso, rectificación, oposición o portabilidad sobre sus datos, pero el derecho a pedir que se elimine la ficha choca con una obligación sanitaria que es más fuerte. Ambos marcos conviven, no se anulan entre sí.

Multas: los números que hay que tener en la cabeza

La ley define tres tramos de infracciones. Las leves (incumplimientos de transparencia, respuestas fuera de plazo a un paciente) tienen un tope de 5.000 UTM. Las graves (tratar datos sin base legal, medidas de seguridad insuficientes, obstruir el ejercicio de derechos) llegan hasta 10.000 UTM. Las gravísimas, que incluyen tratar datos sensibles en contravención a la ley u omitir maliciosamente el reporte de una brecha, tienen tope de 20.000 UTM. En reincidencia, esos montos pueden triplicarse, y si es una empresa grande, la multa puede calcularse como porcentaje de los ingresos del año anterior.

La otra cara de esto: la fiscalización apunta a quien no hizo nada, no a quien se preparó. Y prepararse, para una clínica que usa un software clínico serio, es más simple de lo que suena.

¿Qué parte de esto ya cubre Dentalink por ti?

Esta es la parte que te debería sacar algo de peso de encima. Dentalink actúa como encargado del tratamiento de tus datos, mientras que tu clínica es la responsable: tú decides qué datos pides y para qué, la plataforma los trata según tus instrucciones y aporta la seguridad, los respaldos y la trazabilidad.

Concretamente, esto ya está resuelto:

• Seguridad certificada. Dentalink está certificado en ISO 27001:2022, auditado por un tercero externo, con cifrado de la información, control de accesos por rol y respaldos permanentes.
• Designación como Operador de Importancia Vital (OIV). Bajo la Ley Marco de Ciberseguridad, la plataforma está clasificada como infraestructura crítica del país, con reporte al CSIRT Nacional en plazos de alerta temprana de 3 horas. Esa protección extra la heredas sin hacer nada.
• Consentimientos gestionados y trazables. Cuando un paciente agenda online, el consentimiento queda registrado en el sistema. Si lo obtuviste por otro canal, lo marcas en la plataforma y eso habilita el envío de comunicaciones. Sin el checkbox marcado, la mensajería simplemente no sale, el sistema decide por ti sin depender de que alguien se acuerde.
• Trazabilidad automática. Quién modificó qué dato, cuándo y con qué permiso queda registrado sin que tengas que hacer nada extra. El día que exista una fiscalización, la evidencia ya existe.
• DPA suscrito, en línea con el estándar que exige la Ley 21.719 para la relación entre responsable y encargado.

¿Qué te queda a ti como dueño o dueña de la clínica?

La parte que sí te toca hacer es más manejable de lo que parece:

• Configurar y usar el consentimiento específico para marketing en la plataforma, especialmente para fotos y campañas.
• Responder las solicitudes de tus pacientes (acceso, rectificación) usando la información que ya está ordenada en el sistema.
• Notificar a la Agencia si ocurre una brecha, aunque Dentalink te avise a tiempo para llegar dentro del plazo de 72 horas.
• Capacitar a tu equipo en el uso correcto de roles y permisos, que ya hacen buena parte del trabajo pesado.

Al 29 de julio quedaban 125 días para el 1 de diciembre de 2026. Ese número solo baja. La buena noticia es que si ya trabajas con Dentalink, la infraestructura pesada (la certificación, la trazabilidad, el consentimiento capturado) ya está funcionando de fondo. Lo que queda es un ajuste de procesos internos, no un proyecto de meses.