Guía normativa
Ley 21.719: los resultados de exámenes son datos sensibles de salud
Qué cambia el 1 de diciembre de 2026 para toda empresa que controla alcohol y drogas.
Qué es la Ley 21.719
La Ley 21.719 sobre protección de datos personales fue publicada en el Diario Oficial el 13 de diciembre de 2024 y entra en vigencia el 1 de diciembre de 2026, tras un período de transición de 24 meses. Reforma íntegramente la antigua Ley 19.628 sobre protección de la vida privada.
Crea una Agencia de Protección de Datos Personales con facultades fiscalizadoras y sancionatorias, incorpora los derechos de acceso, rectificación, cancelación y oposición, obliga a notificar brechas de seguridad en 72 horas, y establece multas de hasta 20.000 UTM, que pueden llegar al 4% de los ingresos en caso de reincidencia.
Por qué te afecta si controlas alcohol y drogas
Por una razón simple y decisiva: un resultado de examen de alcohol y drogas es un dato personal sensible de salud.
Los datos sensibles no reciben el mismo trato que un correo o un teléfono. Su tratamiento exige consentimiento expreso, base de licitud declarada, finalidad determinada, plazo de conservación definido y medidas de seguridad reforzadas.
Es decir: toda empresa que hoy toma exámenes de alcohol y drogas está tratando datos sensibles de salud de sus trabajadores. La mayoría lo hace sin ninguna de esas condiciones cumplidas.
Las cinco preguntas que hay que responder
Si no puedes responder estas cinco con un documento en la mano, tu política no está lista.
1. ¿Quién puede ver el resultado?
La respuesta correcta es: salud ocupacional, o el rol designado y capacitado para eso. No la jefatura directa. No recursos humanos completo. No el mandante. Cada persona que accede sin necesitarlo es una exposición innecesaria y, desde diciembre, un incumplimiento.
2. ¿Cuánto tiempo se conserva y quién lo elimina?
Debe existir un plazo definido y un responsable de la eliminación. Guardar indefinidamente «por si acaso» deja de ser una práctica descuidada y pasa a ser una infracción.
3. ¿Qué se le informa al mandante?
Idealmente, solo la aptitud del trabajador para la tarea. Nunca el resultado clínico. Si un contratista informa a la empresa principal el resultado del examen, hay una transferencia de datos sensibles de salud entre dos entidades distintas, que requiere base de licitud propia. Es un problema de ambas.
4. ¿Dónde está el consentimiento informado y qué dice?
Debe ser expreso, específico e informado: qué se analiza, para qué, quién accede, cuánto se conserva y cuáles son los derechos del trabajador. Un párrafo genérico en el contrato de trabajo no cumple ese estándar.
5. ¿El proveedor externo es encargado de tratamiento?
Si un tercero toma las muestras o procesa los exámenes, es un encargado de tratamiento y debe existir un contrato que defina qué puede hacer con esos datos, qué medidas de seguridad aplica y qué pasa al terminar la relación. Casi ninguna empresa lo tiene.
Lo que hay que hacer antes de diciembre
- Inventariar dónde están hoy los resultados de exámenes: planillas, correos, carpetas compartidas, archivadores.
- Definir el circuito: quién accede, con qué justificación, por cuánto tiempo.
- Rehacer el consentimiento informado con los contenidos que la ley exige.
- Revisar los contratos con proveedores de toma de muestras y laboratorios.
- Corregir el flujo hacia el mandante: aptitud, no diagnóstico.
- Documentarlo todo, porque la carga de la prueba del cumplimiento es de la empresa.
Bien hecho, esto no debilita tu programa de control: lo blinda. Una política que respeta derechos y resguarda datos es una política que resiste una fiscalización, una demanda por tutela y una auditoría. La que no lo hace es un pasivo esperando activarse.