Revisamos la página de inicio de 333 sitios web de salud (clínicas, consultas dentales, centros médicos, kinesiología, psicología, laboratorios y ópticas) con dirección en 10 comunas de la Región Metropolitana. A semanas de que la Ley 21.719 empiece a regir, el 1 de diciembre de 2026, 75,1 % no enlaza una política de privacidad desde su portada, 74,8 % usa herramientas de medición o publicidad y 55,6 % lo hace sin aviso de cookies. Solo 5,7 % cumple lo que se puede ver desde fuera.
¿Por qué la salud es un caso especial con la Ley 21.719?
La Ley 21.719 modifica a fondo la Ley 19.628 y rige desde el 1 de diciembre de 2026, según su artículo primero transitorio (texto en la Biblioteca del Congreso Nacional). Si quieres el detalle de qué cambia, lo comparamos en Ley 19.628 y Ley 21.719: qué cambió y desde cuándo.
Para la ley, los datos relativos a la salud son datos personales sensibles (artículo 2, letra g). Como regla general, solo se pueden tratar con el consentimiento expreso de la persona, salvo las excepciones que fija la ley (artículos 16 y 16 bis). Y en un sitio web de salud aparecen más seguido de lo que parece:
- Formularios y agenda: un formulario para pedir hora o una consulta por WhatsApp desde el sitio pueden incluir síntomas, diagnósticos o el tratamiento que se busca.
- Medición y publicidad: Google Analytics, Google Ads y el píxel de Meta registran qué páginas visita cada persona. En un sitio médico, eso puede revelar qué especialidad o tratamiento le interesa.
- Seguridad: un sitio con plugins vulnerables es una puerta de entrada a los datos que recibe por sus formularios.
Esto no es asesoría legal: es lo que se ve desde la página de inicio y lo que conviene revisar con tu equipo y tu abogado.
Qué encontramos en 333 sitios de salud
| Indicador (desde la página de inicio) | Salud | Resto de rubros |
|---|---|---|
| Sitios revisados | 333 | 4.373 |
| No enlaza una política de privacidad | 75,1 % | 72,3 % |
| Usa rastreadores (analítica o publicidad) | 74,8 % | 63,4 % |
| Rastreadores sin aviso de cookies | 55,6 % | 50,4 % |
| Tiene el píxel de Meta | 17,1 % | 12,4 % |
| … sin aviso de cookies | 13,8 % | 10,5 % |
| Tiene Google Ads | 15,0 % | 12,5 % |
| Formulario en la portada | 38,1 % | 41,4 % |
| … sin casilla o texto de aceptación (sobre los que tienen formulario) | 97,6 % | 96,5 % |
| Cumple lo visible (política + aviso si hay rastreo + casilla si hay formulario) | 5,7 % | 7,4 % |
| Hecho en WordPress | 61,3 % | 54,1 % |
| WordPress con plugins o temas con vulnerabilidades conocidas (sobre los WordPress) | 81,9 % | 74,5 % |
| Nota de seguridad D o F (escala propia del estudio) | 68,5 % | 67,9 % |
Lectura: el rubro salud mide y hace publicidad más que el resto: 74,8 % contra 63,4 %. En cambio, pide consentimiento igual de poco que los demás rubros y tiene más plugins con vulnerabilidades conocidas. Es justo el rubro con los datos más delicados.
Lo que revelan el píxel de Meta y las etiquetas de Google
17,1 % de los sitios de salud tiene el píxel de Meta y 13,8 % lo tiene sin aviso de cookies; 15,0 % usa Google Ads. Estas herramientas envían a Meta o a Google cada página vista y cada evento, junto con identificadores del navegador. Si la dirección de la página es «/tratamientos/implantes/» o el evento se llama «agendar hora en psiquiatría», lo que viaja ya dice algo sobre la salud de esa persona.
Las propias plataformas tratan la salud con cuidado: en la publicidad personalizada de Google, la salud es una categoría con segmentación restringida, y quien promociona productos o servicios de salud no puede usar sus propios segmentos de remarketing. Con la Ley 21.719, enviar estos datos sin un consentimiento previo es un riesgo que conviene cerrar antes de diciembre.
Formularios y agenda: casi nadie pide aceptar la política
38,1 % de los sitios de salud tiene un formulario en la portada, y de ellos 97,6 % no tiene una casilla ni un texto de aceptación. Un formulario de contacto o de reserva de hora recibe nombre, teléfono, correo y, muchas veces, el motivo de la consulta. Cómo pedir ese permiso, con textos de ejemplo, lo explicamos en consentimiento de datos personales en formularios, WhatsApp y cookies.
Plugins con vulnerabilidades conocidas
61,3 % de los sitios de salud está hecho en WordPress, y de ellos 81,9 % tiene plugins o temas con vulnerabilidades conocidas en la versión que muestra, contra 74,5 % del resto de rubros. Una vulnerabilidad conocida no significa que el sitio esté comprometido, pero sí que hay un arreglo publicado que no se ha aplicado. La Ley 21.719 incluye la seguridad entre sus principios, y un sitio que recibe datos de salud debería estar al día. Qué plugins se repiten y cómo ponerlos al día está en nuestro estudio de plugins de WordPress vulnerables.
Lista para antes del 1 de diciembre
- Publicar una política de privacidad que nombre los datos de salud, para qué se usan, cuánto tiempo se guardan y cómo ejercer los derechos. Enlazarla desde el pie de todas las páginas.
- Instalar un aviso de cookies que bloquee Google Analytics, Google Ads y el píxel de Meta hasta que la persona acepte. No basta con informar.
- Agregar en el formulario y en la agenda una casilla de aceptación, y no pedir datos de salud que no se necesitan para dar la hora.
- Revisar qué envían el píxel y las etiquetas de conversión: evitar que una dirección o un evento revelen la especialidad o el tratamiento.
- Actualizar WordPress, los plugins y el tema, y activar HTTPS con cabeceras de seguridad.
Si quieres el detalle de cada punto para cualquier sitio, lee Ley 21.719: qué debe cambiar en tu página web. Para saber cómo está tu portada, usa el verificador gratis de la Ley 21.719 y el verificador de seguridad web.
Metodología
- Muestra: 333 sitios web del rubro salud (clínicas, consultas dentales, centros médicos, kinesiología, psicología, laboratorios y ópticas) de empresas, pymes y emprendimientos con dirección en Vitacura, Lo Barnechea, Las Condes, Providencia, La Reina, Ñuñoa, Huechuraba, Santiago, Colina (con Chicureo) y La Florida, tomados de OpenStreetMap y de dominios .cl del índice público de Common Crawl. No es una muestra elegida al azar: representa a negocios de esas comunas con sitio web activo. El rubro se asignó por la categoría de OpenStreetMap o por el título del sitio.
- Revisión pasiva: se abrió solo la página de inicio de cada sitio, una vez, como cualquier visitante, el 15 de octubre de 2026. No es una prueba de intrusión ni una auditoría legal.
- Privacidad: se buscó en la portada un enlace a la política de privacidad, un aviso o gestor de cookies, rastreadores (Google Analytics, Google Ads, píxel de Meta, entre otros) y, si hay formulario, una casilla o texto de aceptación. La política o el formulario pueden estar en otra página; por eso las cifras de privacidad son un mínimo de lo que falta, no un diagnóstico de cada sitio.
- Plugins y temas: la versión que el código del sitio muestra se comparó con api.wordpress.org (última versión) y wpvulnerability.net (vulnerabilidades conocidas con su rango de versiones y puntaje CVSS). Es indicativa: un plugin puede declarar mal su versión, y una vulnerabilidad conocida no significa que el sitio esté comprometido.
- Confidencialidad: solo se publican cifras agregadas; ningún negocio se nombra.
¿Quieres que lo hagamos por ti? Con la Adecuación Web Ley 21.719 dejamos el sitio de tu clínica o consulta listo: aviso de cookies que bloquea los rastreadores hasta que la persona acepta, formularios y agenda con su casilla, política de privacidad, canal para los derechos y seguridad. Revisa primero tu portada con el verificador de la Ley 21.719 y el verificador de seguridad web, ambos gratis. La adecuación de un sitio web cuesta $249.990 y la de una tienda WooCommerce $449.990, pago único, IVA incluido. Es implementación técnica, no asesoría legal.
Escrito por Antonio Mondaca Vargas
Fundador de mantencionweb.cl
Más de 20 años en servicios TI, desarrollo web y servidores. Desde 2019 mantiene, aloja y posiciona sitios WordPress y WooCommerce en Chile con mantencionweb.cl.
