La nueva ley de datos personales ya tiene fecha

La Ley N° 21.719 modifica la Ley 19.628 y moderniza la protección de datos personales en Chile. Crea la Agencia de Protección de Datos Personales, refuerza los derechos de las personas y obliga a quienes tratan datos a justificar, proteger y documentar lo que hacen. Rige desde el 1 de diciembre de 2026.

Aplica a toda persona natural o jurídica, pública o privada, que trate datos personales: una clínica, un estudio profesional, una tienda, una constructora, un colegio, una fundación o una organización sin fines de lucro. No importa el rubro, y las exigencias se ajustan al tamaño de la entidad y al tipo de datos.

Profesionales. Abogados, contadores, psicólogos, médicos, arquitectos y otros profesionales manejan a diario datos de clientes o pacientes, a veces sensibles. Deben tener una base legal para usarlos, informar con claridad, protegerlos y responder las solicitudes de las personas dentro de plazo.

Empresas. Toda empresa que trata datos de clientes, trabajadores o proveedores debe saber qué datos tiene, para qué los usa y con quién los comparte; contar con medidas de seguridad, contratos con sus proveedores y un procedimiento para actuar ante una filtración. Las multas son significativas y se gradúan según la gravedad.

Fundaciones, corporaciones y organizaciones sin fines de lucro. Tratan datos de beneficiarios, socios, voluntarios, donantes y trabajadores, a veces sensibles. Como cualquier otro responsable de datos, deben saber qué datos tienen, para qué los usan y con quién los comparten, protegerlos e informar con claridad. Si tratan datos de niños, niñas o adolescentes, deben velar por su interés superior; en los menores de 14 años, en general se requiere el consentimiento de sus padres o representantes.

Las organizaciones sin fines de lucro pueden tratar datos sensibles de sus socios o afiliados sin consentimiento solo para fines políticos, filosóficos, religiosos, culturales, sindicales o gremiales, y sin comunicarlos a terceros.

• Saber qué datos trata y poder acreditar que es lícito. Cada tratamiento necesita una base legal y una finalidad clara, y el responsable debe poder demostrarlo. Aquí parte el RAT.
• Informar con transparencia. Mantener a disposición del público, por ejemplo en su sitio web, su política de tratamiento de datos personales.
• Proteger los datos con medidas de seguridad. Medidas proporcionales al tamaño de la entidad y al tipo de datos que maneja; más estrictas si hay datos sensibles.
• Responder los derechos de las personas. Atender las solicitudes de acceso, rectificación, supresión, oposición, portabilidad y bloqueo, dentro de 30 días corridos, prorrogables una vez por hasta otros 30.
• Avisar a la Agencia ante una filtración. Reportar las vulneraciones de seguridad con riesgo para las personas, por los medios más expeditos y sin dilaciones indebidas, y dejarlas registradas.
• Ordenar a los proveedores que tratan datos. Contratos con quienes tratan datos por cuenta de la empresa u organización (software, contabilidad, nube, remuneraciones).
• Evaluar el impacto cuando hay alto riesgo. Una evaluación previa cuando el tratamiento pueda afectar significativamente a las personas.
• Capacitar al equipo y definir quién responde. Un delegado de protección de datos es opcional, pero ordena responsabilidades; forma parte del modelo de prevención de infracciones.

• Acceso: Saber si sus datos se tratan y obtener copia.
• Rectificación: Corregir datos inexactos o incompletos.
• Supresión: Pedir que se eliminen en los casos que la ley permite.
• Oposición: Pedir que no se haga un tratamiento determinado.
• Portabilidad: Recibir sus datos en formato electrónico estructurado y común.
• Bloqueo temporal: Pedir que se suspenda temporalmente el tratamiento.

Plazo de respuesta: 30 días corridos, prorrogables una vez por hasta otros 30.

• Infracción leve: Hasta 5.000 UTM (por ejemplo, responder fuera de plazo o no informar; puede sancionarse solo con amonestación escrita).
• Infracción grave: Hasta 10.000 UTM (por ejemplo, tratar datos sin base de licitud).
• Infracción gravísima: Hasta 20.000 UTM (por ejemplo, tratar datos sensibles contra la ley u ocultar a propósito una filtración).

Si reincide, la multa puede llegar a tres veces el monto. Las empresas que no son de menor tamaño y reinciden en una infracción grave o gravísima pueden llegar al 2% o 4% de sus ingresos anuales, según el caso. La Agencia además fija medidas correctivas que deben cumplirse en un máximo de 60 días, con un recargo de 50% si no se cumplen.

El delegado de protección de datos es una figura que el responsable puede designar. Lo nombra la máxima autoridad de la entidad y debe actuar con autonomía. En micro, pequeñas y medianas empresas, el dueño o sus máximas autoridades pueden asumir esa función personalmente. Es parte del modelo de prevención de infracciones, un programa de cumplimiento voluntario que puede certificarse y que regula el Decreto 662.

El Registro de Actividades de Tratamiento (RAT) es el inventario de lo que su empresa u organización hace con datos personales: qué datos, para qué, con qué base legal, quién los recibe, dónde están y por cuánto tiempo. Es la base de casi todo lo demás: sin saber qué datos hay, no se puede informar, proteger ni responder solicitudes.