Protección de Datos
Protección de Datos Personales · Ley 21.719
La ley rige a partir del 1 de diciembre de 2026 y se aplica a toda empresa que trate datos de personas, sea cual sea su tamaño: clientes, trabajadores, postulantes, proveedores o visitantes de tu sitio web.
El fundamento está en la propia Constitución: su artículo 19 N° 4 asegura a toda persona el respeto y protección de su vida privada y su honra, y también la protección de sus datos personales, agregando que su tratamiento se hará en la forma y condiciones que determine la ley. Esa ley es hoy la Ley 21.719.
No basta con publicar una política en el sitio. La ley exige saber qué datos tratas, con qué fundamento, por cuánto tiempo, a quién se los entregas y qué harías si se filtraran. Y entrega a la Agencia de Protección de Datos Personales la facultad de fiscalizar y sancionar.
Qué le exige la ley a tu empresa
Informar y ser transparente
Debes mantener permanentemente a disposición del público la política de tratamiento con su versión y fecha, quién es el responsable, el canal para recibir solicitudes, qué datos tratas y con qué finalidad, cuánto tiempo los conservas, a quién se los comunicas y los derechos que tienen las personas. Si tienes sitio web, va publicada ahí. Si no lo tienes, la ley admite cualquier otro medio de información equivalente: un ejemplar impreso disponible en tu local, un anexo a tus contratos o el envío por correo electrónico a quien lo pida.
Tener un fundamento para tratar los datos
El consentimiento debe ser libre, informado, específico, previo e inequívoco, y la persona puede retirarlo en cualquier momento por el mismo medio en que lo dio. También hay otros fundamentos, como la ejecución de un contrato, el cumplimiento de una obligación legal o el interés legítimo. Quien debe probar que el tratamiento fue lícito es la empresa.
Cuidado especial con los datos sensibles
Los datos sensibles, como los de salud, solo pueden tratarse con consentimiento expreso de la persona. La ley admite excepciones acotadas: entre ellas, cuando el tratamiento es necesario para cumplir obligaciones laborales o de seguridad social dentro del marco legal, o para defender un derecho ante los tribunales o un organismo público. Esto no es solo de clínicas o laboratorios: cualquier empresa los trata sin advertirlo cuando recibe licencias médicas de sus trabajadores, exámenes preocupacionales, certificados de discapacidad o fichas de postulantes con antecedentes de salud. Si tu empresa se apoya en una excepción, tiene que poder probarlo.
Responder a las personas en plazo
Las personas pueden pedirte acceso, rectificación, supresión, oposición y bloqueo de sus datos. Debes acusar recibo y responder por escrito dentro de 30 días corridos, prorrogables por una sola vez por otros 30. Existe además el derecho a la portabilidad, esto es, recibir una copia de los datos en un formato electrónico de uso común y traspasarlos a otra empresa, que procede cuando el tratamiento es automatizado y se basa en el consentimiento de la persona. Si rechazas una solicitud o no respondes, la persona puede recurrir a la Agencia.
Contratos con quienes tratan datos por ti
Muchas veces los datos de tu empresa los maneja otro: la oficina contable externa que procesa las liquidaciones de sueldo, el sistema donde se reciben los currículums, la empresa que administra tu sitio web o tu correo. Ese encargo debe constar por escrito y limitarse a las instrucciones que tú das. Si el proveedor usa los datos para otra cosa, responde él, pero tu empresa también frente a los afectados.
Seguridad y filtraciones
Debes adoptar medidas de seguridad proporcionales al riesgo, y reportar a la Agencia, sin dilaciones indebidas, las filtraciones o accesos no autorizados que pongan en riesgo los derechos de las personas. Si afectan datos sensibles, de menores de 14 años o de obligaciones económicas, financieras, bancarias o comerciales, además debes comunicarlo a los afectados.
Evaluación de impacto
Hay usos de datos que la ley considera de alto riesgo y que obligan a hacer un análisis previo, antes de empezar: qué datos se van a usar, para qué, qué puede salir mal y qué medidas se tomarán. Esa evaluación de impacto es siempre obligatoria en cuatro casos: cuando se evalúa a personas de forma automatizada, cuando se tratan datos a gran escala, cuando hay cámaras que vigilan de forma sistemática una zona de acceso público y cuando se tratan datos sensibles sin consentimiento, en los casos de excepción que la ley permite.
Modelo de prevención de infracciones
La ley permite adoptar un modelo de prevención con contenido mínimo: delegado de protección de datos con medios y facultades, identificación de los datos y de los procesos riesgosos, protocolos, mecanismos de reporte interno y a la Agencia, y sanciones internas. Ese modelo lo certifica la Agencia, con un certificado que dura 3 años, una vez que se dicte el reglamento que fijará el procedimiento. Haber cumplido diligentemente los deberes de dirección y supervisión es una atenuante.
Sanciones
Las infracciones se clasifican en leves, graves y gravísimas, con multas de hasta 5.000, 10.000 y 20.000 UTM. Si las infracciones gravísimas se reiteran dentro de 24 meses, la Agencia puede además suspender las operaciones de tratamiento de datos de la empresa hasta por 30 días.
Cómo te ayudamos
Diagnóstico de cumplimiento
Identificamos qué datos personales maneja tu empresa, de quiénes, para qué se usan, con qué respaldo legal y a quién se los entrega. El abogado revisa la parte legal y el contador auditor forense recorre los sistemas, registros y flujos donde esos datos realmente circulan. Terminas con un informe escrito de brechas y un plan de trabajo priorizado.
Documentos base
Política de tratamiento, textos de consentimiento, cláusulas para contratos de trabajo y reglamento interno, y contratos con los proveedores que tratan datos por ti.
Delegado de protección de datos externo
Asumimos el rol con la autonomía que la ley exige: plan anual de trabajo, atención de las solicitudes de las personas, supervisión del cumplimiento y contacto con la Agencia.
Diseño del modelo de prevención
Diseñamos el modelo con todos los elementos que exige la ley, dejándolo preparado para presentarlo a certificación ante la Agencia cuando se dicte el reglamento que fijará ese procedimiento.
Evaluaciones de impacto
Cuando tu empresa va a iniciar un uso de datos de alto riesgo (evaluación automatizada de personas, tratamiento masivo, cámaras que vigilan zonas de acceso público o datos sensibles sin consentimiento), la ley exige un análisis previo. Lo hacemos y te entregamos el informe que respalda la decisión: qué datos se usarán, para qué, qué riesgos existen y qué medidas se adoptaron.
Protocolo de filtraciones y simulacro
Definimos quién hace qué en las primeras horas, cómo se documenta el incidente y cómo se reporta a la Agencia y a los afectados. Después lo ponemos a prueba con un simulacro: avisamos una filtración ficticia y medimos qué hizo tu equipo, en qué tiempo y qué se les pasó. El informe muestra, con hechos, dónde está la brecha real.
Revisión de cumplimiento del sitio web
Verificamos si tu banner bloquea de verdad antes de que la persona acepte, si deja registro del consentimiento, si permite rechazar con la misma facilidad con que permite aceptar, y si tu política publicada tiene lo que la ley exige. También revisamos el contrato con quien administra tu sitio. Te entregamos un informe con lo que cumple, lo que no y lo que falta, en un lenguaje que tu proveedor pueda ejecutar. Es una revisión legal del sitio: no incluye auditoría de seguridad informática ni pruebas de intrusión.
Capacitación
Sesiones para jefaturas y equipos que tratan datos, con casos reales de tu operación.
Defensa ante la Agencia
Representamos a tu empresa en los procedimientos de la Agencia y frente a los reclamos de las personas.
Preguntas frecuentes
¿Esta ley se aplica a mi empresa aunque sea pequeña?
Sí. La ley no distingue por tamaño: alcanza a toda persona natural o jurídica que trate datos personales. Lo que sí considera el tamaño es la exigencia de los medios: en las micro, pequeñas y medianas empresas el dueño o las máximas autoridades pueden asumir personalmente las tareas del delegado de protección de datos.
¿Basta con publicar una política de privacidad?
No. La política es una de las obligaciones, pero la ley exige además fundamento para tratar los datos, contratos con quienes los tratan por ti, medidas de seguridad, respuesta a las solicitudes en plazo y reporte de filtraciones.
¿Es obligatorio tener delegado de protección de datos?
Designarlo es voluntario. Pero es el primer elemento que la ley exige al modelo de prevención de infracciones, así que sin delegado no hay modelo ni certificación posible.
¿Pueden certificar el modelo de mi empresa?
La certificación la otorga la Agencia, no un privado, y el procedimiento quedará fijado en un reglamento que todavía no se dicta. Lo que hacemos es dejar el modelo preparado para presentarlo cuando ese procedimiento exista.
¿Cuánto demora implementar todo esto?
Depende del tamaño de la empresa y de la cantidad de sistemas que traten datos. Después del diagnóstico te entregamos un plan con etapas y plazos, y te decimos qué conviene resolver primero.
La ley rige desde el 1 de diciembre de 2026
La ley rige a partir del 1 de diciembre de 2026. Preparar una empresa toma semanas, no días, y hacerlo antes cuesta menos que corregirlo después de un reclamo. La primera entrevista sirve para tomar los antecedentes de tu empresa; el análisis viene después, por escrito.