Protección de Datos, Ciberseguridad y Tecnologías de la Información
Ley 21.719 de protección de datos personales: bases de licitud, derechos del titular y la nueva Agencia
Regula la protección y el tratamiento de los datos personales y crea la Agencia de Protección de Datos Personales.
- Norma
- Ley 21.719
- Fiscaliza
- Agencia de Protección de Datos Personales
- Unidad de sanción
- UTM, hasta 20.000 en infracciones gravísimas
Qué exige la norma
Durante veinticinco años Chile tuvo una ley de datos personales sin autoridad que la aplicara. La Ley 21.719 cierra esa brecha: crea la Agencia de Protección de Datos Personales, le entrega facultades de fiscalización y sanción, y reescribe el estándar sustantivo alineándolo con el modelo europeo. El cambio no es de matiz. Pasa de un régimen donde el incumplimiento casi no tenía consecuencia práctica a uno donde existe un organismo con potestad para multar y para ordenar la suspensión del tratamiento.
El corazón operativo de la ley es la base de licitud. Todo tratamiento debe apoyarse en un fundamento jurídico identificable —consentimiento, contrato, obligación legal, interés legítimo— y ese fundamento debe estar declarado antes de tratar, no reconstruido después. De ahí se desprende el inventario de actividades de tratamiento, que en la mayoría de las organizaciones simplemente no existe: los datos están repartidos entre marketing, personas, cobranza y proveedores externos, sin un mapa que diga qué se trata, con qué finalidad y por cuánto tiempo.
La segunda mitad de la exposición está en la relación con terceros. Cada proveedor que procesa datos por cuenta de la empresa es un encargado de tratamiento y requiere un contrato con contenido específico; la cadena de subencargados hereda las mismas obligaciones, y la transferencia internacional exige garantías propias. A eso se suma el deber de notificar las vulneraciones de seguridad, que obliga a tener detectado y documentado el incidente antes de que corra el plazo.
A quién obliga
- Toda persona natural o jurídica que trate datos personales, cualquiera sea su giro.
- Órganos de la Administración del Estado en el tratamiento de datos de personas.
- Encargados de tratamiento que operan datos por cuenta de un tercero, incluidos proveedores tecnológicos.
Qué revisa la evaluación
Las dimensiones en que se organiza esta evaluación.
- 01
Base de licitud e inventario
Registro de actividades de tratamiento, finalidad declarada y fundamento jurídico de cada flujo de datos.
- 02
Consentimiento y datos sensibles
Forma de obtención, revocabilidad y tratamiento reforzado de datos de salud, biométricos y socioeconómicos.
- 03
Derechos del titular
Canal para acceso, rectificación, supresión, oposición y portabilidad, con plazos de respuesta acreditables.
- 04
Encargados y transferencias
Contratos de encargo, cadena de subencargados y condiciones para transferir datos fuera de Chile.
- 05
Seguridad y brechas
Medidas técnicas y organizativas proporcionales al riesgo, y procedimiento de notificación de vulneraciones.
Cómo se sanciona
El artículo 35 fija tres tramos: las infracciones leves se sancionan con amonestación o multa de hasta 5.000 UTM, las graves con hasta 10.000 UTM y las gravísimas con hasta 20.000 UTM. Si la empresa no califica como de menor tamaño según la Ley 20.416 y reincide en una infracción grave o gravísima, la multa puede alcanzar el 2% o el 4% de los ingresos anuales del giro del último año calendario. Como sanción accesoria, ante infracciones gravísimas reiteradas dentro de veinticuatro meses la Agencia puede suspender las operaciones de tratamiento hasta por treinta días, sin afectar el almacenamiento.
La evaluación traduce los incumplimientos detectados a una exposición económica estimada en pesos, calculada con la unidad y el tipo de cambio del día en que se responde. El valor queda congelado en ese momento: el informe no cambia después.
Cuándo conviene evaluar
- 01
Se tratan datos de salud, biométricos o socioeconómicos en alguna parte de la operación.
- 02
Hay proveedores que almacenan o procesan datos de clientes fuera de Chile.
- 03
La política de privacidad se escribió bajo la Ley 19.628 y no se ha revisado desde entonces.
- 04
No existe un procedimiento definido para responder una solicitud de acceso o eliminación dentro de plazo.
Normativas que suelen cruzarse con esta
Ver la exposición frente a esta norma
Mostramos cómo se ve el informe de una evaluación real y revisamos juntos si Ley 21.719 aplica a la operación. En el catálogo completo se puede comparar con otras materias.