Las multas de la Ley 21.719 llegan al 4% de las ventas anuales

Qué cambia el 1 de diciembre

Chile tenía desde 1999 una ley de datos personales sin autoridad que la hiciera cumplir. El artículo 30 de la Ley N° 21.719, publicada el 13 de diciembre de 2024, crea la Agencia de Protección de Datos Personales, un organismo con potestad para fiscalizar, instruir procedimientos y aplicar multas.

Hasta ahora, incumplir la normativa de datos en Chile no tenía consecuencia práctica para la mayoría de las empresas. Desde el 1 de diciembre la tiene.

El artículo 35 y el 4% de las ventas

La escala parte en tres tramos, según la gravedad de la infracción.

• Las leves se sancionan con amonestación escrita o multa de hasta 5.000 UTM.
• Las graves, con multa de hasta 10.000 UTM.
• Las gravísimas, con multa de hasta 20.000 UTM, que al valor actual de la unidad tributaria mensual superan los mil cuatrocientos millones de pesos.

Debajo de esa escala hay tres reglas que rara vez se citan y que mueven la cifra hacia arriba.

• Con la sanción, la Agencia ordena medidas para subsanar lo que la motivó, y da un plazo máximo de sesenta días. Vencido sin cumplir, la multa lleva un recargo del 50%.
• Si hay reincidencia, la multa puede llegar a tres veces el monto que correspondía a la infracción cometida.
• Y para la empresa que no sea de menor tamaño conforme al artículo segundo de la Ley N° 20.416, si reincide en una infracción grave o gravísima, la multa puede alcanzar lo más gravoso entre ese triple y el 2% o el 4% de los ingresos anuales por ventas, servicios y demás actividades del giro del último año calendario, según sea grave o gravísima.

Ese último inciso es el que cambia la conversación en un directorio. Una multa de 20.000 UTM es un número grande pero conocido. Un 4% de las ventas del año es un número que depende del tamaño de la empresa y que, en una compañía mediana, deja muy atrás a las 20.000 UTM.

El artículo 38 agrega una sanción accesoria. Ante multas por infracciones gravísimas reiteradas dentro de veinticuatro meses, la Agencia puede suspender las operaciones de tratamiento de datos hasta por treinta días, y si la empresa no se ajusta a lo ordenado la suspensión se prorroga por períodos sucesivos, sin límite, hasta que cumpla. El almacenamiento de los datos no se ve afectado.

Qué cae en cada nivel

Los artículos 34 bis, 34 ter y 34 quáter enumeran las conductas de cada tramo. Varias son cosas que una empresa hace todos los días sin preguntarse en qué nivel caen.

• Entre las leves, no tener un correo o domicilio vigente y operativo donde la gente pueda ejercer sus derechos, y responder tarde o de forma incompleta a quien lo pide.
• Entre las graves, tratar datos sin consentimiento o sin otro fundamento legal, usarlos para una finalidad distinta de aquélla para la que se recogieron, tratar datos inexactos o desactualizados, e incumplir las obligaciones de seguridad del artículo 14 quinquies.
• Entre las gravísimas, el tratamiento fraudulento, la vulneración del deber de secreto sobre datos sensibles, y omitir deliberadamente la comunicación de una filtración.

Esa segunda línea alcanza una práctica corriente. Usar para publicidad una base de correos que se recogió para despachar pedidos es, en los términos de la ley, tratar datos con una finalidad distinta de la que justificó recogerlos.

Qué se considera dato personal

La ley alcanza el nombre y el RUT, y también el correo, el teléfono, la dirección, la patente del vehículo, las imágenes de las cámaras de seguridad, la huella del reloj control y los datos de salud de una licencia médica. Basta con que el antecedente permita identificar a una persona.

Los datos sensibles —salud, situación socioeconómica, origen étnico, afiliación sindical, datos biométricos— tienen un régimen más estricto. Una empresa que usa reloj control con huella digital está tratando datos biométricos.

La seguridad del artículo 14 quinquies, y quién tiene que probarla

El artículo 14 quinquies obliga a adoptar medidas que aseguren la confidencialidad, la integridad, la disponibilidad y la resiliencia de los sistemas, atendiendo al estado de la técnica, al costo de aplicarlas y al riesgo. Entre las que nombra están la seudonimización y el cifrado, la capacidad de restaurar el acceso a los datos con rapidez después de un incidente, y una verificación regular de que todo eso efectivamente funciona.

El inciso final es el que más pesa en un juicio. Ocurrido un incidente de seguridad, y si hay controversia judicial o administrativa, le corresponde al responsable acreditar que las medidas existían y que funcionaban. La carga de la prueba queda del lado de la empresa, de modo que una medida que nadie documentó equivale, llegado el día, a una medida que no se tomó.

El artículo 14 sexies y el día de la filtración

Ante una vulneración que destruya, filtre, pierda o altere datos personales, o que permita un acceso no autorizado, el responsable debe reportarla a la Agencia por los medios más expeditos posibles y sin dilaciones indebidas, siempre que exista un riesgo razonable para los derechos de los titulares. La ley no fija un número de horas; fija un estándar de diligencia, que en los hechos se juzga contra lo que la empresa pueda demostrar que hizo y cuándo.

Además hay que llevar un registro de esas comunicaciones, con la naturaleza de la vulneración, sus efectos, las categorías de datos, el número aproximado de personas afectadas y las medidas tomadas.

Y hay un caso en que no basta con avisarle a la Agencia. Si lo filtrado son datos sensibles, datos de menores de catorce años o datos de obligaciones económicas, financieras, bancarias o comerciales, hay que comunicárselo también a cada persona afectada, en lenguaje claro y sencillo, diciendo qué datos se vieron comprometidos, qué puede pasar y qué se hizo. Si llegar a cada una no es posible, la comunicación se hace por aviso en un medio de comunicación social masivo y de alcance nacional.

El delegado de protección de datos del artículo 50

Circula la idea de que toda empresa tendrá que nombrar un delegado de protección de datos. El artículo 50 dice que el responsable podrá designarlo, de modo que es una facultad y no una obligación general.

Cuando se designa, el cargo trae condiciones. Lo nombra la máxima autoridad directiva, debe tener autonomía respecto de la administración en estas materias, y la empresa tiene que darle medios y facultades suficientes. En las micro, pequeñas y medianas empresas el dueño o la máxima autoridad puede asumir personalmente esas tareas, lo que para una pyme suele ser la salida razonable. Las empresas de un mismo grupo pueden compartir un solo delegado si operan con los mismos estándares.

Cinco cosas que hacer antes de diciembre

El inventario va primero. Basta uno simple que diga qué información recoge la empresa de trabajadores, clientes y proveedores, dónde la guarda, quién accede a ella y cuánto tiempo la conserva.

Después hay que revisar en qué se funda cada tratamiento. La ley exige una base legal, que puede ser el consentimiento, la ejecución de un contrato, el cumplimiento de una obligación legal o el interés legítimo, y el consentimiento genérico escondido en la letra chica ya no sirve.

Los contratos con proveedores también hay que ajustarlos. El software de remuneraciones, el servicio de nube y la empresa de seguridad que administra las cámaras tratan datos por encargo, y esa relación debe constar por escrito con obligaciones definidas. Es una revisión que se cruza con la asesoría corporativa habitual.

Hay que preparar además cómo se responderá a los titulares. Las personas podrán exigir acceso, rectificación, supresión y portabilidad de sus datos con plazos acotados, y alguien en la empresa tiene que estar a cargo de recibir esas solicitudes.

Por último, el reporte de filtraciones del artículo 14 sexies necesita un procedimiento escrito y un responsable con nombre. El día que ocurra no va a haber tiempo para improvisarlo.

Los datos de los trabajadores

En una empresa mediana, el mayor volumen de datos personales suele estar en sus trabajadores y no en sus clientes. Contratos, liquidaciones, licencias médicas, resultados de exámenes preocupacionales, registros de asistencia, cámaras en el lugar de trabajo. Todo eso queda bajo la nueva ley, y se superpone con las obligaciones que ya impone la normativa laboral.

Qué conviene hacer ahora

Lo más lento es el inventario y la revisión de los contratos con proveedores, así que conviene partir por ahí. Hecho eso, el resto se ordena solo.

En el estudio realizamos esa revisión junto con la auditoría laboral preventiva, porque comparten los mismos documentos. La primera consulta es gratuita y puede estimar el valor en el cotizador en línea.

Fuente: Ley N° 21.719, que regula la protección y el tratamiento de los datos personales y crea la Agencia de Protección de Datos Personales, en su texto según la Biblioteca del Congreso Nacional. Publicada en el Diario Oficial el 13 de diciembre de 2024, entra en vigencia el 1 de diciembre de 2026. Las multas y sus agravantes están en el artículo 35, las conductas de cada nivel en los artículos 34 bis, 34 ter y 34 quáter, la suspensión en el artículo 38, las medidas de seguridad y la carga de la prueba en el artículo 14 quinquies, el reporte de filtraciones en el artículo 14 sexies y el delegado en el artículo 50. Este artículo es informativo y no reemplaza la asesoría para un caso concreto.