Quedan menos de tres meses para la nueva Ley de Protección de Datos

Qué cambia

Chile tenía desde 1999 una ley de datos personales sin autoridad que la hiciera cumplir. Esa es la diferencia de fondo: la Ley N° 21.719, publicada el 13 de diciembre de 2024, crea la Agencia de Protección de Datos Personales, un organismo con potestad para fiscalizar, instruir procedimientos y aplicar multas.

Hasta ahora, incumplir la normativa de datos en Chile no tenía consecuencia práctica para la mayoría de las empresas. A partir del 1 de diciembre sí la tiene.

Las multas, en su escala real

Conviene mirar la escala completa, porque circulan cifras sueltas sin contexto. La ley distingue tres niveles:

• Infracciones leves: amonestación escrita o multa de hasta 5.000 UTM.
• Infracciones graves: multa de hasta 10.000 UTM.
• Infracciones gravísimas: multa de hasta 20.000 UTM, que al valor actual de la unidad tributaria mensual superan los mil cuatrocientos millones de pesos.

Además, en caso de infracciones reiteradas la Agencia puede disponer la suspensión de las operaciones de tratamiento de datos del responsable. Para una empresa que opera con bases de clientes, eso es más grave que la multa.

Qué se considera dato personal

Más de lo que la mayoría supone. El nombre y el RUT, evidentemente, pero también el correo, el teléfono, la dirección, la patente del vehículo, las imágenes de las cámaras de seguridad, la huella del reloj control y los datos de salud de una licencia médica. Si permite identificar a una persona, es dato personal.

Los datos sensibles —salud, situación socioeconómica, origen étnico, afiliación sindical, datos biométricos— tienen un régimen más estricto. Una empresa que usa reloj control con huella digital está tratando datos biométricos, aunque nunca lo haya pensado en esos términos.

Cinco cosas que hacer antes de diciembre

Levantar qué datos trata y por qué. Un inventario simple: qué información recoge de trabajadores, clientes y proveedores, dónde la guarda, quién accede y cuánto tiempo la conserva. Sin ese mapa no se puede cumplir nada de lo demás.

Revisar en qué se funda cada tratamiento. La ley exige una base legal: el consentimiento, la ejecución de un contrato, el cumplimiento de una obligación legal o el interés legítimo. El consentimiento genérico escondido en la letra chica ya no sirve.

Ajustar los contratos con proveedores. El software de remuneraciones, el servicio de nube, la empresa de seguridad que administra las cámaras: todos tratan datos por encargo, y esa relación debe constar por escrito con obligaciones definidas. Es una revisión que se cruza con la asesoría corporativa habitual.

Preparar cómo responderá a los titulares. Las personas podrán exigir acceso, rectificación, supresión y portabilidad de sus datos, con plazos acotados. Conviene definir desde ya quién recibe esas solicitudes y cómo se responden.

Tener un procedimiento para las brechas de seguridad. Una filtración obliga a notificar. Improvisarlo el día que ocurra es la peor manera de enfrentarlo.

La dimensión laboral, que suele pasarse por alto

El mayor volumen de datos personales de una empresa mediana no está en sus clientes: está en sus trabajadores. Contratos, liquidaciones, licencias médicas, resultados de exámenes preocupacionales, registros de asistencia, cámaras en el lugar de trabajo. Todo eso queda bajo la nueva ley, y se superpone con las obligaciones que ya impone la normativa laboral.

Qué conviene hacer ahora

Tres meses alcanzan para llegar en orden, pero no sobran. Lo razonable es partir por el inventario y por la revisión de los contratos con proveedores, que son las dos tareas más lentas.

En el estudio realizamos esa revisión junto con la auditoría laboral preventiva, porque comparten los mismos documentos. La primera consulta es gratuita y puede estimar el valor en el cotizador en línea.

Fuente: texto oficial de la Ley N° 21.719 en la Biblioteca del Congreso Nacional. Publicación en el Diario Oficial: 13 de diciembre de 2024. Inicio de vigencia: 1 de diciembre de 2026.