Ley 21.719 de Protección de Datos Personales: guía práctica para pymes

La Ley 21.719, publicada en diciembre de 2024, moderniza la antigua Ley 19.628 sobre protección de la vida privada y acerca a Chile a estándares internacionales como el reglamento europeo (RGPD). Contempla un periodo de adecuación de 24 meses, por lo que sus obligaciones comienzan a regir el 1 de diciembre de 2026.

Los cambios principales

• Crea la Agencia de Protección de Datos Personales, con facultades para fiscalizar y sancionar.
• Amplía los derechos de las personas sobre sus datos.
• Exige una base legal para cada tratamiento de datos.
• Introduce deberes de seguridad y de reporte de vulneraciones.
• Establece multas significativas y un registro público de sanciones.

¿Aplica a mi empresa?

Prácticamente sí. Toda empresa que maneja datos de clientes, colaboradores, proveedores o postulantes realiza tratamiento de datos personales: una base de clientes, una planilla de remuneraciones o las grabaciones de cámaras de seguridad están dentro del alcance.

Principios

Todo tratamiento debe respetar principios como licitud y lealtad, finalidad (usar los datos solo para el propósito informado), proporcionalidad (solo los datos necesarios y por el tiempo necesario), calidad (datos exactos y actualizados), seguridad, transparencia, confidencialidad y responsabilidad (poder demostrar el cumplimiento).

Bases legales

Para tratar datos necesita al menos una base legal, entre ellas:

• Consentimiento libre, informado, específico e inequívoco del titular.
• Ejecución de un contrato con el titular (por ejemplo, despachar una compra).
• Obligación legal (por ejemplo, datos tributarios o laborales).
• Interés legítimo del responsable, siempre que no prevalezcan los derechos del titular.

Los titulares pueden ejercer frente a su empresa los derechos de:

• Acceso: saber qué datos tiene y cómo los usa.
• Rectificación: corregir datos inexactos.
• Supresión: solicitar su eliminación cuando corresponda.
• Oposición: oponerse a ciertos tratamientos, como el marketing directo.
• Portabilidad: recibir sus datos en un formato estructurado y de uso común.
• Bloqueo: suspender temporalmente un tratamiento.
• No ser objeto de decisiones basadas únicamente en tratamiento automatizado que les afecten significativamente.

Cómo prepararse

1. Habilite un canal único (por ejemplo, privacidad@suempresa.cl) e infórmelo en su política de privacidad.
2. Defina un responsable interno y un procedimiento para verificar la identidad del solicitante.
3. Sepa dónde están los datos: sin un inventario es imposible responder a tiempo.
4. Registre cada solicitud y su respuesta, respetando los plazos legales.

Deber de seguridad

La empresa debe aplicar medidas técnicas y organizativas adecuadas al riesgo: control de accesos, verificación en dos pasos, cifrado, respaldos, registro de actividad, actualización de sistemas y capacitación del personal.

Vulneraciones de seguridad

Si ocurre una vulneración que afecte datos personales (un ransomware, un envío masivo por error, un acceso indebido), la ley exige reportarla a la Agencia y, en ciertos casos, comunicarla a los titulares afectados. Tenga un procedimiento definido antes de necesitarlo: quién evalúa, quién decide y quién comunica.

Sanciones

Las infracciones se clasifican en leves, graves y gravísimas, con multas que pueden llegar a 20.000 UTM y, en caso de reincidencia, a montos calculados sobre los ingresos anuales de las empresas que no son de menor tamaño. Las sanciones se publican en un registro nacional, con el consiguiente daño reputacional.

Modelo de prevención

La ley permite adoptar voluntariamente un modelo de prevención de infracciones que, certificado, puede servir como atenuante. Incluye designar un delegado de protección de datos, identificar riesgos y definir protocolos.

1. Designe un responsable interno del proyecto.
2. Inventaríe los datos: qué datos tiene, de quién, dónde están, para qué y quién accede.
3. Identifique la base legal de cada tratamiento.
4. Minimice: elimine datos innecesarios y defina plazos de conservación.
5. Actualice su política de privacidad y los avisos en formularios y sitio web.
6. Revise contratos con proveedores que tratan datos por usted.
7. Implemente el procedimiento de derechos (canal, responsable, plazos, registro).
8. Refuerce la seguridad: MFA, respaldos, control de accesos, cifrado y actualizaciones.
9. Defina el protocolo de vulneraciones y pruébelo con un simulacro.
10. Capacite a su equipo y revise el programa una vez al año.