De la ley al día a día
Chile actualizó su ley de datos personales porque el régimen de 1999 ya no alcanzaba. Lo que sigue es el hilo factual: de esa ley antigua a la 21.719, y a la fecha en que las obligaciones se pueden exigir.
1999
Chile reguló los datos personales con la Ley 19.628. Sirvió durante años, pero no contemplaba una autoridad especializada ni las exigencias de evidencia que hoy piden clientes, auditores y mercados internacionales.
2018–2023
Europa consolidó el GDPR y muchos países actualizaron sus leyes. Quien trata datos de personas —en Chile o con contrapartes extranjeras— empezó a necesitar inventario, contratos con proveedores y un canal real para los derechos de la gente. El vacío local se hizo evidente.
13 dic 2024
El Diario Oficial publica la nueva ley de protección de datos personales. Crea la Agencia de Protección de Datos Personales, alinea a Chile con estándares internacionales y reemplaza el régimen anterior para el tratamiento de datos.
2025–2026
La ley no entra en vigor el mismo día de su publicación. Hay un periodo de vacancia de 24 meses para que el Estado instale la Agencia y las organizaciones armen procesos, contratos y evidencia. Improvisar en 2026 no es un plan.
Dic 2026
A partir de entonces las obligaciones son exigibles. Quien trata datos de personas en Chile debe poder demostrar qué hace, con quién, con qué base y cómo responde a las personas. Hay facultades de fiscalización y sanciones.
Hoy, Octubre de 2026. Faltan unos 2 meses para la entrada en vigor. Quien todavía tiene el inventario en planillas y los contratos de proveedores en carpetas sueltas está a tiempo de ordenarlo; no de postergarlo.
En términos simples: si tu organización usa información de personas naturales en Chile (o sobre personas en Chile), la ley te apunta. Hay excepciones estrechas (por ejemplo, un uso estrictamente personal o doméstico). Lo habitual en una empresa o un servicio público es que sí aplica. Un abogado debe confirmar tu caso.
Empresas, organismos públicos, fundaciones, colegios, clínicas, retail, fintech y, en general, cualquier organización que determine para qué y cómo se usan datos de personas naturales. Si hay clientes, trabajadores, pacientes, alumnos o visitantes en Chile, casi seguro aplica.
Proveedores de nube, nómina, call center, software, marketing o seguridad que procesan datos siguiendo instrucciones del responsable. También tienen deberes: medidas de seguridad, confidencialidad y cooperación cuando una persona ejerce sus derechos.
La ley pide responsabilidad demostrada: no basta una política en PDF. Hay que saber dónde están los datos, con quién se comparten, cómo se atienden las solicitudes de las personas y qué ocurre si hay un incidente.
Hay que registrar qué datos se usan, para qué, de quién son y en qué sistemas o archivos viven. Sin ese mapa no se puede cumplir el resto.
En Verifier. Inventario de fuentes (CRM, Excel, cámaras, nómina, etc.) con finalidad, titulares y un registro exportable.
Si un tercero trata datos por ti, debes elegir uno con medidas suficientes, documentar el encargo y revisarlo en el tiempo. No basta un contrato guardado en un correo.
En Verifier. Evaluaciones, evidencias (certificaciones, políticas), contrato tipo y un expediente del proveedor listo para auditoría.
Cualquier persona puede pedir ver, corregir, borrar, oponerse, portar o bloquear el uso de sus datos. El responsable tiene 30 días corridos para pronunciarse (prorrogables una vez). Debe existir un canal claro, no un buzón genérico.
En Verifier. Formulario en tu sitio, bandeja interna con reloj de plazo, y la posibilidad de pedir ayuda al proveedor involucrado.
Si se filtran o pierden datos, hay que evaluar el impacto, documentar lo ocurrido y, cuando corresponda, avisar a la autoridad y a las personas afectadas sin dilación indebida.
En Verifier. Registro de brechas, evaluación de impacto, reloj operativo configurable (buena práctica; la Ley 21.719 no fija un plazo en horas) y vínculo a las fuentes y proveedores involucrados.
Si el uso de datos puede afectar de forma seria los derechos de las personas (salud, biometría, vigilancia, decisiones automatizadas, etc.), hay que analizar el impacto antes de seguir adelante.
En Verifier. Evaluaciones de impacto ligadas a cada fuente, con decisión documentada y bitácora.
Si los datos salen de Chile hay que saber a qué país van y con qué resguardo. Además, cuando aplica, debe haber un contacto de privacidad (a menudo el DPO) al que las personas y la autoridad puedan escribir.
En Verifier. Destino por fuente (país y mecanismo) y el contacto de privacidad visible en el canal de derechos y en las notificaciones.
Palabras de la ley
Si te dijeron que hay que “cumplir ARCOP y tener el RAT”, y eso no dice nada útil, aquí está cada sigla en castellano. Es orientación general, no un dictamen.
Para equipos de cumplimiento, gerencia y operaciones. No sustituye asesoría jurídica sobre tu organización.
