Ley 21.719 de Protección de Datos Personales

Chile reguló los datos personales por primera vez en 1999 (Ley 19.628), pero esa ley no creaba ninguna autoridad fiscalizadora: el incumplimiento no tenía consecuencias. La Ley 21.719 cambia eso en tres dimensiones: moderniza el catálogo de derechos y obligaciones acercándolo al estándar europeo (GDPR), crea la Agencia de Protección de Datos Personales (APDP) con facultades reales para fiscalizar y sancionar, y establece un régimen de multas que sí duele.

Desde el 1 de diciembre de 2026, toda organización que trate datos de clientes, trabajadores, postulantes o proveedores queda sujeta al nuevo régimen.

Cualquier información que permita identificar a una persona natural, directa o indirectamente. La definición es deliberadamente amplia: no es solo el RUT o los datos bancarios. La prueba práctica: si con esa información puedo llegar a una persona concreta, es dato personal — en papel, digital, audio o video.

Un día cualquiera en un local:

Conclusión del ejercicio: nadie puede sostener que "no maneja datos personales". Prácticamente toda función en la cadena los maneja.

Los datos sensibles son una subcategoría que expone a la persona a discriminación o daño si se usa mal. Tienen régimen más estricto: como norma general requieren consentimiento expreso del titular y medidas de seguridad reforzadas.

• Titular. La persona natural a quien pertenecen los datos. En la cadena hay cuatro poblaciones: clientes, trabajadores, postulantes y proveedores personas naturales.
• Responsable del tratamiento. Quien decide para qué y cómo se usan los datos: la empresa. Sobre el responsable recaen las obligaciones principales.
• Encargado del tratamiento. Quien trata datos por cuenta del responsable, siguiendo sus instrucciones: la app de delivery, el CRM en la nube, la empresa que procesa remuneraciones, el proveedor del reloj control.

Sin tecnicismos: la IA es software que aprende patrones a partir de grandes volúmenes de datos y, con esos patrones, produce respuestas o toma decisiones. La consecuencia relevante es directa: para aprender, la IA necesita datos, y muchas veces esos datos son personales. La IA no es un tema paralelo a la protección de datos: es el mayor consumidor de datos personales que existe hoy.

Aunque nadie la haya instalado formalmente, es muy probable que en la cadena ya se use IA: asistentes para responder reseñas, filtros de currículums, segmentación de marketing, cámaras con conteo de personas, detección de fraude en medios de pago, proyección de demanda. La pregunta operativa no es si se usa IA, es con qué datos se la está alimentando.

Dónde se cruzan la IA y la ley:

• Exposición de datos. Pegar información de clientes o trabajadores en un asistente público equivale a entregarla a un tercero, muchas veces fuera de Chile y sin contrato de encargo.
• Decisiones automatizadas. Cuando un algoritmo decide o filtra por sí solo (ej. descartar postulantes), la ley impone reglas específicas y el titular puede exigir intervención humana.
• Sesgo. Un filtro entrenado con datos históricos puede reproducir patrones de discriminación sin que nadie lo advierta.

Cuando una situación concreta no está resuelta explícitamente en la ley, la respuesta se busca en los principios:

El que más se infringe sin mala intención es el de finalidad: la base de reservas que pasa a marketing, la cámara de seguridad usada para controlar puntualidad, el teléfono de contacto que termina en una lista de difusión.

Error frecuente: creer que todo tratamiento requiere consentimiento. No es así — el consentimiento es una de varias bases posibles, y en el contexto laboral suele no ser la más adecuada, porque la relación de subordinación hace discutible que sea verdaderamente libre.

Sobre el consentimiento: para ser válido debe ser libre (sin condicionar un servicio a aceptar tratamientos innecesarios), informado, específico (no una autorización genérica) e inequívoco (una acción afirmativa — no una casilla premarcada ni el silencio). Y es revocable: si un cliente pide salir de la base de marketing, la revocación opera hacia adelante y debe ejecutarse.

El titular tiene derecho a saber, en lenguaje claro y antes de que comience el tratamiento: quién trata sus datos, con qué finalidad, sobre qué base legal, a quién se comunican, por cuánto tiempo se conservan y cómo ejercer sus derechos.

Esto se materializa en lugares muy concretos de la operación: el cartel visible en zonas con cámaras, el formulario de inscripción al programa de fidelización, la política de privacidad de la app de pedidos, la cláusula del contrato de trabajo y el aviso en el portal de postulaciones.

Se suma el derecho a no quedar sujeto a decisiones basadas únicamente en tratamiento automatizado con efectos jurídicos o significativos, con derecho a solicitar intervención humana — el punto exacto donde la IA entra al catálogo de derechos.

Qué hacer cuando llega una solicitud (puede llegar por correo, redes sociales, teléfono o en el mesón — no requiere formato especial):

• Reconocerla. Si alguien pide sus datos, que se corrijan o que se borren, es una solicitud de derechos aunque no use palabras técnicas.
• Derivarla al canal único. Un local no responde por su cuenta; debe existir un punto definido que centralice y responda.
• Verificar identidad antes de entregar información, para no convertir el derecho de acceso en una vía de filtración.
• Responder dentro del plazo legal, aunque la respuesta sea negativa fundada. Negar con fundamento es legítimo; no responder, no.

• Accesos por rol. Cada persona accede solo a lo que su función exige. El usuario compartido del local es uno de los riesgos más extendidos y más fáciles de corregir.
• Contraseñas individuales, no compartidas ni anotadas en lugares visibles.
• Canales adecuados. Las planillas con datos de personas no viajan por WhatsApp ni por correos personales.
• Minimización y eliminación. Lo que ya no se necesita se elimina. Conservar indefinidamente aumenta la superficie de riesgo sin ningún beneficio.
• Soporte físico. Currículums, licencias, listas de turno y fichas no quedan sobre el mesón ni en cajones abiertos.

Es la etapa con más informalidad y, por lo mismo, con más exposición. Riesgos concretos:

• Currículums que llegan a correos personales de jefes de local y quedan ahí indefinidamente, fuera del control de la empresa.
• Bases de postulantes sin fecha de eliminación definida.
• Preguntas de entrevista que capturan datos sensibles sin base legal: estado de salud, situación familiar, planes de maternidad.
• Referencias laborales solicitadas sin informar al postulante.
• Herramientas de IA para resumir o filtrar currículums, sin evaluación previa ni información al postulante.

Reglas mínimas: canal único de recepción de postulaciones, información al postulante sobre qué se hace con sus datos, plazo definido de conservación, y no preguntar aquello que no es necesario para evaluar el cargo.

En esta etapa la base legal suele ser clara — ejecución del contrato y obligación legal — pero eso no habilita cualquier uso. Tener base legal no suspende el principio de proporcionalidad ni el de finalidad:

• Solo los datos necesarios para la relación laboral.
• La cuenta bancaria sirve para pagar la remuneración, no para otros fines.
• Las cargas familiares tienen finalidad previsional y de asignación, no informativa general.
• La ficha del trabajador no es de acceso libre para cualquier jefatura: se aplica el criterio de necesidad de conocer.

Son datos sensibles, sujetos al estándar más alto de la ley — y, con diferencia, los que peor se manejan en la operación diaria: licencias fotografiadas y enviadas por WhatsApp para reorganizar turnos, el diagnóstico comentado entre jefaturas, certificados guardados en carpetas compartidas del local, restricciones médicas informadas a todo el turno.

La huella dactilar es un dato sensible, y su diferencia con una contraseña es irreversible: una clave comprometida se cambia, una huella comprometida no. Esa asimetría justifica el estándar más exigente:

• Requiere consentimiento expreso y una evaluación previa de proporcionalidad: ¿es el medio menos invasivo para el fin buscado?
• Debe existir una alternativa razonable para quien no consienta, sin consecuencias laborales por negarse.
• El proveedor del reloj control es un encargado del tratamiento y requiere contrato con obligaciones de seguridad.

Es legítima, pero condicionada:

• Finalidad declarada y respetada: seguridad de personas y bienes, no supervisión encubierta del desempeño.
• Señalización visible en cada zona grabada, antes de que la persona ingrese.
• Zonas prohibidas: baños, camarines y comedores de personal, sin excepción.
• Plazo de conservación definido, no "hasta que se llene el disco".
• Accesos registrados: quién revisó qué grabación, cuándo y con qué justificación.

Cada vez que un dato sale de la empresa hay una comunicación que requiere base legal:

Una brecha es cualquier pérdida, filtración, destrucción o acceso no autorizado a datos personales. No requiere intención ni ataque externo. Ejemplos realistas del rubro: un notebook robado del local sin cifrado, una planilla de personal enviada al destinatario equivocado, un ex trabajador que conserva acceso al sistema, un proveedor de software que sufre un ataque.

La ley obliga a notificar a la Agencia sin dilación indebida cuando existe riesgo para los derechos de los titulares y, según la gravedad, también a los afectados. El estándar internacional de referencia con que la normativa se alinea es de 72 horas desde la detección.

La ley exige responsabilidad demostrable: no basta con cumplir, hay que poder probar que se cumple. Eso traslada deberes concretos a quien dirige:

• Supervisar que su equipo aplique efectivamente las reglas, no solo comunicarlas.
• No solicitar ni tolerar prácticas que vulneren la normativa, aunque sean operativamente cómodas.
• Conocer qué datos maneja su área y con qué base legal.
• Escalar incidentes sin demora y sin filtrar por conveniencia.
• Dar el ejemplo: la cultura de manejo de datos se copia de arriba hacia abajo.

Agravantes que suelen pasarse por alto: con reincidencia la multa puede triplicarse — una infracción gravísima reiterada puede llegar a 60.000 UTM. Para empresas que no califican como de menor tamaño y reinciden, la multa puede alcanzar el 2% de los ingresos anuales en infracciones graves y el 4% en gravísimas, si ese monto supera el tope en UTM. Se suman sanciones accesorias: suspensión total o parcial de las operaciones de tratamiento hasta por 30 días e inscripción en el Registro Nacional de Sanciones, que es público.

Cómo se inicia una fiscalización: por denuncia de un titular — un cliente o, con mucha frecuencia, un trabajador o ex trabajador —, por actuación de oficio de la Agencia, o a raíz de una brecha notificada por la propia empresa.

En cada caso: ¿hay dato personal? ¿es sensible? ¿con qué base se está tratando? ¿qué debería hacerse distinto?

• Un cliente pide por Instagram que se borren todos sus datos del programa de fidelización.
• Un jefe de local guarda en su celular personal la foto de la licencia médica de un trabajador.
• Marketing quiere usar la base de reservas para una campaña de cumpleaños.
• Un supervisor pide las grabaciones de cámara de la semana pasada para revisar el desempeño de un turno.
• RRHH sube currículums a un asistente de IA para que los resuma y ordene.

El caso. Un trabajador presenta licencia médica por tres semanas. El jefe de local la fotografía y la envía al grupo de WhatsApp de jefaturas para reorganizar turnos, comentando el diagnóstico. En paralelo, RRHH solicita a Marketing la base de datos de trabajadores para invitarlos a una actividad de fin de año. Ese mismo día, un cliente reclama públicamente por Instagram que sigue recibiendo promociones pese a haber pedido hace un mes que lo eliminaran de la base, y menciona que sabe que hay cámaras apuntando directamente a las cajas.

Las cinco infracciones del caso:

Cada participante debería salir de la jornada capaz de responder tres preguntas sobre su propia función:

• Sé qué datos personales manejo en mi trabajo diario.
• Sé con qué base los trato y para qué finalidad fueron recogidos.
• Sé a quién avisar si hay una filtración o si alguien ejerce un derecho.

Y la cadena debería salir con tres definiciones operativas cerradas: el canal único de solicitudes de titulares, el canal de reporte de incidentes, y el plazo de conservación de currículums de postulantes.