Inmobiliarias, corredoras, brokers y plataformas tecnológicas manejan antecedentes financieros, patrimoniales y comerciales de sus clientes. La nueva normativa eleva las exigencias para recopilar, utilizar, almacenar y compartir esa información, e incorpora multas que pueden alcanzar las 20.000 UTM.
Remuneraciones, capacidad de ahorro, antecedentes comerciales, créditos hipotecarios y datos de contacto. Forman parte de la información que circula diariamente durante la compra de una propiedad.
En este proceso intervienen inmobiliarias, corredoras, brokers, bancos, notarías, proveedores tecnológicos y otras instituciones.
Esta participación de múltiples actores. Convierte al sector inmobiliario en una de las industrias que deberá revisar con mayor atención. La forma en que recopila, almacena y comparte los datos de sus clientes.
La Ley N.º 21.719, que entrará en vigencia el 1 de diciembre de 2026. Establece nuevas obligaciones para las organizaciones y crea la Agencia de Protección de Datos Personales. Organismo que estará encargado de fiscalizar su cumplimiento.
La normativa contempla sanciones de hasta 5.000 UTM para infracciones leves. 10.000 UTM para las graves y 20.000 UTM para las gravísimas.
En determinados casos de reincidencia, las multas podrán calcularse como un porcentaje de los ingresos anuales de la empresa.
“En el sector inmobiliario se trabaja con información financiera y patrimonial que puede ser especialmente delicada para las personas. Por eso, el cumplimiento no depende únicamente de lo que haga una empresa de manera interna. Sino de la forma en que se coordina con todos los actores que participan en el proceso”. Explica Karina Cerda, abogada de la Fiscalía de Asuntos Corporativos y Legales de JetBrokers.
Frente a este nuevo escenario, estas son cinco medidas que las empresas deberían comenzar a implementar:
- Identificar qué datos manejan y para qué los utilizan
El primer paso es realizar un levantamiento completo de la información que recibe y administra la organización. Esto implica identificar qué datos se solicitan, de dónde provienen, quiénes pueden acceder a ellos. Con qué propósito se utilizan y durante cuánto tiempo se conservan.
Este diagnóstico permite detectar información que se está almacenando sin una finalidad clara. Bases de datos duplicadas o accesos que ya no se justifican.
-
Revisar la forma en que se obtiene el consentimiento
La nueva regulación eleva los requisitos para autorizar el tratamiento de datos personales. El consentimiento deberá ser libre, específico, informado e inequívoco. Y expresarse mediante una acción clara de la persona.
En la práctica, las empresas deberán revisar formularios, contratos, sitios web y plataformas. Para verificar que expliquen de manera comprensible qué información solicitan y cuál será su uso. El silencio, la inacción o las casillas marcadas previamente no bastarán para acreditar una autorización válida.
-
Actualizar contratos y políticas de privacidad
Las obligaciones no se limitan a la relación con los clientes. Las organizaciones deberán revisar los contratos con trabajadores, proveedores. Prestadores de servicios y empresas externas que accedan a información personal.
En el caso inmobiliario, esta revisión cobra especial relevancia porque los datos pueden circular entre distintas organizaciones. Durante la evaluación comercial, la reserva, la gestión del crédito hipotecario, la firma de la compraventa y la inscripción de la propiedad.
Los contratos deberán establecer con claridad quién es responsable de la información. Qué puede hacer cada parte con ella y cuáles serán las medidas de seguridad exigidas.
-
Prepararse para responder ante una filtración
La nueva ley obliga a las organizaciones a adoptar medidas de seguridad y a informar las vulneraciones que puedan generar un riesgo para los titulares de los datos.
Esto significa que una empresa no puede comenzar a definir su respuesta después de sufrir un ataque informático o detectar una filtración. Debe contar previamente con protocolos que establezcan quién evalúa el incidente. Cómo se contiene, qué información debe resguardarse y cuándo corresponde comunicarlo a la autoridad.
-
Capacitar a quienes trabajan con información de clientes
La protección de los datos personales no es una responsabilidad exclusiva de las áreas legales o tecnológicas. Ejecutivos comerciales, brokers, equipos de marketing, personal de atención al cliente y proveedores externos. Pueden acceder diariamente a información sensible.
Por esta razón, las empresas deben capacitar a sus equipos para que sepan qué información pueden solicitar. Cómo deben compartirla, dónde almacenarla y qué hacer ante un envío equivocado. Una pérdida de antecedentes o un acceso no autorizado.
“La recomendación es no esperar hasta el último momento. Levantar la información, detectar las brechas y actualizar los procedimientos requiere tiempo. Especialmente en organizaciones que trabajan con distintos proveedores y plataformas. La adecuación debe abordarse como un proceso transversal, no solamente como una exigencia legal”. Concluye Karina Cerda, abogada de JetBrokers.
La Ley N.º 21.719 incorpora un modelo basado en la responsabilidad demostrada. Las empresas no solo deberán cumplir la normativa. Sino que tendrán que acreditar que adoptaron medidas concretas para proteger la información que administran.
