• La Ley N°21.719 entra en vigencia el 1 de diciembre de 2026 y exige a toda organización que trate datos personales (de clientes, trabajadores, proveedores o postulantes) demostrar cómo lo hace.
• La reforma crea la primera Agencia de Protección de Datos de Chile, con facultades reales de fiscalización y sanción. Y contempla multas de hasta 20.000 UTM. El desafío es de gestión, no solo legal.

Cada vez que una persona completa un formulario, envía un currículum o entrega su RUT. Una organización recibe y comienza a tratar datos personales.

Desde el 1 de diciembre de 2026, la forma en que las empresas chilenas gestionan esa información deja de ser un asunto de criterio interno. Y pasa a estar regida por un marco legal considerablemente más exigente. Con una autoridad que puede fiscalizar y sancionar.

La Ley N°21.719 moderniza íntegramente la protección de datos personales en Chile y crea la Agencia de Protección de Datos Personales.

Para las organizaciones, el cambio de fondo es que ya no bastará con tener una política de privacidad publicada. Habrá que poder acreditar el cumplimiento. La ley traslada el eje desde la buena intención hacia la responsabilidad demostrable.

“La pregunta que toda empresa debería poder responder ya no es solo si cumple. Sino si puede demostrarlo. La nueva ley pone el foco en la responsabilidad demostrable. Es decir saber qué datos se tratan, con qué finalidad, bajo qué base jurídica y con qué medidas de seguridad. Las organizaciones que lleguen a diciembre sin ese mapa van a enfrentar el proceso a contrarreloj”. Explica Evelyn Muñoz, Gerente del Área Legal de Auditeris.

Cinco derechos de los titulares que tu organización deberá poder atender

La ley reconoce a las personas (clientes, trabajadores y postulantes, entre otros) un conjunto de derechos sobre sus datos.

Para la empresa, cada uno de esos derechos se traduce en una capacidad operativa que deberá tener implementada y en plazos que deberá cumplir.

• Acceso: la organización deberá poder informar a una persona qué datos suyos trata, de dónde los obtuvo. Para qué los usa, por cuánto tiempo y a quiénes se los ha comunicado o cedido. Esto exige tener un inventario de datos actualizado.

• Rectificación: deberá contar con un mecanismo para corregir datos inexactos. Desactualizados o incompletos cuando el titular lo solicite.

• Supresión: deberá poder eliminar datos en las causales que fija la ley. Por ejemplo, cuando dejaron de ser necesarios para la finalidad o fueron tratados ilícitamente. No es un derecho absoluto y la ley contempla excepciones.

• Oposición: la persona podrá oponerse, en los casos que establece la ley, a ciertos tratamientos. Por ejemplo cuando se usen exclusivamente para marketing directo. La normativa establece además garantías específicas frente a decisiones automatizadas. Que produzcan efectos jurídicos o afecten significativamente a las personas.

• Portabilidad: en los casos previstos por la ley. La empresa deberá entregar los datos en un formato electrónico estructurado y reutilizable. E incluso transmitirlos a otro responsable cuando sea técnicamente posible.

A ellos se suma el derecho de bloqueo. Que permite al titular solicitar la suspensión temporal de un tratamiento mientras se resuelve una solicitud.

En la práctica, atender estos derechos obliga a las organizaciones a implementar procesos y plazos de respuesta que hoy muchas no tienen formalizados.

Inteligencia artificial: un frente que las empresas suelen subestimar

La nueva ley no regula la inteligencia artificial como tal. Pero sí alcanza su uso cuando trata datos personales.

Cuando una organización utiliza un modelo de IA para analizar currículums, segmentar clientes o apoyar decisiones automatizadas sobre personas. Ese tratamiento queda sometido a las reglas de protección de datos.

En esos casos, el responsable debe cumplir deberes de información y transparencia y, tratándose de decisiones automatizadas. Entregar información significativa sobre la lógica aplicada.

Frente a determinadas decisiones automatizadas, las personas tendrán derecho a obtener una explicación. A la intervención humana, a expresar su punto de vista y a solicitar la revisión de la decisión.

“Proteger los datos no significa dejar de utilizarlos. Significa utilizarlos de manera responsable, para una finalidad clara. Con seguridad y pudiendo demostrar que se actuó correctamente. Muchas empresas están incorporando herramientas de IA sin dimensionar que, si esas herramientas tratan datos personales. Y con mayor razón si son datos sensibles, entran de lleno en el ámbito de la ley”. Añade Muñoz.

Qué deberían empezar a revisar las organizaciones desde ahora

El plazo hasta diciembre es más corto de lo que parece para el tipo de trabajo que implica. La recomendación desde Auditeris es partir por un diagnóstico honesto de la situación actual antes de invertir en soluciones.

“Una empresa debería poder responder hoy cinco preguntas básicas. Qué datos personales tiene, dónde están almacenados. Para qué los utiliza, quién puede acceder a ellos y cuánto tiempo los conserva. Si no puede responderlas, ese es el primer problema que tiene que resolver”. Advierte la experta.

A partir de ese diagnóstico, las organizaciones deberían iniciar un catastro de datos. Identificando las bases de información de clientes, trabajadores, proveedores y postulantes.

Como también determinar la base jurídica que habilita cada tratamiento, revisar quién accede a esa información. Actualizar sus políticas internas, capacitar a sus equipos y evaluar con especial cuidado el uso de herramientas de inteligencia artificial. Sobre todo cuando involucren datos personales sensibles.

El costo de no llegar preparado

La ley establece principios de licitud, finalidad, proporcionalidad, seguridad y transparencia Y contempla sanciones que van desde una amonestación escrita o multas de hasta 5.000 UTM para infracciones leves. Hasta multas de hasta 20.000 UTM para las infracciones gravísimas. Sin perjuicio de reglas especiales aplicables en caso de reincidencia.

Pero el impacto no es solo sancionatorio. El cumplimiento en protección de datos puede transformarse en un factor relevante en procesos de contratación, licitaciones, relaciones con proveedores y evaluación de riesgos.

Además del eventual impacto reputacional frente a clientes y trabajadores. En un mercado donde cada vez más contrapartes exigen estándares de tratamiento de datos, poder acreditar cumplimiento empieza a ser una ventaja competitiva, y no solo una obligación.