- Protección de Datos Personales
Cumplimiento de la Ley N° 21.719
La Ley N° 21.719 sustituye el régimen de la Ley N° 19.628, crea la Agencia de Protección de Datos Personales y somete a toda organización que trate datos a un estándar nuevo de responsabilidad. No es un ajuste administrativo: cambia quién responde, ante quién y con qué consecuencias patrimoniales. Acompañamos ese tránsito completo, desde definir en qué calidad trata su organización cada conjunto de datos hasta dejar instalado el gobierno interno que permita acreditarlo ante la Agencia, ante un cliente o ante quien lo exija.
Servicios específicos
El cumplimiento de esta ley no es un proyecto único y secuencial. Son cinco frentes que conviene abordar en paralelo, porque avanzar solo en uno produce una sensación de cumplimiento que no resiste una fiscalización ni la revisión de un tercero.
En qué calidad trata su organización cada conjunto de datos y con qué fundamento legal lo hace. Determinamos si actúa como responsable o como tercero encargado en los términos del artículo 15 bis, identificamos la base de licitud de cada tratamiento y dejamos esa calificación documentada. La distinción no es teórica: define quién responde y con qué alcance. Políticas y capacitaciones construidas sobre un supuesto equivocado no protegen a nadie.
Quién responde, qué se trata, dónde está, por cuánto tiempo y bajo qué medidas de seguridad. Levantamos el inventario de tratamientos, definimos plazos de conservación y criterios de eliminación, y construimos la evidencia que la organización necesita para acreditar su estándar. Sin ese registro, el cumplimiento existe en el papel y no en la operación.
Acceso, rectificación, supresión, oposición, portabilidad y bloqueo. Diseñamos el procedimiento interno para recibir cada solicitud, resolverla y responderla dentro de plazo, con registro de la gestión. Es el frente que primero se vuelve visible: los titulares ejercen sus derechos aunque la organización no esté preparada para atenderlos.
Desarrollamos las obligaciones de transparencia y el deber de informar en esta guía práctica.
El artículo 15 bis exige que la relación con un tercero encargado conste en un contrato que establezca, al menos, el objeto del encargo, su duración, la finalidad del tratamiento, el tipo de datos, las categorías de titulares y los derechos y obligaciones de las partes. Revisamos y redactamos esos contratos y definimos el proceso de monitoreo. Los terceros que acceden a datos en representación de la organización son una extensión de su cadena de riesgos.
El artículo 49 contempla un modelo de prevención de infracciones de adopción voluntaria. Diseñamos ese modelo, definimos las medidas de supervisión que lo sostienen y dejamos instalado el sistema de reporte al órgano de administración. Quien asuma el rol de delegado dentro de ese modelo es materia del encargo permanente que describimos por separado.
Dirigido a
Organizaciones que tratan datos sensibles
Salud, educación, ámbito laboral, situación socioeconómica o antecedentes de infracciones: categorías que la ley trata con mayor severidad y que el artículo 37 manda considerar al determinar el monto de las multas.
Entidades que tratan datos de niños, niñas y adolescentes
El artículo 16 quáter impone una obligación especial a los establecimientos educacionales y a toda entidad, pública o privada, que trate o administre estos datos, incluidas quienes ejercen su cuidado personal.
Directorios y órganos de administración
Quienes deben decidir con información sobre exposición real, obligaciones exigibles y consecuencias patrimoniales, y no sobre una descripción general de la ley.
La preparación no espera a la Agencia
La entrada en vigencia está fijada en el artículo primero transitorio y existe un debate abierto sobre postergarla. Mientras tanto, la Agencia se encuentra en proceso de instalación y quedan reglamentos por dictar. Nada de eso suspende el trabajo: lo que la ley exige acreditar —inventarios, contratos, procedimientos, registros de capacitación— se construye en meses, no en semanas, y no puede improvisarse cuando la fiscalización ya comenzó.
Cualquier propuesta que presente este escenario como enteramente resuelto sería imprecisa. Trabajamos sobre el texto vigente y sus modificaciones y, frente a los vacíos reglamentarios, sobre el análisis comparado del Reglamento General de Protección de Datos de la Unión Europea, antecedente directo de la ley chilena.
Sobre uno de los frentes más exigentes de este cambio, revise el nuevo estándar del consentimiento y sus desafíos para los directorios.
Calificación primero
Definir en qué calidad se trata cada dato antes de redactar cualquier política.
Evidencia
Cumplir no es declarar. Es poder acreditarlo ante quien lo exija.
Criterio comparado
Frente a los vacíos reglamentarios, análisis del RGPD europeo, antecedente directo de la ley chilena.
Herramientas
Acceso a plataformas de software que facilitan la gestión del inventario, la atención de solicitudes y la trazabilidad del cumplimiento.
Beneficios clave para su organización
Responsabilidad delimitada
Saber quién responde y por qué
La calificación de responsable o encargado, documentada, define el alcance de su exposición y la de sus proveedores. Sin ella, la organización responde por defecto.
Atenuante disponible
Diligencia que se puede acreditar
El artículo 36 N° 5 reconoce como circunstancia atenuante el haber cumplido diligentemente los deberes de dirección y supervisión. Sin registro, esa diligencia no constituye antecedente.
Continuidad comercial
Un estándar que resiste la revisión de terceros
Clientes, sostenedores e instituciones empezarán a exigir acreditación. Llegar con la evidencia lista evita renegociaciones y pérdida de contratos vigentes.