Hay una práctica extendida en el mundo empresarial chileno que casi nadie ha cuestionado: si un dato está disponible públicamente, se puede usar.

Bases de contactos construidas a partir de registros públicos. Verificación de antecedentes de postulantes revisando causas judiciales. Enriquecimiento de bases comerciales con información societaria. Extracción automatizada de datos desde portales estatales. Todo esto se ha hecho durante años con una sensación razonable de tranquilidad jurídica.

Esa tranquilidad tenía algún fundamento legal —menos del que se creía, como veremos— y en todo caso deja de tenerlo el 1 de diciembre de 2026.

Una precisión previa, para evitar confusiones de numeración: la Ley N° 21.719 no es una ley autónoma. Su artículo primero dispone: «Introdúcense las siguientes modificaciones en la ley N° 19.628, sobre protección de la vida privada». De modo que existe un solo cuerpo legal —la Ley N° 19.628— con dos textos sucesivos: el vigente hasta el 30 de noviembre de 2026, y el que rige desde el 1 de diciembre. En lo que sigue los distinguimos como «texto anterior» y «texto vigente desde diciembre».

Lo que realmente permitía el texto anterior

Conviene partir con una precisión, porque la creencia extendida es más amplia que la norma.

El texto anterior establecía como regla general, en su artículo 4° inciso 1°, que el tratamiento de datos personales solo podía efectuarse cuando la ley lo autorizara o mediara consentimiento expreso del titular. La excepción para datos públicos estaba en el inciso 5° del mismo artículo 4°:

«No requiere autorización el tratamiento de datos personales que provengan o que se recolecten de fuentes accesibles al público, cuando sean de carácter económico, financiero, bancario o comercial, se contengan en listados relativos a una categoría de personas que se limiten a indicar antecedentes tales como la pertenencia del individuo a ese grupo, su profesión o actividad, sus títulos educativos, dirección o fecha de nacimiento, o sean necesarios para comunicaciones comerciales de respuesta directa o comercialización o venta directa de bienes o servicios.»

Leído con atención, ese inciso nunca autorizó el uso libre de cualquier dato público. Autorizó tres supuestos tasados: datos de carácter económico, financiero, bancario o comercial; listados que se limitaran a indicar antecedentes acotados de una categoría de personas; y datos necesarios para comunicaciones comerciales de respuesta directa o venta directa.

Lo que convirtió esa excepción en una llave maestra no fue su texto, sino la definición sobre la que operaba: el artículo 2° letra i) definía las fuentes accesibles al público en términos tan amplios —registros o recopilaciones de datos personales, públicos o privados, de acceso no restringido— que en los hechos casi cualquier cosa disponible en internet cabía dentro.

El resultado fue una lectura de mercado que la ley no respaldaba del todo: si el dato es público, se puede usar. Y sobre esa lectura se construyeron modelos de negocio completos.

Vale la pena retener dos límites que ya existían y que casi nadie observaba:

• Los datos sensibles nunca estuvieron cubiertos por la excepción. El artículo 10 prohibía su tratamiento salvo autorización legal, consentimiento del titular o necesidad para determinar u otorgar beneficios de salud. Que un dato sensible estuviera en una fuente pública no lo habilitaba.
• El inciso 6° del artículo 4° contenía una excepción distinta —para personas jurídicas privadas que tratan datos para uso exclusivo suyo, de sus asociados y entidades afiliadas— que con frecuencia se invoca confundida con la anterior.

Cómo funciona el sistema que rige desde diciembre

Conviene explicarlo en simple, porque todo lo que sigue depende de entender este esquema.

Hay dos caminos para tratar datos personales de manera lícita.

Camino 1: el consentimiento del titular. Es la regla general del artículo 12:

«Artículo 12.- Regla general del tratamiento de datos. Es lícito el tratamiento de los datos personales que le conciernen al titular, cuando otorgue su consentimiento para ello.»

Ese consentimiento debe ser libre, informado y específico en cuanto a su finalidad, previo, inequívoco y revocable en cualquier momento.

Camino 2: alguna de las bases de licitud del artículo 13, que permiten tratar datos sin consentimiento. Son cinco:

«Artículo 13.- Otras fuentes de licitud del tratamiento de datos. Es lícito el tratamiento de datos personales, sin el consentimiento del titular, en los siguientes casos:

a) Cuando el tratamiento esté referido a datos relativos a obligaciones de carácter económico, financiero, bancario o comercial y se realice de conformidad con las normas del Título III de esta ley, incluidos los datos referidos a la situación socioeconómica del titular.

b) Cuando el tratamiento sea necesario para la ejecución o el cumplimiento de una obligación legal o lo disponga la ley.

c) Cuando el tratamiento de datos sea necesario para la celebración o ejecución de un contrato entre el titular y el responsable, o para la ejecución de medidas precontractuales adoptadas a solicitud del titular.

d) Cuando el tratamiento sea necesario para la satisfacción de intereses legítimos del responsable o de un tercero, siempre que con ello no se afecten los derechos y libertades del titular. En todo caso, el titular podrá exigir siempre ser informado sobre el tratamiento que lo afecta y el interés legítimo en base al cual se efectúa dicho tratamiento.

e) Cuando el tratamiento de datos sea necesario para la formulación, ejercicio o defensa de un derecho ante los tribunales de justicia u órganos públicos.

El responsable deberá acreditar la licitud del tratamiento de datos.»

Basta con una: son alternativas entre sí, no requisitos copulativos.

Una advertencia sobre los datos sensibles. Las bases del artículo 13 operan sobre datos personales comunes. Los datos sensibles tienen un régimen propio y más estricto, y el interés legítimo no es una vía disponible para ellos. Que un dato sensible se encuentre en una fuente de acceso público no altera esa regla: no lo habilitaba bajo el texto anterior y tampoco lo habilita ahora. El catálogo legal es más amplio de lo que suele suponerse: además de los casos evidentes, comprende categorías que aparecen con frecuencia en bases construidas desde registros públicos. Conviene revisarlo antes de asumir que un tratamiento queda fuera.

Y conviene detenerse en la frase final, porque es la que ordena todo lo demás: la carga de acreditar la licitud del tratamiento recae sobre la empresa. No sobre el titular, ni sobre la Agencia. Quien trata los datos debe poder demostrar por qué puede hacerlo.

Todo el problema de las fuentes de acceso público consiste en determinar por cuál de estos dos caminos pueden transitar desde diciembre.

Qué se eliminó exactamente

El concepto de fuente de acceso público no desapareció de la ley. El artículo 2° letra i) del texto vigente desde diciembre sigue definiéndolo, ahora de manera más acotada, y cierra con una frase que conviene leer con atención:

«Fuentes de acceso público: todas aquellas bases de datos o conjuntos de datos personales, cuyo acceso o consulta puede ser efectuada en forma lícita por cualquier persona, tales como el Diario Oficial, medios de comunicación o los registros públicos que disponga la ley. El tratamiento de datos personales provenientes de fuentes de acceso público se someterá a las disposiciones de esta ley.»

Esa frase final es la clave: los datos de fuentes públicas quedan sometidos a la ley, sin trato preferente.

Lo que sí desapareció fue otra cosa: una sexta base de licitud.

El proyecto original del Ejecutivo contemplaba, como primera letra del artículo 13, la siguiente:

«a) Cuando los datos han sido recolectados de una fuente de acceso público y su tratamiento esté relacionado con los fines para los cuales fueron entregados o recogidos.»

Esa letra fue suprimida durante la tramitación. No figura en el texto aprobado.

Dicho de la manera más simple posible: el cambio no vino de una prohibición nueva, sino de la eliminación de un permiso. Antes, el origen público del dato era por sí solo un título para tratarlo. Hoy ya no lo es.

Para la mayoría de las organizaciones esto significa que una práctica hoy rutinaria pasará a requerir un análisis jurídico que nunca se hizo.

Las dos lecturas posibles

Hasta aquí no hay controversia. La discusión empieza ahora, y conviene conocerla porque de ella depende cuánto margen tiene su empresa.

Lectura restrictiva: se necesita consentimiento

Qué sostiene. Eliminada esa base, tratar datos de fuentes públicas exige derechamente el consentimiento del titular. Solo queda el camino 1.

En qué se apoya. El legislador conocía la norma y decidió suprimirla. Fue una supresión deliberada, no un descuido, y expresa una voluntad de excluir. Lo refuerza la frase final del artículo 2° letra i): estos datos quedan sometidos a la ley sin excepción alguna.

Es la posición que asumen expresamente los autores del proyecto de reforma que se comenta más abajo.

Qué implica en la práctica. Como el consentimiento individual es inviable en tratamientos masivos, buena parte de los negocios construidos sobre datos públicos no podría continuar.

Lectura amplia: siguen disponibles las otras bases

Qué sostiene. El artículo 13 no fue derogado, sino recortado. Sus cinco bases restantes conservan plena vigencia y se aplican a datos de cualquier procedencia, incluida la pública. El camino 2 sigue abierto, por otra puerta.

En qué se apoya. En cómo operan las bases de licitud: cada una califica la finalidad y las circunstancias del tratamiento, no el origen del dato. Lo que se eliminó fue justamente la única base que descansaba en el origen. Su desaparición significa que el origen público ya no justifica por sí solo el tratamiento; no significa que esos datos queden fuera del alcance de las demás bases. Si una empresa acredita un interés legítimo —letra d) del artículo 13—, esa base opera con independencia de dónde obtuvo la información.

Pero el argumento decisivo no es doctrinario: está en el propio texto de la ley vigente.

El artículo 8°, al regular el derecho de oposición, dispone que el titular puede oponerse al tratamiento en los siguientes casos, entre ellos:

«c) Si el tratamiento se realiza respecto de datos obtenidos de una fuente de acceso público y no existe otro fundamento legal para su tratamiento.»

Léase con cuidado. Esa norma presupone que puede existir otro fundamento legal para tratar datos obtenidos de una fuente de acceso público. Si la única vía posible fuera el consentimiento, la letra c) sería una disposición sin contenido: jamás habría datos de fuente pública tratados sin consentimiento, y el titular no necesitaría un derecho de oposición, porque el tratamiento sería derechamente ilícito.

El legislador, en el mismo texto aprobado, contempló expresamente la hipótesis de datos de fuente pública tratados sobre otro fundamento legal, y le dio al titular una herramienta —la oposición— para el caso en que ese otro fundamento no exista. Esa es la mejor prueba de que la supresión de la antigua letra a) del artículo 13 no cerró el camino 2.

Hay, además, un argumento de resultado: la lectura restrictiva llevaría a sostener que nadie puede consultar el Diario Oficial, un registro público o una lista de sanciones sin pedir autorización al afectado. Ninguna interpretación razonable puede terminar ahí.

Qué implica en la práctica. Los tratamientos pueden continuar, pero sujetos a ponderación caso a caso, documentación escrita, deber de informar al titular y derecho de oposición.

Nuestra posición

Consideramos correcta la lectura amplia, y el argumento del artículo 8° letra c) nos parece concluyente: el propio texto aprobado reconoce que los datos de fuente pública pueden tratarse sobre otro fundamento legal. La supresión de una letra del artículo 13 no arrastra a las restantes, y el sistema de bases de licitud está construido sobre la alternatividad.

Pero hay algo más importante que quién tenga la razón: bajo cualquiera de las dos lecturas, la empresa que documentó su base de licitud queda mejor parada. En la lectura amplia, documentar es el requisito legal. En la restrictiva, documentar es el argumento de defensa. Quien no puede explicar por escrito en qué se apoya para tratar esos datos, pierde en ambos escenarios.

Por eso la recomendación no depende de cómo se resuelva la discusión.

El interés legítimo no es una casilla que se marca

Este es el punto que más se malinterpreta, y el que va a generar la mayor cantidad de infracciones por buena fe.

La letra d) del artículo 13 lo permite «siempre que con ello no se afecten los derechos y libertades del titular», y agrega que «el titular podrá exigir siempre ser informado sobre el tratamiento que lo afecta y el interés legítimo en base al cual se efectúa dicho tratamiento».

Invocar interés legítimo no consiste, entonces, en declarar que la empresa tiene un interés comercial en usar el dato. Supone tres cargas concretas:

Realizar una ponderación. Hay que contrastar el interés de la organización con los derechos y expectativas razonables del titular. Una persona que aparece en un registro público de propiedad no espera razonablemente que ese dato alimente una campaña de telemarketing.

Documentar el análisis. Aquí opera el mandato final del artículo 13: «El responsable deberá acreditar la licitud del tratamiento de datos.» El interés legítimo que no se documentó, ante una fiscalización, no se realizó. La evaluación es la prueba.

Informar al titular. El tratamiento basado en interés legítimo no es un tratamiento silencioso. Existe un deber de información que en tratamientos masivos plantea desafíos operativos reales.

Y una consecuencia adicional que conviene tener presente: el interés legítimo es una base más frágil que el consentimiento, porque el titular puede oponerse al tratamiento. No es un permiso definitivo, sino uno que admite ser discutido caso a caso.

Quién está expuesto

La exposición es mucho más amplia de lo que parece. Sin ánimo exhaustivo:

• Empresas que construyen o compran bases de datos de marketing a partir de registros públicos.
• Plataformas de búsqueda de personas, verificación de antecedentes o scoring comercial.
• Áreas de recursos humanos que revisan causas judiciales, redes sociales o registros públicos de postulantes.
• Empresas que hacen extracción automatizada de datos desde portales estatales o del Poder Judicial. Con un agravante: varios de esos portales prohíben la extracción masiva en sus propios términos de servicio, lo que suma un problema contractual al regulatorio.
• Áreas de compliance y debida diligencia de terceros, que investigan proveedores y contrapartes usando fuentes abiertas. Aquí se produce una tensión que conviene nombrar: la Ley N° 21.595 empuja a las empresas a conocer a sus contrapartes, y esa investigación es, ella misma, tratamiento de datos personales.
• Proyectos de inteligencia artificial entrenados con datos obtenidos de internet.

Si su organización hace alguna de estas cosas, el trabajo no es opcional.

El giro: hay un proyecto para devolver la letra a)

Aquí el escenario se vuelve incómodo, y conviene ser transparente en lugar de vender certezas.

El 14 de enero de 2026 ingresó al Senado una moción de los senadores Araya, Quintana y Saavedra —Boletín N° 18.060-07— que busca modificar la Ley N° 21.719 antes de su entrada en vigencia, bajo el título de adecuarla «a estándares compatibles con la economía digital».

En materia de fuentes de acceso público, el proyecto hace exactamente dos cosas:

Reincorpora la letra a) suprimida. Su numeral 9 agrega nuevamente al artículo 13 el texto original: «Cuando los datos han sido recolectados de una fuente de acceso público y su tratamiento esté relacionado con los fines para los cuales fueron entregados o recogidos.» Nótese que no restablece un uso libre: mantiene la vinculación con los fines para los cuales los datos fueron entregados o recogidos.

Amplía nuevamente la definición. Restituye en el artículo 2° letra i) las expresiones «públicos o privados» y la salvedad «siempre que no existan restricciones o impedimentos legales para su acceso o utilización».

El proyecto contiene además otras enmiendas ajenas a esta materia. Solo una conviene retener aquí, porque cuantifica el riesgo en juego: propone rebajar sustancialmente las multas, a un rango de 1 a 100 UTM para infracciones leves, 101 a 1.000 UTM para las graves y 1.001 a 5.000 UTM para las gravísimas, frente a los topes vigentes de 5.000, 10.000 y 20.000 UTM.

¿Conviene esperarlo? No. Y ahora se puede afirmar con datos, no con impresiones.

La tramitación del boletín registra exactamente dos movimientos: el ingreso, el 14 de enero de 2026, y la cuenta del 20 de enero de 2026, que lo remitió a la Comisión de Constitución, Legislación, Justicia y Reglamento del Senado. Desde entonces no registra actividad. Sigue en primer trámite constitucional, en comisión, sin informe y sin urgencia.

A eso se suman tres consideraciones:

Primera: es una moción parlamentaria, no un mensaje del Ejecutivo. Sin urgencia, un proyecto en esa situación no se despacha en el plazo que queda.

Segunda: aunque prosperara, el propio texto propuesto conserva la exigencia de vinculación con los fines originales. No devuelve el uso libre que el mercado creyó tener.

Tercera, y la más práctica: el trabajo por hacer es el mismo en cualquier escenario. Saber qué datos trata su empresa, de dónde vienen, con qué finalidad y bajo qué base es una tarea que sirve igual si la letra a) vuelve, si se posterga la vigencia o si nada cambia. Ninguna reforma la vuelve innecesaria.

Existe, además, un debate paralelo sobre postergar la entrada en vigencia, vinculado a que la Agencia de Protección de Datos Personales aún no cuenta con Consejo Directivo.

Conviene notar que el legislador ya intervino en esa dificultad, y no en el sentido de postergar. La Ley N° 21.806, de febrero de 2026 —formalmente una ley de reajuste del sector público, que en su articulado incorporó disposiciones sobre otras materias—, modificó el artículo cuarto transitorio de la Ley N° 21.719 para anticipar la instalación de la Agencia y de su Consejo Directivo, ampliar los plazos para proponer consejeros e introducir una regla de cierre: si el Senado no se pronuncia dentro del plazo legal, la propuesta se entenderá aprobada por el solo ministerio de la ley. El objetivo declarado es que el Consejo pueda ejercer funciones —entre ellas dictar instrucciones y criterios interpretativos— antes de diciembre de 2026.

Dicho de otro modo: el problema institucional que se invoca para postergar la ley ya fue abordado por una vía distinta de la prórroga. Y aunque una postergación llegara a producirse, valdría la misma respuesta: cambia la fecha de la exigencia, no su contenido.

Qué hacer ahora

Un orden razonable para los próximos meses:

1. Identificar todos los tratamientos que hoy se apoyan en el origen público del dato. En la mayoría de las empresas son más de los que la gerencia cree, y suelen estar repartidos entre marketing, recursos humanos, cobranza y compliance.
2. Determinar, para cada uno, una base de licitud. Algunos tratamientos van a sobrevivir sin dificultad. Otros no van a sobrevivir, y es mejor saberlo ahora que en una fiscalización.
3. Documentar las ponderaciones de interés legítimo. Por escrito, fechadas, con criterio jurídico. Este es el entregable que la autoridad va a pedir.
4. Revisar los contratos con proveedores que entregan datos «de fuentes públicas». Conviene saber de dónde vienen realmente y quién responde si no vienen de donde dicen.
5. Revisar los términos de servicio de los portales desde los cuales se extrae información.
6. Depurar. Muchas bases contienen datos que la organización no puede justificar y que solo aportan riesgo.

El punto de fondo

El cambio no es técnico, es conceptual. Durante más de un cuarto de siglo el derecho chileno trató la publicidad del dato como sinónimo de disponibilidad. La reforma separa ambas cosas: un dato puede ser público y, aun así, su tratamiento puede ser ilícito.

Las organizaciones que entiendan esa distinción a tiempo van a llegar a diciembre con un inventario ordenado y decisiones tomadas. Las que no, van a descubrirla cuando ya sea un procedimiento sancionatorio.

---

¿Su empresa trata datos obtenidos de registros públicos, portales estatales o fuentes abiertas?

En AG & Asociados revisamos tratamientos, evaluamos bases de licitud y documentamos ponderaciones de interés legítimo, con una mirada que integra protección de datos y prevención de riesgo penal. Conversemos sobre su caso.

---

Información actualizada al 30 de agosto de 2026. Este artículo constituye una publicación de análisis y opinión jurídica. No constituye asesoría legal ni sustituye el examen particular de cada caso, el que debe resolverse atendiendo a sus circunstancias concretas.