La Ley 21.719 de Protección de Datos Personales entra en vigor el 1 de diciembre de 2026. Con ella, Chile estrena una autoridad fiscalizadora real, sanciones que pueden alcanzar el 4% de los ingresos anuales y un conjunto de obligaciones que toda organización debe implementar antes de esa fecha. La pregunta que más escucho en las empresas es directa: ¿qué debemos hacer exactamente?
La arquitectura de la ley: principios antes que reglas
La Ley 21.719 no es un manual de conductas permitidas y prohibidas. Opera a través de principios que determinan cómo debe tratarse la información personal en cualquier contexto. La Agencia de Protección de Datos (APDP) fiscalizará no solo el cumplimiento de reglas específicas, sino si el tratamiento de datos de la organización es coherente con el espíritu que esos principios establecen.
Los siete principios fundamentales son:
- Licitud, lealtad y transparencia: el tratamiento debe tener base legal válida y los titulares deben ser informados con claridad.
- Finalidad: los datos se recolectan para propósitos específicos y legítimos, y no pueden usarse para algo diferente sin justificación.
- Proporcionalidad: solo se tratan los datos estrictamente necesarios. Recolectar de más "por las dudas" es una infracción.
- Calidad: los datos deben ser exactos, completos y actualizados.
- Responsabilidad (accountability): quien trata los datos debe poder demostrar que cumple la ley, no solo declararlo.
- Seguridad: se deben implementar medidas técnicas y organizativas proporcionales al riesgo.
- Confidencialidad: quienes acceden a los datos están obligados a reserva, incluso tras terminar la relación laboral.
Las ocho obligaciones que toda empresa debe implementar
- Registro de Actividades de Tratamiento (RAT): inventario actualizado de qué datos se procesan, con qué finalidad, bajo qué base de licitud y por cuánto tiempo.
- Consentimiento válido: libre, específico, informado e inequívoco. Para datos sensibles, explícito. Se prohíben casillas premarcadas y consentimientos implícitos.
- Derechos ARSOP : acceso, rectificación, supresión, oposición y portabilidad. Plazo de respuesta: máximo 30 días desde recibida la solicitud.
- Notificación de brechas: a la APDP idealmente dentro de 72 horas de conocido el incidente. Si se comprometen datos sensibles, también se avisa a los afectados.
- Acuerdos de Tratamiento de Datos (DPA): con cada proveedor que procese datos en nombre de la empresa: CRM, nómina, hosting, atención al cliente, email marketing.
- Evaluaciones de Impacto (EIPD): obligatorias en tratamientos de alto riesgo, como perfilamiento masivo o manejo de datos sensibles sin consentimiento.
- Política de privacidad completa: con identidad del responsable, finalidades, bases de licitud, destinatarios, plazos de conservación y mecanismos para ejercer derechos.
- Capacitación de los equipos: la obligación que más empresas subestiman y la de mayor impacto en el cumplimiento real.
Por qué la capacitación es el principio, no el final
Las primeras siete obligaciones pueden diseñarse en un escritorio. Pero ninguna funciona si las personas que operan día a día no comprenden qué pueden y qué no pueden hacer con los datos que manejan. El incumplimiento raramente nace de malas intenciones: nace de personas que no saben que lo que hacen constituye tratamiento de datos, que no reconocen una brecha cuando ocurre, o que no saben cómo responder cuando un titular ejerce sus derechos.
La APDP fiscaliza evidencia operativa. Esa evidencia se genera cuando los procesos funcionan, y los procesos funcionan cuando las personas están formadas para ejecutarlos.
La solución concreta: el curso e-learning de élogos
En élogos desarrollamos un programa e-learning diseñado específicamente para la Ley 21.719: principios rectores, obligaciones operativas, derechos ARSOP, gestión de brechas y rol de la Agencia, con casos prácticos para banca, retail, telecomunicaciones, salud y educación. El mismo contenido, para toda la dotación, con registro de avance y certificación de cumplimiento.
El curso está disponible con franquicia tributaria SENCE. Las empresas pueden capacitar a toda su dotación con impacto mínimo en el presupuesto operativo. Con más de veinte años de experiencia en formación corporativa e-learning, élogos tiene la capacidad de escalar a miles de colaboradores con rapidez.
Una política de privacidad impecable no protege a nadie si el equipo no sabe aplicarla. La norma la cumplen las personas. Conversemos sobre cómo capacitar a las suyas.
