Obligaciones de las empresas bajo la Ley 21.719

1. Tener una base de licitud para cada tratamiento

Antes que nada: no puedes tratar un dato «porque lo tienes». Necesitas una razón jurídica, y distinta para cada finalidad. Los datos de un cliente que usas para facturarle se apoyan en la ejecución de un contrato; usarlos para enviarle publicidad de otro producto es otra finalidad y necesita su propia base.

Las bases disponibles son el consentimiento art. 12 y las otras fuentes de licitud del art. 13: obligación legal, contrato o medidas precontractuales, interés legítimo, y datos de obligaciones económicas, financieras, bancarias o comerciales conforme al Título III.

Tratar sin consentimiento ni otra base, o tratar con una finalidad distinta de aquella para la que se recolectaron los datos, es infracción grave art. 34 ter a).

2. Informar: el artículo 14 ter

Es la obligación más visible y la más fácil de auditar desde afuera, porque exige mantener información permanentemente a disposición del público en el sitio web o medio equivalente. Son doce puntos, y la mayoría de las políticas de privacidad chilenas actuales cubren cuatro o cinco.

Lo desarrollamos completo, punto por punto, en qué debe contener una política de privacidad. Incumplirlo es infracción leve art. 34 bis a).

3. Tener un canal real para ejercer derechos

La ley exige individualizar un domicilio postal, un correo electrónico, un formulario de contacto o un medio electrónico equivalente actualizado y operativo a través del cual los titulares puedan dirigir sus comunicaciones y ejercer sus derechos.

No tenerlo es infracción leve por sí solo art. 34 bis b). Y no responder, responder incompleto o fuera de plazo también art. 34 bis c). Los plazos están en derechos de los titulares: treinta días corridos, prorrogables una vez.

4. Guardar secreto

El art. 14 bis establece el deber de secreto o confidencialidad sobre los datos tratados. Vulnerarlo es infracción grave; si recae sobre datos sensibles o sobre datos relativos a infracciones penales, civiles, administrativas o disciplinarias, es gravísima art. 34 quáter d).

5. Proteger desde el diseño y por defecto

El art. 14 quáter incorpora la protección de datos desde el diseño y por defecto. En términos de producto significa que la configuración inicial de un sistema debe ser la más protectora, y que la minimización se decide cuando se dibuja el formulario, no cuando llega la auditoría.

6. Adoptar medidas de seguridad

El responsable de datos debe adoptar las medidas necesarias para resguardar el cumplimiento del principio de seguridad establecido en esta ley, considerando el estado actual de la técnica y los costos de aplicación, junto con la naturaleza, alcance, contexto y fines del tratamiento, así como la probabilidad de los riesgos y la gravedad de sus efectos en relación con el tipo de datos tratados. Las medidas aplicadas por el responsable deben asegurar la confidencialidad, integridad, disponibilidad y resiliencia de los sistemas de tratamiento de datos.

Es un estándar relativo, no una lista cerrada de controles. Eso es bueno —no obliga a una pyme a comprar tecnología de banco— y también exigente: obliga a poder explicar por qué las medidas que tomaste son las adecuadas para tu riesgo. Infringirlo es infracción grave art. 34 ter j).

7. Reportar las vulneraciones de seguridad

El art. 14 sexies obliga a reportar a la Agencia las vulneraciones que ocasionen destrucción, filtración, pérdida o alteración de datos, o comunicación o acceso no autorizados, cuando exista un riesgo razonable para los derechos y libertades de los titulares. El estándar temporal es «por los medios más expeditos posibles y sin dilaciones indebidas», no un plazo en horas.

Además hay que registrar cada vulneración. Omitir las comunicaciones o los registros es infracción grave; omitir deliberadamente la comunicación es gravísima. Ver el detalle y el mito de las 72 horas →

8. Ordenar la relación con proveedores

Si un tercero trata datos por encargo tuyo —tu proveedor de hosting, tu plataforma de correos, tu CRM, tu empresa de cobranza— la ley lo llama tercero mandatario o encargado y regula esa relación en el art. 15 bis.

• La delegación debe constar documentada.
• El encargado debe cumplir el deber de secreto art. 14 bis y el de seguridad art. 14 quinquies.
• Si sufre una vulneración, debe reportarla al responsable.
• Terminada la prestación del servicio, los datos deben ser suprimidos o devueltos.

La ley señala que la Agencia pondrá a disposición del público modelos tipo de contratos en su página web. Mientras tanto, la obligación de tener el encargo documentado ya existe.

9. Evaluar el impacto cuando el riesgo es alto

El art. 15 ter obliga a realizar una evaluación de impacto antes de iniciar el tratamiento cuando sea probable que produzca un alto riesgo. Y la exige siempre en cuatro casos:

• a) Evaluación sistemática y exhaustiva de aspectos personales basada en tratamiento o decisiones automatizadas —como la elaboración de perfiles— que produzca efectos jurídicos significativos.
• b) Tratamiento masivo de datos o a gran escala.
• c) Tratamiento que implique observación o monitoreo sistemático de una zona de acceso público.
• d) Tratamiento de datos sensibles y especialmente protegidos, en las hipótesis de excepción del consentimiento.

La Agencia publicará una lista orientativa de tratamientos que la requieren y las orientaciones mínimas para realizarla.

10. Cuidar los datos que salen del país

Toda transferencia internacional necesita encuadrarse en alguna de las vías del art. 27. Hacerlo en contravención a esas normas es infracción grave art. 34 ter m). Ver transferencias internacionales →

Cómo se ve todo esto junto

El mapa completo, en una tabla

Los montos asociados a cada categoría están en multas y sanciones. Y si quieres convertir esta lista en tareas, el checklist la separa en frente legal y frente técnico.