Transferencias internacionales de datos
Casi todas las empresas chilenas transfieren datos al extranjero, aunque no lo llamen así. Usar correo en la nube, un CRM internacional, una plataforma de mailing o analítica implica que datos de personas en Chile se tratan fuera del país.
La regla general · artículo 27
Cumpliéndose los requisitos que autorizan el tratamiento, las operaciones de transferencia internacional son lícitas en los siguientes casos:
- a) País con nivel adecuado de protección. Cuando la transferencia se realiza a una persona, entidad u organización sujeta al ordenamiento jurídico de un país que proporciona niveles adecuados de protección de datos personales, conforme al art. 28.
- b) Garantías contractuales. Cuando queda amparada por cláusulas contractuales, normas corporativas vinculantes u otros instrumentos jurídicos suscritos entre quien transfiere y quien recibe, que establezcan garantías adecuadas conforme al art. 28.
- c) Modelo de prevención. Cuando quien transfiere y quien recibe adoptan un modelo de prevención de infracciones que cumpla los requisitos de la ley. Ver modelo de prevención
El artículo contempla además otros supuestos. La idea de fondo es que un dato personal no pierde protección por cruzar una frontera: debe seguir amparado, ya sea por el ordenamiento del país de destino o por un instrumento que tú suscribiste.
Quién decide qué país es «adecuado»
La Agencia de Protección de Datos Personales. Entre sus funciones está determinar los países que ofrecen niveles adecuados de protección y aprobar los instrumentos aplicables a las transferencias internacionales.
A la fecha de revisión de esta página, esas determinaciones aún no existen porque la Agencia no está en funcionamiento. Eso significa que hoy la vía practicable para la mayoría de las organizaciones es la letra b): tener el instrumento contractual adecuado con cada proveedor.
Se lee por ahí que basta con «alojar los datos en Chile» para evitar todo este problema, o que usar un proveedor grande y conocido resuelve la transferencia por sí solo.
Lo que dice la ley que ni la localización ni la reputación del proveedor son, por sí mismas, una base jurídica. Lo que la ley exige es encuadrar la transferencia en alguna de las vías del artículo 27 y declararla en la información pública del artículo 14 ter, indicando si el destino ofrece o no nivel adecuado y, si no lo ofrece, qué garantías la justifican.
Lo que hay que declarar públicamente
El art. 14 ter h) exige informar, en su caso, la transferencia de datos personales a un tercer país u organización internacional y si éstos ofrecen o no un nivel adecuado de protección. Si no lo ofrecen, se debe informar si existen garantías que justifiquen la transferencia.
Es uno de los puntos más incumplidos y, a la vez, de los más fáciles de detectar desde afuera: basta observar a qué dominios y regiones salen las peticiones de un sitio para contrastarlo con lo que declara su política.
Cómo abordarlo en la práctica
Explicado en simple
El primer paso no es jurídico, es de inventario: hacer la lista de los servicios que usas y dónde están.
Una lista típica de una pyme chilena incluye más de lo que se piensa: el correo corporativo, el almacenamiento de archivos, el sistema de facturación, la plataforma de correos masivos, el chat del sitio, la analítica, el hosting, la herramienta de firma electrónica, el sistema de reservas.
Con la lista hecha, por cada uno respondes tres cosas:
- ¿Qué datos de personas toca este servicio?
- ¿Dónde los trata? (país o región)
- ¿Qué documento firmé con ellos que hable de protección de datos?
La tercera pregunta suele ser la incómoda. La mayoría de los proveedores internacionales tiene un anexo de tratamiento de datos disponible; muchas veces está aceptado por defecto en los términos y sólo hay que ubicarlo y guardarlo.
Lo importante: no tienes que dejar de usar esas herramientas. Tienes que saber cuáles usas, con qué respaldo y decirlo en tu política.
Para equipos técnicos y legales
Mapeo operativo del flujo transfronterizo:
- Distingue transferencia de acceso remoto. Un proveedor que sólo brinda soporte con acceso puntual a sistemas alojados en Chile también trata datos. El criterio relevante es quién trata y bajo qué ordenamiento, no dónde está el disco.
- Inventaria por observación, no por declaración. Los destinos reales se ven en las peticiones salientes del navegador y en las integraciones de servidor. Un CDN, una fuente tipográfica remota, un pixel o un webhook pueden constituir flujo de datos no declarado.
- Encadenamiento de subencargados. Tu proveedor puede subcontratar. El instrumento del art. 27 b) debe alcanzar esa cadena, y el art. 15 bis te mantiene como responsable frente al titular.
- Documenta la vía invocada por cada flujo. No basta con tener contratos: hay que poder decir, por flujo, cuál de las letras del artículo 27 lo ampara. Ese es el dato que alimenta el punto h) de la política.
- Diseña para el cambio regulatorio. Cuando la Agencia publique la lista de países con nivel adecuado y apruebe instrumentos tipo, algunos flujos podrán simplificar su base y otros necesitarán reforzarla. Mantén el registro de transferencias como un artefacto vivo y no como un anexo del contrato.
- Transferencia ≠ cesión. Revisa si el destinatario actúa como encargado (trata por cuenta tuya) o como responsable independiente (decide fines propios). El régimen contractual y la información al titular cambian según el caso.
Realizar transferencias internacionales en contravención a las normas de la ley es infracción grave (art. 34 ter m)).
Servicios que casi siempre implican transferencia
Detectar cuáles de estos carga realmente tu sitio, y contrastarlo con lo que declara tu política, es uno de los hallazgos que entrega PixaPrivacy.
Sigue leyendo
¿Y cómo está tu sitio hoy?
Leer la ley es el primer paso. El segundo es mirar tu sitio con los mismos ojos con que lo mirará cualquiera: qué formularios pides, qué scripts de terceros cargas, qué informas y qué no. PixaPrivacy revisa el estado técnico y público de un sitio web y te entrega un informe priorizado con hallazgos, evidencia y una hoja de ruta.
PixaPrivacy es una herramienta de diagnóstico técnico. No emite certificaciones legales ni sustituye la asesoría de un abogado.
Sobre esta página
El contenido de esta página se redactó contrastando cada afirmación con el texto oficial de la Ley N° 21.719 publicado por la Biblioteca del Congreso Nacional y con el estado de tramitación publicado por el Senado. Puedes verificarlo tú mismo en fuentes oficiales.
Información general, no asesoría legal. PixaWeb es una empresa de desarrollo web y software, no un estudio jurídico. Esta guía explica la norma de forma divulgativa y no considera las circunstancias de tu organización. Para decisiones concretas —especialmente sobre bases de licitud, datos sensibles o incidentes— consulta con un abogado o abogada especialista.