Ley de Protección de Datos Personales: claves para las empresas

Chile cuenta con una nueva Ley de Protección de Datos Personales, la Ley N° 21.719, publicada el 13 de diciembre de 2024.

La normativa reemplaza a la antigua Ley N° 19.628 y crea una autoridad especializada en la materia: la Agencia de Protección de Datos Personales (APDP).

¿Qué trae de nuevo la Ley de Protección de Datos Personales?

Entre sus principales novedades se encuentran:

• Una nueva autoridad: la APDP tendrá facultades para fiscalizar, instruir e imponer multas.
• Más derechos para las personas: acceso, rectificación, supresión, oposición y portabilidad de los datos.
• Delegado de Protección de Datos: la ley contempla esta figura para apoyar la gestión y cumplimiento en materia de datos personales.
• Reporte de vulneraciones: establece obligaciones de comunicación ante determinados incidentes de seguridad.
• Transferencias internacionales: establece reglas para los envíos de datos personales a proveedores o casas matrices fuera de Chile.
• Multas significativas: contempla infracciones leves, graves y gravísimas, con sanciones que pueden alcanzar hasta 20.000 UTM en los casos más graves.

El RAT: una herramienta para ordenar la gestión de datos

Uno de los pilares prácticos para prepararse para la nueva normativa es contar con un Registro de Actividades de Tratamiento (RAT).

En términos simples, permite ordenar los datos personales que maneja una empresa: qué información recopila, para qué la utiliza, quién accede a ella, dónde se almacena y cuánto tiempo se conserva.

Un buen registro debería considerar, entre otros elementos:

✓ Identificación del área o persona responsable de cada tratamiento.

✓ Finalidades específicas de cada uso de los datos.

✓ Categorías de titulares y datos tratados, incluyendo los datos sensibles.

✓ Transferencias a proveedores o al extranjero, cuando corresponda.

✓ Plazos de conservación y criterios para eliminar los datos.

✓ Medidas de seguridad implementadas para proteger la información.

El registro debe mantenerse actualizado cuando cambian los sistemas, proveedores o tratamientos de datos.

¿Qué deberían hacer las empresas desde ya?

La preparación requiere revisar cómo se gestionan actualmente los datos personales dentro de la organización.

Entre las acciones que pueden considerar las empresas están:

✓ Levantar un catastro de los datos personales que se recopilan, utilizan y almacenan.

✓ Revisar y actualizar políticas internas, cláusulas de consentimiento y contratos con proveedores.

✓ Definir un protocolo de respuesta ante filtraciones o incidentes de seguridad.

✓ Evaluar la necesidad de contar con un Delegado de Protección de Datos.

✓ Capacitar al personal clave sobre los nuevos deberes y derechos.

✓ Asignar seguimiento periódico al avance, con responsables y plazos definidos.

¿Por qué es importante cumplir?

El cumplimiento no se relaciona únicamente con las posibles sanciones.

También involucra la exposición pública, la gestión de riesgos, las exigencias de clientes y socios comerciales y, especialmente, la confianza de las personas que entregan sus datos a una organización.

Un adecuado manejo de los datos personales contribuye a proteger la continuidad y reputación del negocio.

¿Cuándo entra en vigencia la nueva Ley?

La fecha de entrada en vigencia establecida actualmente es el 1 de diciembre de 2026.

Sin embargo, el 1 de septiembre de 2026 ingresó al Senado un proyecto que propone modificar la Ley N° 21.719 y postergar su entrada en vigencia hasta el 1 de diciembre de 2027.

Mientras este proyecto no sea aprobado y se convierta en ley, la fecha de entrada en vigencia continúa siendo el 1 de diciembre de 2026.

Por eso, las empresas deben continuar avanzando en la preparación e implementación de las medidas necesarias para cumplir con la nueva normativa.