¿Qué cambia respecto a la ley anterior?
La Ley 19.628 de 1999 era básicamente declarativa — ponía algunos principios pero tenía poca capacidad de enforcement. La Ley 21.719 crea el Consejo para la Transparencia como autoridad de datos con poder sancionatorio real, establece obligaciones concretas para las empresas, y reconoce derechos individuales que los titulares pueden ejercer y exigir.
El modelo es similar al GDPR europeo, adaptado al contexto chileno. Quien ya cumple GDPR tiene la mitad del trabajo hecho. Quien partía de cero con la ley de 1999 tiene trabajo sustancial por delante.
Las obligaciones principales
1. Registro de Actividades de Tratamiento (RAT)
Toda organización que trate datos personales debe mantener un registro que documente:
- Qué datos se recopilan y con qué finalidad
- La base legal que justifica el tratamiento (consentimiento, contrato, obligación legal, interés legítimo)
- Con quién se comparten los datos (terceros, proveedores, transferencias internacionales)
- Cuánto tiempo se conservan los datos
- Qué medidas de seguridad se aplican
No es necesario publicar el RAT, pero debe estar disponible ante requerimiento de la autoridad. Y tiene que ser real — no basta con copiar una plantilla genérica.
2. Derechos ARCO+
Los titulares de datos tienen derechos que tu empresa está obligada a responder en plazos definidos:
| Derecho | Descripción | Plazo |
|---|---|---|
| Acceso | Saber qué datos tienes de él y cómo los usas | 15 días hábiles |
| Rectificación | Corregir datos incorrectos o desactualizados | 15 días hábiles |
| Cancelación / Supresión | Eliminar datos cuando ya no es necesario conservarlos | 15 días hábiles |
| Oposición | Oponerse al tratamiento en ciertos casos (ej: marketing) | 15 días hábiles |
| Portabilidad | Recibir sus datos en formato estructurado y transferirlos | 30 días hábiles |
| No ser perfilado | No ser sujeto de decisiones automatizadas con efectos jurídicos | — |
El plazo empieza desde que llega la solicitud — no desde que la lees. Necesitas un proceso claro para recibir, gestionar y responder estas solicitudes.
3. Evaluación de Impacto en la Protección de Datos (EIPD)
Para tratamientos de "alto riesgo" — datos sensibles a gran escala, perfilamiento masivo, o uso de tecnologías nuevas con impacto significativo — la ley exige una evaluación de impacto previa. Similar al DPIA del GDPR.
No toda empresa necesitará hacer EIPDs. Pero si tratas datos biométricos, datos de salud, datos de menores, o haces perfilamiento sistemático de usuarios, es probable que aplique.
4. Notificación de brechas de seguridad
Cuando ocurra una brecha que afecte datos personales, hay dos obligaciones:
- Notificar a la autoridad (Consejo para la Transparencia) dentro de 30 días desde el conocimiento de la brecha
- Notificar a los titulares afectados cuando la brecha implique alto riesgo para sus derechos
Nota: este plazo de 30 días es significativamente más largo que las 72 horas del GDPR o las 3 horas de la Ley 21.663. Pero "desde el conocimiento" es relevante — si demuestras que sabías antes y no notificaste, eso es infracción.
5. Medidas de seguridad técnicas y organizativas
La ley exige medidas de seguridad "apropiadas" para el nivel de riesgo del tratamiento. No define exactamente cuáles — aquí es donde un SGSI bajo ISO 27001 se convierte en la respuesta más robusta, porque proporciona el marco probatorio para demostrar que las medidas son adecuadas.
¿Qué datos son "sensibles"?
La Ley 21.719 tiene categorías especiales de datos con mayor protección:
- Origen racial o étnico
- Situación socioeconómica
- Salud y vida sexual
- Datos biométricos identificativos (huella, reconocimiento facial)
- Datos genéticos
- Opiniones políticas, creencias religiosas o filosóficas
- Afiliación sindical
- Datos de menores de edad
Para estos datos, la base legal más común (consentimiento) debe ser explícita — no implícita ni por omisión.
El Consejo para la Transparencia puede imponer multas de hasta 5.000 UTM (~$300M CLP) por infracciones graves. Las infracciones gravísimas (tratamiento de datos sensibles sin base legal, reincidencia) pueden llegar a 10.000 UTM. Además de las multas, la autoridad puede ordenar la eliminación de los datos tratados ilegalmente.
Por dónde empezar
El primer paso práctico es el inventario: mapear qué datos personales tratas, dónde están, con qué finalidad y bajo qué base legal. Muchas empresas se sorprenden de cuántos flujos de datos existen que nadie documentó nunca.
Con ese inventario, el RAT se construye en días. Y con el RAT, puedes identificar dónde están los riesgos reales que requieren EIPDs, contratos de encargados actualizados, o cambios en tus políticas de retención.
El módulo Ley 21.719 en Calut
RAT, gestión de derechos ARCO, EIPDs, base legal — todo en un solo panel con el flujo completo de cumplimiento.
Ver módulo Ley 21.719 →