Duemint
|
Nueva Ley de Protección de Datos en Chile: qué cambia y cómo preparar a tu empresa
La nueva Ley de Protección de Datos en Chile cambiará cómo las empresas recopilan, utilizan y protegen la información personal de clientes, trabajadores y proveedores.
La Ley 21.719 fue publicada con entrada en vigencia prevista para el 1 de diciembre de 2026. Sin embargo, el Gobierno propuso postergar su entrada en vigencia hasta el 1 de diciembre de 2027, para facilitar la adaptación de las organizaciones y la instalación de la nueva Agencia de Protección de Datos Personales. El anuncio de esta propuesta no modifica por sí solo el plazo establecido.
La Agencia será la autoridad encargada de fiscalizar, resolver reclamaciones y aplicar sanciones. Las empresas deberán poder demostrar para qué utilizan los datos, cómo los protegen y cómo responden a las solicitudes de las personas.
¿Qué datos personales deberá proteger tu empresa?
Un dato personal es cualquier información que identifica o permite identificar a una persona natural. La protección también alcanza a empresas B2B cuando manejan datos de personas.
Personas vinculadas con la empresa | Ejemplos de datos personales |
|---|---|
Clientes, prospectos y usuarios | Nombre, RUT, teléfono y correo electrónico personal. |
Trabajadores | Datos de contacto, remuneraciones y antecedentes de salud. |
Proveedores y representantes legales | Nombre, RUT, firma y datos bancarios asociados a una persona natural. |
Contactos de otras empresas | Nombre, cargo y correo laboral que permitan identificar a la persona. |
¿Qué cambia con la nueva Ley de Protección de Datos?
Tener una política de privacidad o una casilla de consentimiento no será suficiente. La empresa deberá justificar el uso de los datos, aplicar controles y conservar evidencia de su cumplimiento.
1. Derechos de las personas
La ley reconoce los siguientes derechos sobre los datos personales:
Derecho | ¿Qué permite solicitar? |
|---|---|
Acceso | Conocer qué datos mantiene la empresa y para qué los utiliza. |
Rectificación | Corregir información incorrecta o desactualizada. |
Supresión | Eliminar datos cuando corresponda. |
Oposición | Oponerse a determinados tratamientos. |
Portabilidad | Recibir y trasladar ciertos datos en un formato adecuado. |
Bloqueo | Suspender temporalmente el tratamiento en los casos previstos por la ley. |
Como regla general, la empresa deberá pronunciarse dentro de 30 días corridos, prorrogables una vez por otros 30 días.
Para responder, necesitará localizar la información y ejecutar la solicitud en los sistemas correspondientes. Corregir un teléfono en el CRM, por ejemplo, no resuelve el problema si continúa incorrecto en facturación o cobranza.
2. Finalidad y fundamento para utilizar los datos
La empresa deberá definir para qué necesita cada dato y qué fundamento permite utilizarlo. El consentimiento es una de las bases posibles, pero también pueden existir obligaciones legales, relaciones contractuales u otros fundamentos reconocidos por la normativa.
Agregar una casilla de aceptación a todos los formularios no reemplaza esta evaluación. También será necesario revisar quién accede a la información y durante cuánto tiempo debe conservarse.
3. Medidas de seguridad proporcionales al riesgo
Proteger los datos implica prevenir filtraciones, errores internos y accesos innecesarios. Los controles deben ser proporcionales al tipo de información, su volumen y el impacto de una eventual exposición.
Esta responsabilidad también alcanza a los proveedores y las herramientas de IA que procesan datos. La empresa debe revisar qué información comparte, bajo qué condiciones y cómo se protege. Cuando utilice decisiones exclusivamente automatizadas con efectos significativos sobre una persona, también deberá contemplar los derechos de información y revisión humana que correspondan.
La ley no exige una tecnología o certificación única. Lo relevante es aplicar controles adecuados y conservar evidencia de su funcionamiento, con trazabilidad de quiénes acceden a los datos personales y por qué.
Revisa qué exige técnicamente la Ley de Protección de Datos.
4. Gestión y comunicación de incidentes
Una vulneración puede surgir de un ciberataque, un envío al destinatario equivocado, la pérdida de un equipo o la exposición de una base por un proveedor.
La empresa deberá contener el incidente, identificar los datos y personas afectadas, evaluar el riesgo y documentar las medidas adoptadas.
Cuando exista un riesgo razonable para los derechos y libertades de las personas, deberá reportarlo a la Agencia sin dilaciones indebidas. Según la información comprometida y las condiciones legales, también pueden activarse obligaciones de comunicación a los afectados.
¿Qué podrá fiscalizar la Agencia de Protección de Datos Personales?
La Agencia podrá revisar cómo la empresa utiliza y protege la información, por lo que será necesario mantener evidencia de sus procesos.
Ámbito | ¿Qué deberá acreditar la empresa? |
|---|---|
Uso de los datos | Finalidad y fundamento del tratamiento. |
Derechos de las personas | Gestión y respuesta a las solicitudes. |
Seguridad | Controles aplicados y evidencia de su funcionamiento. |
Incidentes | Evaluación, medidas adoptadas y comunicaciones que correspondan. |
Proveedores | Condiciones y controles para el tratamiento por terceros. |
¿Qué sanciones contempla la ley?
La ley establece sanciones según la gravedad del incumplimiento:
Tipo de infracción | Sanción |
|---|---|
Leve | Amonestación escrita o multa de hasta 5.000 UTM. |
Grave | Multa de hasta 10.000 UTM. |
Gravísima | Multa de hasta 20.000 UTM. |
Las multas máximas no se aplican automáticamente. La Agencia deberá evaluar el daño causado, la cantidad de personas afectadas, las medidas que tomó la empresa para prevenir el problema, su capacidad económica y las sanciones anteriores. También considerará si obtuvo un beneficio económico o comprometió datos sensibles o de menores de edad.
Además, podrá exigir que la empresa corrija el incumplimiento. Si no implementa las medidas ordenadas dentro del plazo establecido, de hasta 60 días, la multa podrá aumentar un 50%.
Cuando una empresa vuelva a incumplir y se cumplan las condiciones de reincidencia de la ley, las multas podrán aumentar. Ante infracciones gravísimas reiteradas, la Agencia también podrá suspender temporalmente determinadas operaciones con datos personales. Las empresas podrán solicitar que un tribunal revise la legalidad de la sanción.
¿Cómo preparar a tu empresa?
El primer paso es identificar qué datos personales utiliza tu empresa y en qué procesos intervienen, como ventas, facturación, cobranza, contratación o pago a proveedores. Revisa cómo se recopilan, dónde se guardan y con quién se comparten.
Paso | Acción concreta |
|---|---|
1. Identifica los datos y sus procesos | Registra qué datos personales utiliza cada área, en qué tareas y sistemas se ocupan y quiénes acceden a ellos. |
2. Justifica su uso | Define para qué necesitas los datos, qué permite utilizarlos y cuánto tiempo debes conservarlos. Elimina lo que ya no sea necesario ni obligatorio mantener. |
3. Revisa la seguridad | Limita los accesos según cada función y comprueba cómo protegen la información los proveedores y plataformas que la reciben. |
4. Define responsables y procedimientos | Establece quién recibirá y responderá las solicitudes de las personas, y quién actuará ante una filtración o acceso indebido. |
5. Prueba los procesos | Simula una solicitud de eliminación y un incidente de seguridad para comprobar que los equipos y sistemas pueden responder. |
Protección de datos en los procesos financieros
Los procesos financieros concentran información de clientes, cuentas bancarias, facturas y pagos que circula entre distintos equipos y sistemas.
Duemint conecta recaudación, tesorería y pago a proveedores mediante automatizaciones e integraciones vía API. Sus roles, permisos, flujos de autorización e historial auditable ayudan a mantener control y trazabilidad sobre la operación.
Conoce los controles de seguridad de Duemint y cómo su API financiera conecta bancos, ERP y otros sistemas.
Estas capacidades apoyan la gestión de la información y ayudan a tu empresa a avanzar en el cumplimiento de la Ley 21.719.
Preguntas frecuentes
¿Cuándo entra en vigencia la Ley 21.719?
La fecha prevista en la ley publicada es el 1 de diciembre de 2026. El Gobierno propuso trasladarla al 1 de diciembre de 2027, pero ese cambio requiere aprobación y publicación para producir efectos. El anuncio por sí solo no modifica la fecha.
¿La ley aplica a empresas B2B?
Sí, cuando utilizan datos de personas naturales, como trabajadores, representantes legales o contactos de clientes y proveedores. Vender exclusivamente a otras empresas no elimina estas obligaciones.
¿Basta con pedir consentimiento?
No. La empresa también debe explicar para qué utiliza los datos, protegerlos y permitir que las personas ejerzan sus derechos. El consentimiento tampoco es la única base para utilizarlos: pueden existir obligaciones legales, relaciones contractuales u otros fundamentos reconocidos por la ley.
¿Es necesario cambiar todos los sistemas?
No necesariamente. Primero debes identificar qué datos personales utiliza tu empresa, en qué procesos intervienen y qué aspectos necesitan mejorar. Ese diagnóstico permitirá definir los ajustes en sistemas, contratos y procedimientos.
¿Cuánto puede aumentar la multa si la empresa vuelve a incumplir?
Cuando se cumplen las condiciones de reincidencia establecidas por la ley, la multa puede aumentar hasta tres veces el monto correspondiente.
Para empresas que no sean de menor tamaño, la reincidencia en infracciones graves o gravísimas también puede dar lugar a multas de hasta el 2% o el 4% de sus ingresos anuales, respectivamente. En estos casos, podrá aplicarse la sanción más alta entre ambas alternativas.
¿Hay alguna consideración especial para las empresas de menor tamaño?
Durante los primeros 12 meses de vigencia, la Agencia podrá aplicar una amonestación escrita, considerando la gravedad y las circunstancias del incumplimiento. Esto no significa que todas las empresas de menor tamaño queden exentas de multas.
¿La Agencia puede suspender las operaciones de una empresa?
Puede suspender total o parcialmente las operaciones de tratamiento de datos ante infracciones gravísimas reiteradas en un periodo de 24 meses. Esto no implica necesariamente detener toda la actividad de la empresa.
La suspensión puede durar hasta 30 días y prorrogarse si no se cumplen las medidas ordenadas. No puede afectar los derechos de las personas cuyos datos se utilizan.
¿La empresa puede pedir que se revise una sanción?
Sí. Si considera que la resolución de la Agencia no se ajusta a la ley, podrá presentar un reclamo ante la Corte de Apelaciones competente. El plazo es de 15 días hábiles desde la notificación.
Este contenido es informativo y no constituye asesoría legal.
