Chile tiene una ley nueva. Se llama Ley 21.719, fue publicada en diciembre de 2024 y regula cómo las empresas pueden usar, guardar y compartir información personal de sus clientes, trabajadores y proveedores. La pregunta que más escucho no es cuándo entra en vigencia, sino qué tan expuestas están las empresas hoy. Estas son las lecciones críticas que todo directorio, área legal o equipo técnico debería procesar antes de que llegue la primera notificación.
1. La ley funciona sobre tres pilares
El primero es un conjunto de reglas que define qué es un dato personal y bajo qué condiciones una empresa puede usarlo. No basta con tener los datos: hay que tener una razón válida para usarlos, usarlos solo para ese fin, y poder demostrarlo.
El segundo es un sistema de multas. Las infracciones se dividen en leves, graves y gravísimas, y las multas van desde montos menores hasta cifras equivalentes a miles de millones de pesos. En los casos más graves y para empresas grandes que reinciden, la multa puede calcularse como un porcentaje de los ingresos anuales de la empresa.
El tercero es una autoridad nueva: la Agencia de Protección de Datos Personales, conocida como APDP. Es un organismo del Estado creado específicamente para fiscalizar que las empresas cumplan esta ley. Puede investigar, multar, ordenar que se deje de usar cierta información e incluso suspender operaciones. También recibe denuncias de personas cuyos datos hayan sido mal usados.
2. Cuando compras una empresa, compras también sus problemas
Un caso conocido internacionalmente ilustra esto mejor que cualquier explicación. La cadena hotelera Marriott compró otra cadena llamada Starwood en 2016. Dos años después descubrió que los sistemas de Starwood habían sido hackeados y que eso llevaba ocurriendo cuatro años antes de la compra. Los datos de 383 millones de personas quedaron expuestos. La multa la pagó Marriott, no Starwood, porque Marriott era el dueño al momento en que se descubrió el problema.
La lección es directa: cuando una empresa compra a otra, hereda sus problemas de datos. Por eso, revisar en detalle cómo la empresa que se va a comprar maneja la información personal de sus clientes y trabajadores es tan importante como revisar sus estados financieros o sus contratos.
3. Los seis errores más comunes en empresas chilenas
Después de trabajar con distintas organizaciones, los problemas que aparecen una y otra vez son siempre los mismos:
- Usar datos reales de clientes para pruebas de sistemas. Lo correcto es trabajar con datos ficticios o anonimizados.
- Contratar herramientas tecnológicas externas sin firmar un DPA. Plataformas en la nube o software de gestión que reciben datos sin un Data Processing Agreement que regule cómo pueden usarlos. La ausencia de ese contrato es una infracción.
- Acumular bases de datos sin consentimiento. Listas de personas que "algún día podrían ser clientes o contratados" sin autorización para guardar sus datos.
- No tener política de retención. Información almacenada indefinidamente sin revisar si todavía tiene sentido conservarla.
- Tratar datos sensibles igual que cualquier otro dato. Diagnósticos de salud, afiliación sindical, origen étnico de trabajadores. La ley exige condiciones mucho más estrictas para esta información.
- Usar IA en selección de personal sin evaluación de riesgo. Sin un ser humano que revise y valide los resultados de los algoritmos.
4. El contrato que casi nadie tiene
Cuando una empresa contrata a un proveedor externo para un trabajo que implica acceder a datos de sus clientes o trabajadores, la ley exige que exista un contrato específico que regule ese acceso. Ese contrato se llama Data Processing Agreement (DPA).
Lo importante es que esta obligación no se detiene en el proveedor directo. Si ese proveedor a su vez subcontrata a otro, también debe existir un DPA entre ellos. Un ejemplo concreto: si una empresa minera pide información de los trabajadores a una empresa de servicios que tiene a esos trabajadores contratados, debe existir un DPA no solo entre la minera y la empresa de servicios, sino también entre la empresa de servicios y cualquier subcontratista que toque esos datos. El contrato comercial de siempre no es suficiente.
5. No basta con tener buenas intenciones: hay que poder demostrarlo
Este es quizás el cambio más profundo que trae la ley. Ya no es suficiente decir que la empresa cuida los datos de sus clientes. Hay que poder demostrarlo con evidencia concreta.
Ya no basta con decir que la empresa cuida los datos. Hay que poder demostrarlo con evidencia concreta, en cualquier momento, ante cualquier fiscalización.
Eso implica tres cosas:
Trazabilidad
Saber en todo momento qué datos tiene la empresa, quién los ha visto, cuándo y para qué. Si no hay registro de eso, no hay defensa posible ante una investigación.
Gestión de riesgos
Entender qué puede salir mal con los datos que se manejan y tomar medidas antes de que ocurra, considerando el riesgo legal, el daño a la reputación y las posibles sanciones.
Evaluaciones de impacto
Cuando una empresa va a iniciar un proceso que involucra datos sensibles o decisiones automatizadas que afectan a las personas, la ley exige un análisis formal previo de los riesgos. Esto es especialmente relevante cuando se usan algoritmos o inteligencia artificial para tomar decisiones sobre trabajadores o clientes.
6. Tres áreas que deben trabajar juntas
El cumplimiento de esta ley no es un tema solo de tecnología, ni solo de recursos humanos, ni solo del área legal. Los tres deben coordinarse.
Personas
Las capacitaciones sobre protección de datos deben quedar registradas. No basta con hacer una charla: hay que tener evidencia de que se hizo, quién asistió y qué se explicó.
Procesos
Las personas tienen derecho a pedir que se les muestre qué información tiene la empresa sobre ellas, a corregirla, a eliminarla y a oponerse a ciertos usos. La empresa debe tener un mecanismo claro, con plazos definidos, para responder esas solicitudes. Esto es especialmente sensible cuando un trabajador deja la empresa: en ese momento hay que revisar qué datos se conservan y cuáles deben eliminarse.
Tecnología
La empresa debe mantener un inventario actualizado de todos los datos personales que trata: qué datos son, de dónde vienen, para qué se usan, quién tiene acceso y hasta cuándo se guardan. Ese inventario no puede ser una planilla de Excel que se revisa una vez al año. Debe estar siempre actualizado.
Un punto relevante: el consentimiento de una persona para que se usen sus datos puede ser retirado en cualquier momento. Por eso, apoyar toda la operación de la empresa en el consentimiento como única justificación es una estrategia frágil. Cada tipo de dato y cada uso requiere su propia justificación legal.
7. Por dónde empezar esta semana
1. Diagnóstico interno (1 a 2 semanas)
Seguir el flujo real de los datos, no el organigrama de la empresa. La pregunta es: ¿por dónde pasa la información de los clientes y trabajadores desde que entra hasta que se elimina? Ese ejercicio suele revelar problemas que nadie sabía que existían.
2. Revisión de accesos (2 a 4 semanas)
Quién tiene acceso a qué información dentro de la empresa, y cerrar todo acceso que no sea estrictamente necesario para el trabajo de esa persona.
3. Contratos con proveedores (1 a 3 meses)
Firmar DPA con todos los proveedores externos que manejan información personal de la empresa, empezando por los más críticos.
8. La pregunta que más importa
¿Sabe su empresa exactamente qué información personal maneja hoy, dónde está, quién la ve y por qué? La mayoría de las empresas no tiene esa respuesta clara.
La Ley 21.719 no es una amenaza abstracta: tiene una agencia activa con poder real de sanción, un registro público de empresas multadas y acciones legales que los propios afectados pueden ejercer para pedir indemnización. Cumplir tiene un costo. No cumplir tiene uno mucho mayor.
Si tu empresa todavía no ha hecho el diagnóstico, en DCS Compliance, división especializada de Garín, acompañamos el mapeo de datos, la adecuación contractual con proveedores y la implementación de un sistema de gobierno de datos verificable. Conversemos.
Este artículo tiene carácter informativo general. No constituye asesoría legal. Para un análisis adaptado a la situación particular de su empresa, consulte con un abogado especialista en compliance.