Legal
Protección de Datos Personales
La información que una empresa recibe también es parte de la confianza que debe proteger
Los datos personales forman parte de la operación cotidiana de una empresa: trabajadores, postulantes, clientes, proveedores, contratos, sistemas de gestión, correos electrónicos, carpetas compartidas, cámaras, servicios cloud y múltiples procesos generan, reciben o utilizan información de personas.
La Ley N.º 21.719 cambia la forma en que las organizaciones deberán abordar esa realidad. Fortalece los derechos de las personas, establece nuevas obligaciones para quienes tratan sus datos e incorpora una institucionalidad especializada para su fiscalización.
No se trata solamente de actualizar políticas de privacidad, incorporar cláusulas contractuales o revisar mecanismos de consentimiento.
Las empresas ya utilizan, almacenan y comparten datos personales todos los días. La nueva regulación hace necesario comprender cómo circula esa información, qué riesgos genera y si la organización puede demostrar que la gestiona y protege adecuadamente.
El desafío será diferente para cada empresa. Pero existe una pregunta común: qué información mantiene, para qué la utiliza, quién puede acceder a ella, con quién la comparte, cómo la protege, durante cuánto tiempo la conserva y qué evidencia existe de las decisiones y medidas adoptadas.
¿Por qué es importante para la empresa?
La multa es sólo una parte de la exposición
La nueva regulación incorpora obligaciones, fiscalización y un régimen sancionatorio que hacen necesario considerar la protección de datos dentro de la gestión de riesgos de la empresa.
Pero una eventual sanción no representa necesariamente todo el impacto.
Una empresa recibe información porque alguien ha confiado en ella.
Un trabajador entrega antecedentes necesarios para su relación laboral. Un cliente proporciona información para recibir un producto o servicio. Un proveedor comparte datos para desarrollar una operación. Y muchas empresas reciben de sus propios clientes información sobre trabajadores, usuarios o consumidores para poder prestarles servicios.
¿Qué estaba haciendo la empresa para proteger la información que otras personas le habían confiado?
Un cliente puede cuestionar si continúa entregando información a determinado proveedor. Un trabajador puede preguntarse quién tenía acceso a sus antecedentes. Una contraparte puede aumentar sus exigencias contractuales o de seguridad. La administración puede necesitar explicar qué controles existían antes de que ocurriera un incidente.
La exposición también puede ser operacional. Responder a una solicitud, investigar un incidente o reconstruir el recorrido de determinada información requiere saber dónde está, quién intervino y qué evidencia existe.
¿Podemos explicar y demostrar cómo protegemos la información que recibimos?
Una obligación transversal, con una respuesta proporcional
La protección de datos no es una materia reservada a grandes compañías, empresas tecnológicas o negocios que administran grandes bases de consumidores.
Una organización puede tratar datos personales simplemente porque tiene trabajadores, recibe antecedentes de postulantes, mantiene información de clientes o proveedores, utiliza cámaras o contrata plataformas para desarrollar sus procesos.
Por eso, las organizaciones que tratan datos personales deben determinar las obligaciones que les resultan aplicables y cómo incorporarlas a su operación. Pero esto no significa que todas deban construir el mismo modelo de cumplimiento.
La respuesta debe considerar, entre otros factores, el tipo y sensibilidad de los datos, su volumen, las finalidades para las que se utilizan, los accesos, los terceros involucrados y los riesgos asociados al tratamiento.
Proporcionalidad no significa ausencia de cumplimiento.
Significa determinar qué corresponde hacer, con qué profundidad y en qué orden, considerando la realidad de cada organización.
Una empresa puede requerir medidas relativamente simples, correctamente ejecutadas. Otra, por la naturaleza, sensibilidad o escala de la información que administra, puede necesitar mayores niveles de gobierno, documentación, seguridad y capacidades especializadas.
El dato a través de la organización
- 01Dato
- 02Finalidad
- 03Legitimación
- 04Uso
- 05Acceso
- 06Terceros
- 07Seguridad
- 08Conservación
La protección de datos no ocurre en un único momento ni pertenece exclusivamente a un área. Un mismo dato puede pasar por diferentes personas, procesos, sistemas y proveedores durante su existencia. Lo relevante no es solamente saber dónde se encuentra, sino comprender por qué está allí, qué ocurre con él y quién participa durante su recorrido.
¿Para qué obtuvimos el dato? ¿Qué permite utilizarlo? ¿Quién necesita acceder? ¿Se utiliza para la finalidad definida? ¿Lo compartimos con terceros? ¿Cómo se protege? ¿Continúa siendo necesario conservarlo?
Seguir ese recorrido permite conectar las obligaciones legales con la forma en que la información realmente circula dentro de la empresa.
La regulación establece las obligaciones. El desafío empresarial es incorporarlas a procesos que funcionen y puedan demostrarse.
Las personas también son parte de la protección
La tecnología puede restringir accesos, proteger sistemas y mantener registros. Pero son las personas quienes utilizan diariamente buena parte de la información.
Un archivo enviado al destinatario incorrecto, una carpeta con permisos excesivos o información utilizada fuera de su finalidad pueden generar exposición aunque existan políticas y sistemas de seguridad.
Los trabajadores tienen además una doble posición. Son titulares de datos que la empresa debe proteger, pero también pueden acceder y utilizar información de clientes, otros trabajadores, proveedores y terceros que la organización tiene la responsabilidad de resguardar.
Por eso, la confidencialidad no puede quedar solamente en una cláusula contractual. Las personas necesitan comprender qué información manejan, para qué pueden utilizarla, qué conductas deben evitar y cuándo una situación debe ser escalada.
La protección de datos también se construye en la forma cotidiana de trabajar.
Los terceros amplían el perímetro
Los datos no necesariamente permanecen dentro de la empresa. Remuneraciones, selección, CRM, software, almacenamiento cloud, soporte tecnológico, marketing, asesorías y otros servicios externalizados pueden implicar que terceros accedan o procesen información personal.
También puede ocurrir en sentido inverso: una empresa puede recibir datos de trabajadores, usuarios o clientes de otra organización para poder prestarle un servicio.
Contratar a un tercero no elimina la necesidad de comprender qué ocurre con esa información. Resulta necesario conocer qué datos se comparten, para qué pueden utilizarse, quién puede acceder, qué responsabilidades existen, qué medidas se mantienen y qué sucede con la información cuando termina la relación.
Esto incorpora la protección de datos dentro de la selección, contratación y supervisión de proveedores.
La capacidad de una empresa para demostrar cómo protege los datos que recibe puede convertirse en parte de la confianza necesaria para ser y seguir siendo proveedor.
Para informar hacia afuera, primero hay que entender qué ocurre adentro
Las políticas de privacidad, los avisos y las respuestas a las personas explican qué hace la empresa con sus datos. Esa explicación sólo puede ser precisa si la propia organización comprende cómo los utiliza realmente.
El punto no es solamente comunicar. Es asegurar que lo informado coincida con lo que ocurre en los procesos, sistemas y proveedores.
Para ello, la empresa debería poder responder razonablemente: qué datos trata · para qué los utiliza · qué permite su tratamiento · quién accede · con quién los comparte · cómo los protege · cuánto tiempo los conserva.
Esa consistencia adquiere importancia cuando una persona ejerce sus derechos, ocurre un incidente, un cliente solicita antecedentes sobre los controles existentes o la organización necesita acreditar las decisiones adoptadas.
La transparencia hacia afuera depende de que exista claridad y consistencia hacia adentro.
Nuestra mirada
Del documento a la operación
Una política puede establecer cómo deberían tratarse los datos. Un contrato puede distribuir responsabilidades. Un procedimiento puede definir quién debe autorizar un acceso.
¿Es eso lo que realmente ocurre?
Nuestra mirada busca conectar las obligaciones de protección de datos con la operación de la empresa.
Esto significa comprender qué datos existen y para qué se utilizan, cómo circulan, quién accede a ellos, qué sistemas intervienen, qué terceros participan y qué evidencia queda de las decisiones adoptadas.
No todas las empresas tendrán las mismas brechas. Tampoco necesitarán las mismas soluciones. Por eso, antes de definir medidas, buscamos entender dónde está realmente la exposición y qué resulta prioritario resolver.
Cómo podemos aportar
Del entendimiento a una respuesta coordinada
Traducimos esa lectura en decisiones concretas sobre gobierno y responsabilidades, datos y procesos, People, definiciones legales y contractuales y la relación con proveedores. La evidencia y la trazabilidad se incorporan para que la organización pueda explicar las medidas adoptadas.
Cuando se requieren medidas específicas de ciberseguridad, infraestructura o respuesta a incidentes, coordinamos esas capacidades con los equipos de IT y seguridad de la organización.
Primero comprender la exposición. Después definir qué cambiar, quién debe hacerlo y cómo demostrarlo.
La implementación puede avanzar por prioridades, comenzando por aquello que presenta mayor exposición y aprovechando las capacidades que la organización ya posee.
Prepararse comienza por conocer
Antes de definir qué cambiar, implementar o documentar, resulta necesario conocer el punto de partida.
Comprender qué datos mantiene la empresa, para qué los utiliza, dónde se encuentran, quién accede a ellos, qué terceros participan y qué controles existen permite construir una primera visión de su nivel de preparación y de las áreas que requieren mayor atención.
No se trata solamente de identificar brechas. Se trata de conocerse para decidir dónde profundizar, qué priorizar y qué capacidades deben participar.
La pregunta inicial, entonces, no debería ser solamente: ¿Qué documentos necesitamos?
¿Sabemos realmente cómo estamos gestionando y protegiendo los datos que nos han sido confiados?
Preguntas frecuentes
Una primera orientación para preparar la organización
¿Cuándo entra en vigencia la nueva Ley de Protección de Datos Personales en Chile?
La Ley N.º 21.719 establece actualmente como fecha de entrada en vigencia el 1 de diciembre de 2026. Existe una iniciativa legislativa que propone modificar esa fecha, por lo que resulta necesario considerar la evolución de su tramitación al planificar la implementación.
¿La Ley N.º 21.719 se aplica a todas las empresas?
Las organizaciones que realizan tratamientos de datos personales deben determinar las obligaciones que les resultan aplicables. Una empresa puede tratar datos personales simplemente por mantener información de trabajadores, postulantes, clientes, proveedores u otras personas.
¿Las pymes deben cumplir la Ley N.º 21.719?
El tamaño de una empresa no determina por sí solo que la regulación deje de resultar aplicable. Sin embargo, la Ley contempla criterios diferenciados para determinados estándares, considerando factores como el tamaño, la actividad y las características de los tratamientos realizados.
¿Qué se considera un dato personal?
En términos generales, corresponde a información vinculada o referida a una persona natural identificada o identificable. La regulación contempla además categorías que requieren especial consideración, incluidos los datos personales sensibles.
¿Siempre se necesita consentimiento para tratar datos personales?
No. El consentimiento constituye una de las bases que pueden legitimar determinados tratamientos, pero la regulación contempla otras hipótesis que deben analizarse según la finalidad y las circunstancias correspondientes.
¿Qué obligaciones tiene una empresa respecto de los datos de sus trabajadores?
La empresa debe considerar cómo obtiene, utiliza, comunica, almacena y protege los datos personales de trabajadores y postulantes, conjuntamente con las disposiciones laborales que resulten aplicables.
¿Qué responsabilidad tiene una empresa cuando un proveedor accede a datos personales?
Debe analizarse el rol de cada parte, qué información recibe el proveedor, para qué puede utilizarla, bajo qué condiciones actúa, qué medidas existen y qué ocurre con los datos cuando finaliza la relación.
¿Qué debe hacer una empresa frente a una vulneración de datos personales?
La regulación establece obligaciones relacionadas con vulneraciones de seguridad bajo las condiciones previstas por la Ley. La organización necesita poder determinar qué ocurrió, qué información fue afectada, los riesgos involucrados y las medidas que corresponde adoptar.
¿Qué multas y sanciones establece la Ley N.º 21.719?
La nueva regulación contempla un régimen de infracciones y sanciones y una autoridad especializada en protección de datos personales. La exposición concreta dependerá del tipo de infracción y de las circunstancias previstas por la Ley.
¿Cómo preparar una empresa para la nueva Ley de Protección de Datos Personales?
Un punto de partida es conocer qué datos personales mantiene la empresa, para qué los utiliza, dónde se encuentran, quién puede acceder, qué terceros participan, cómo se protegen y qué evidencia existe actualmente. Esa primera lectura permite determinar dónde resulta necesario profundizar, qué debe corregirse y qué debería priorizarse.