Ley 21.719: qué deberían revisar las empresas en sus sistemas y procesos digitales

La Ley 21.719 actualiza el marco de protección de datos personales en Chile, reemplazando un régimen de los años noventa por uno con obligaciones concretas, derechos exigibles y una autoridad con potestad fiscalizadora y sancionatoria.

Para una empresa, el cambio práctico es este: dejar de tratar los datos personales como un archivo y empezar a tratarlos como un activo regulado, con reglas sobre por qué se tienen, cuánto tiempo se conservan y quién puede acceder a ellos.

Este artículo recorre qué revisar, en orden. No es asesoría legal: es la traducción operativa de lo que la ley implica para tus sistemas y procesos.

Qué cambia respecto del régimen anterior

	Ley 19.628 (anterior)	Ley 21.719
Autoridad de control	No existía	Agencia de Protección de Datos Personales
Sanciones	Prácticamente inaplicables	Multas según gravedad de la infracción
Bases para tratar datos	Ambiguas	Enumeradas y exigibles
Derechos de las personas	Limitados en la práctica	Acceso, rectificación, supresión, oposición, portabilidad
Datos sensibles	Tratamiento genérico	Categoría con protección reforzada
Brechas de seguridad	Sin obligación de notificar	Obligación de notificar
Responsabilidad demostrable	No exigida	Hay que poder acreditar cumplimiento

La última fila es la que más trabajo genera. No basta con cumplir: hay que poder demostrarlo con registros.

Los conceptos que definen tus obligaciones

Dato personal. Cualquier información sobre una persona natural identificada o identificable. Incluye lo obvio —nombre, RUT, correo, teléfono— y también lo que permite identificar de forma indirecta: una dirección IP, un identificador de dispositivo, un número de cliente asociado a una persona.

Dato sensible. Salud, origen racial o étnico, afiliación sindical, situación socioeconómica, datos biométricos, vida sexual, convicciones. Requieren un estándar de protección mayor y, en general, consentimiento explícito.

Responsable del tratamiento. Quien decide para qué y cómo se tratan los datos. Es tu empresa respecto de sus clientes y trabajadores.

Encargado del tratamiento. Quien trata datos por cuenta del responsable. Son tus proveedores tecnológicos: el hosting, el CRM, el proveedor de correo, quien desarrolla tu software.

Esa última distinción tiene una consecuencia directa: eres responsable de lo que hagan tus proveedores con los datos que les entregas. Y eso se regula por contrato.

Las bases de licitud: por qué puedes tratar un dato

Todo tratamiento necesita una justificación. Las principales:

Consentimiento. Libre, informado, específico e inequívoco. Debe poder retirarse con la misma facilidad con que se otorgó.
Ejecución de un contrato. Los datos necesarios para cumplir con lo pactado.
Obligación legal. Lo que la ley te exige conservar o reportar.
Interés legítimo. Con evaluación previa de que no prevalezcan los derechos de la persona.
Vital, público u otras causales específicas según el caso.

El error frecuente es apoyar todo en el consentimiento. Muchos tratamientos se sostienen mejor en la ejecución del contrato o en una obligación legal, que son bases más estables y no dependen de que la persona no retire su autorización.

Qué revisar en tus sistemas

1. Inventario de datos

El punto de partida ineludible. Hay que responder, sistema por sistema:

¿Qué datos personales contiene?
¿De quiénes: clientes, trabajadores, postulantes, proveedores?
¿Hay datos sensibles?
¿Con qué base de licitud se tratan?
¿Quién tiene acceso?
¿Cuánto tiempo se conservan?
¿Se comparten con terceros? ¿Con quiénes?

Este inventario suele revelar lo que nadie recordaba: la planilla de postulantes de hace cuatro años, la base de correos importada de una feria, el respaldo en un disco externo.

2. Minimización

La ley exige tratar solo los datos necesarios para la finalidad declarada. En la práctica, esto significa revisar formularios y campos: si pides fecha de nacimiento y nunca la usas, no deberías pedirla.

3. Plazos de conservación

Cada tipo de dato necesita un plazo definido y un mecanismo real para eliminarlo o anonimizarlo al vencer. “Guardamos todo por si acaso” deja de ser una política aceptable.

Ojo con los respaldos: un dato eliminado del sistema principal pero presente en respaldos indefinidos sigue siendo un tratamiento.

4. Control de acceso

Cada persona debe acceder solo a los datos que necesita para su función, y ese acceso debe quedar registrado. Los usuarios compartidos y los perfiles de administrador repartidos son un problema directo de cumplimiento.

5. Seguridad

Cifrado en tránsito y en reposo, autenticación robusta, gestión de credenciales, respaldos probados y capacidad de detectar incidentes. La ley exige medidas apropiadas al riesgo, no un estándar único.

6. Proveedores

Revisa los contratos con quienes tratan datos por tu cuenta. Deberían establecer finalidad, instrucciones, medidas de seguridad, subcontratación, ubicación de los datos y qué ocurre al término de la relación.

Un punto crítico y frecuentemente omitido: si usas herramientas de inteligencia artificial, hay que verificar si el proveedor utiliza los datos para entrenar modelos. Lo tratamos en inteligencia artificial y Ley 21.719.

7. Transferencias internacionales

Si tus datos se alojan o procesan fuera de Chile —lo habitual con servicios cloud—, hay que verificar que la transferencia cuente con un mecanismo válido.

Qué revisar en tus procesos

Cómo se recolectan los datos. Formularios web, contratos, atención presencial. Cada punto de captura debe informar quién trata los datos, para qué y cómo ejercer los derechos.

Cómo se atienden los derechos. Las personas pueden solicitar acceso, rectificación, supresión, oposición y portabilidad. Necesitas un canal, un responsable y un plazo definido para responder, más el registro de cada solicitud.

Cómo se responde ante una brecha. Un procedimiento escrito: quién detecta, quién evalúa, quién notifica, en qué plazo y a quién. Improvisarlo durante el incidente es la peor opción.

Cómo se documenta el cumplimiento. Registro de actividades de tratamiento, evaluaciones de impacto cuando corresponda, evidencia de consentimientos, contratos con encargados.

Por dónde empezar si no has hecho nada

Inventariar dónde hay datos personales.
Identificar los datos sensibles, que son la prioridad.
Definir la base de licitud de cada tratamiento.
Eliminar lo innecesario. Es la medida más rápida y efectiva.
Definir plazos de conservación y cómo se aplican.
Revisar accesos y quitar los que sobran.
Revisar contratos con proveedores.
Habilitar el canal de derechos.
Escribir el procedimiento de brechas.
Documentar todo lo anterior.

Los pasos 1 y 4 suelen entregar la mayor reducción de riesgo con el menor esfuerzo.

Preguntas frecuentes

¿La Ley 21.719 aplica a empresas pequeñas?

Sí. La ley no establece un umbral de tamaño: aplica a quien trate datos personales. Lo que sí varía es la proporcionalidad de las medidas exigibles, que deben ser apropiadas al riesgo y al volumen del tratamiento.

¿Necesito nombrar un delegado de protección de datos?

Depende del tipo y volumen de tratamiento que realice la organización. Aun cuando no sea exigible, designar a un responsable interno facilita mucho la coordinación y la trazabilidad del cumplimiento.

¿Puedo seguir usando servicios cloud en el extranjero?

Sí, siempre que la transferencia internacional cuente con un mecanismo válido y que los contratos con el proveedor cumplan los requisitos aplicables a un encargado del tratamiento. Es un punto a revisar explícitamente en cada contrato.

¿Qué pasa si tengo bases de datos antiguas sin consentimiento?

Hay que evaluar caso a caso si existe otra base de licitud que sustente el tratamiento. Cuando no la hay y el consentimiento no puede acreditarse, la alternativa más segura suele ser eliminar o anonimizar esos registros.

¿Necesito cambiar mis sistemas para cumplir?

No necesariamente. Muchas obligaciones se resuelven con configuración, políticas y contratos. Los cambios de sistema se justifican cuando la plataforma no permite control de acceso por usuario, registro de accesos o eliminación selectiva de datos.

Revisemos tus sistemas antes que te revisen a ti

En Syscode acompañamos a empresas en la adecuación técnica de sus sistemas y procesos digitales: inventario de datos, control de acceso, trazabilidad y canales de ejercicio de derechos.

Agenda un diagnóstico y revisemos qué brechas tiene hoy tu operación.

Este contenido es informativo y no constituye asesoría legal. Para decisiones de cumplimiento, consulta con un especialista en protección de datos.