Ley 21.719

El tratamiento de datos personales se ha convertido en uno de los temas centrales de la gobernanza digital contemporánea. Toda organización que recopila, almacena, utiliza o transfiere información que identifica o hace identificable a una persona natural realiza un tratamiento de datos. Esta actividad, antes poco regulada en muchos países, hoy está sujeta a estándares exigentes que buscan equilibrar la innovación con el respeto a la privacidad. El referente europeo: el Reglamento General de Protección de Datos El Reglamento General de Protección de Datos (RGPD) de la Unión Europea, vigente desde mayo de 2018, se consolidó como el estándar internacional más influyente. Establece principios claros: licitud, lealtad y transparencia; limitación de la finalidad; minimización de datos; exactitud; limitación del plazo de conservación; integridad y confidencialidad; y responsabilidad proactiva. El RGPD reconoce seis bases de licitud, entre ellas el consentimiento, la ejecución de un contrato, el cumplimiento de una obligación legal, la protección de intereses vitales, el interés público y el interés legítimo del responsable. Además, fortalece los derechos de las personas y exige medidas técnicas y organizativas, notificaciones de brechas de seguridad y, en ciertos casos, la designación de un Delegado de Protección de Datos. Sus multas, que pueden alcanzar el 4% de la facturación global anual, generaron un cambio cultural en el tratamiento de la información personal. La modernización chilena: de la Ley 19.628 a la Ley 21.719 Chile dio un salto significativo con la Ley 21.719, publicada en diciembre de 2024 y que entrará en plena vigencia el 1 de diciembre de 2026. Esta norma reforma profundamente la antigua Ley 19.628 sobre protección de la vida privada, alineándola con los estándares del RGPD. Entre los cambios más relevantes destacan: la creación de la Agencia de Protección de Datos Personales, un organismo autónomo con facultades fiscalizadoras y sancionatorias; la ampliación de las bases de licitud más allá del consentimiento; la incorporación de derechos como la portabilidad y la oposición a decisiones automatizadas; la obligación de notificar brechas de seguridad; y un régimen de sanciones que puede llegar hasta 20.000 UTM, con recargos por reincidencia. La nueva normativa también refuerza principios como la responsabilidad proactiva: ya no basta con no infringir; las organizaciones deben poder demostrar que cumplen. El consentimiento como eje central El consentimiento sigue siendo una de las principales bases de licitud, pero su exigencia se eleva considerablemente. Debe ser libre, informado, específico, previo e inequívoco, y otorgarse mediante una declaración o una acción afirmativa clara. El consentimiento tácito o las casillas premarcadas dejan de ser válidos. Además, el titular puede revocarlo en cualquier momento de forma sencilla, y el responsable debe facilitar mecanismos para ello. Derechos del titular La Ley 21.719 consolida y amplía los derechos ARCO tradicionales. El titular puede ejercer: Acceso: conocer qué datos se tratan y con qué finalidad. Rectificación: corregir información inexacta o incompleta. Supresión: solicitar la eliminación cuando ya no exista base legal. Oposición: oponerse a determinados tratamientos. Portabilidad: recibir sus datos en formato estructurado y transmitirlos a otro responsable. Bloqueo: restringir temporalmente el tratamiento mientras se resuelve una solicitud. Estos derechos son irrenunciables y deben poder ejercerse de manera ágil, generalmente con plazos de respuesta de 15 días hábiles. Cómo gestionarlo al interior de las empresas Para las organizaciones, el cumplimiento no es un ejercicio formal, sino un proceso de gobernanza. El punto de partida es mapear todos los tratamientos de datos personales y elaborar un Registro de Actividades de Tratamiento. A partir de allí, corresponde identificar la base de licitud de cada actividad, actualizar políticas de privacidad y avisos informativos, y diseñar mecanismos efectivos para responder a los derechos de los titulares. Las empresas deben implementar medidas de seguridad adecuadas al riesgo, formalizar contratos con encargados del tratamiento, evaluar la necesidad de realizar Evaluaciones de Impacto en Protección de Datos cuando el riesgo sea alto y capacitar a sus equipos. La designación de un Delegado de Protección de Datos, aunque no siempre obligatoria, se vuelve recomendable en tratamientos de mayor escala o sensibilidad. El tratamiento de datos personales dejó de ser un tema técnico secundario. Hoy constituye un pilar de la confianza, la reputación y la sostenibilidad de cualquier organización. Adaptarse a tiempo no solo evita sanciones: permite construir relaciones más transparentes y responsables con las personas cuyos datos se tratan.