Ley de datos personales: lo que tu pyme debe tener listo antes del 1 de diciembre

La Ley N° 21.719, publicada en diciembre de 2024, modifica a fondo la antigua Ley N° 19.628 sobre protección de la vida privada y entra en vigencia el 1 de diciembre de 2026. Crea además la Agencia de Protección de Datos Personales, que fiscalizará, recibirá reclamos y podrá multar. Hay un proyecto de ley en el Senado que propone aplazar su vigencia, pero mientras no se apruebe, la fecha es el 1 de diciembre.

La ley se aplica a cualquier empresa que trate datos de personas: clientes, proveedores, trabajadores o visitantes de su sitio web. No hay exención para las pymes; lo que hace la ley es que la Agencia fije exigencias de información y seguridad diferenciadas según el tamaño de la empresa y el tipo de datos.

Lo principal: tratar los datos solo con una base legal (un contrato, una obligación legal, un interés legítimo o el consentimiento de la persona); informar de forma pública cómo se tratan, con una política de privacidad que diga qué datos, para qué, con quién se comparten, si salen del país y cuánto se guardan; responder las solicitudes de acceso, rectificación, supresión, oposición, portabilidad y bloqueo dentro de 30 días corridos; tener medidas de seguridad proporcionales; y registrar las filtraciones y reportarlas a la Agencia cuando haya riesgo para las personas.

Los datos de salud de los trabajadores (licencias, Isapre) son datos sensibles, pero la ley permite tratarlos sin consentimiento cuando es necesario para cumplir obligaciones laborales y de seguridad social. El delegado de protección de datos y el modelo de prevención son voluntarios. Las multas van desde una amonestación hasta 20.000 UTM en las infracciones gravísimas.