¿Qué regula la protección de datos personales?
La protección de datos personales regula cómo las empresas pueden recolectar, usar, almacenar, comunicar y eliminar información sobre personas naturales, como clientes, trabajadores, proveedores o usuarios de un sitio web. En Chile, el tratamiento de datos personales por particulares y organismos públicos está regulado por la Ley N° 19.628, sobre protección de la vida privada (artículo 1).
Esta ley fue reformada en profundidad por la Ley N° 21.719, publicada el 13 de diciembre de 2024. La reforma tiene una entrada en vigencia diferida: según sus disposiciones transitorias, rige desde el 1 de diciembre de 2026, por lo que hasta entonces continúa aplicándose la Ley N° 19.628 en su texto actual.
Qué exige la ley vigente (Ley N° 19.628)
- Autorización: el tratamiento de datos personales solo puede hacerse cuando la ley lo autoriza o el titular consiente expresamente. La persona debe ser informada del propósito del almacenamiento y de su posible comunicación al público, la autorización debe constar por escrito y puede revocarse sin efecto retroactivo (artículo 4).
- Finalidad y calidad: los datos deben utilizarse solo para los fines para los cuales fueron recolectados, y la información debe ser exacta, actualizada y veraz (artículo 9).
- Datos sensibles: no pueden ser objeto de tratamiento, salvo que la ley lo autorice, exista consentimiento del titular o sean necesarios para beneficios de salud (artículo 10).
- Deber de cuidado: el responsable de los registros debe cuidar los datos con la debida diligencia y responde de los daños (artículo 11).
- Secreto: las personas que trabajan en el tratamiento de datos deben guardar secreto sobre ellos (artículo 7).
Derechos de las personas
Toda persona puede exigir información sobre sus datos, su procedencia, el destinatario y el propósito del almacenamiento, y puede pedir su modificación, eliminación o bloqueo en los casos previstos (artículo 12). Estos derechos no pueden limitarse por ningún acto o convención (artículo 13). Si el responsable no se pronuncia sobre la solicitud en dos días hábiles o la deniega, la persona puede recurrir al juez de letras en lo civil (artículo 16). Quien trata datos de manera indebida debe indemnizar el daño patrimonial y moral que cause (artículo 23).
Qué cambia con la Ley N° 21.719
La reforma moderniza el sistema y se acerca a los estándares internacionales. Entre sus elementos principales:
- crea la Agencia de Protección de Datos Personales;
- establece principios como licitud y lealtad, finalidad, proporcionalidad, calidad, responsabilidad, seguridad, transparencia e información, y confidencialidad;
- reconoce los derechos de acceso, rectificación, supresión, oposición, portabilidad y bloqueo, con un procedimiento y plazos para que el responsable responda;
- regula el consentimiento y otras bases de licitud, como la obligación legal, el contrato y el interés legítimo;
- exige reportar a la Agencia las vulneraciones de seguridad cuando exista un riesgo razonable para los derechos de los titulares;
- exige una evaluación de impacto antes de tratamientos de alto riesgo;
- contempla un régimen de infracciones y sanciones administrativas, cuyo detalle conviene revisar en el texto de la ley.
Para empresas de menor tamaño, la reforma contempla un tratamiento diferenciado en algunas materias, como las sanciones durante el período inicial, que conviene revisar en el texto de la ley.
Qué deberían hacer las empresas
- Inventario de datos: identificar qué datos personales se recolectan, de quién, para qué, dónde se guardan, quién accede y con quién se comparten.
- Bases de licitud y consentimiento: revisar qué fundamenta cada tratamiento y actualizar los textos de consentimiento.
- Políticas y avisos: redactar una política de privacidad clara para clientes, trabajadores y usuarios de sitios web.
- Contratos con terceros: ordenar los contratos con proveedores que tratan datos por cuenta de la empresa, como servicios de nube o contabilidad.
- Procedimiento de derechos: definir quién recibe y responde las solicitudes de las personas y en qué plazo.
- Brechas de seguridad: preparar un plan para detectar, registrar y comunicar incidentes.
- Capacitación: instruir al personal que maneja datos personales.
Datos de trabajadores
Las empresas también tratan datos de sus trabajadores y postulantes. El uso de esa información debe ser coherente con su finalidad laboral. Por ejemplo, la Dirección del Trabajo ha sostenido que resulta contrario a derecho utilizar los datos personales entregados en la relación laboral para construir registros o listas negras de trabajadores que impidan su contratación en otras empresas.
Cómo podemos ayudarte
Revisamos cómo trata tu empresa los datos personales, preparamos políticas, cláusulas y contratos, y te orientamos para llegar preparado a la entrada en vigencia de la nueva ley. Atendemos a empresas de Viña del Mar y Valparaíso.