Una política de protección de datos establece los criterios y procedimientos que una organización aplica para gestionar el tratamiento de la información personal, desde la recopilación, uso y resguardo. En un entorno donde esta información es esencial para la operación empresarial, su tratamiento responsable se relaciona directamente con la confianza que clientes, colaboradores y socios estratégicos depositan en las organizaciones.
En Chile, este desafío adquirió una nueva dimensión con la entrada en vigencia de la Ley N° 21.719 que modifica nuestra actual normativa de Protección de Datos Personales, desde el próximo 1 de diciembre de 2026.
Casos recientes, como el oficio del SERNAC a Clínica Dávila tras una filtración que expuso fichas clínicas, diagnósticos y resultados de exámenes de VIH, muestran que una gestión inadecuada puede afectar el bienestar de las personas.
¿Qué establece la Ley de Protección de Datos Personales en Chile?
La nueva ley establece distintos parámetros para la gestión de datos personales en Chile, incorporando mayores exigencias para las organizaciones y creando una autoridad especializada para supervisar su cumplimiento.
Un nuevo marco regulatorio para las empresas chilenas
Esta normativa exigirá que las empresas revisen cómo realizan la recopilación de datos inicial, la finalidad de su tratamiento y qué controles implementan para proteger la información personal que tienen bajo su responsabilidad.
Su alcance incluye empresas de distintos tamaños y sectores, y la adecuación involucra a todas las organizaciones, más aún a aquellas dedicadas a recursos humanos, marketing, ventas, atención al cliente y operaciones.
La creación de la Agencia de Protección de Datos es uno de los cambios centrales de este cambio normativo. Este organismo tendrá funciones de fiscalización, resolución de reclamaciones y aplicación de sanciones cuando corresponda.
Esto implica avanzar hacia una gestión más ordenada donde la protección de datos en Chile forme parte de los procesos habituales y no solo de las respuestas frente a incidentes.
¿Qué derechos tienen las personas sobre sus datos personales?
La legislación vigente ya establece derechos para las personas, los denominados derechos ARCO. Sin embargo, en este nuevo escenario regulatorio, fortalece el control que ejercen los titulares sobre su información personal.
Para las organizaciones, esto implica desarrollar mecanismos internos capaces de responder solicitudes de manera trazable, con responsables definidos y procedimientos que permitan cumplir con los plazos establecidos.
| Derecho | ¿Qué le permite al titular? | Preparación necesaria para la empresa |
| Acceso | Conocer qué datos se tratan y obtener información sobre ese uso. | Mantener identificado el tratamiento realizado. |
| Rectificación | Solicitar correcciones de antecedentes incorrectos o desactualizados. | Contar con procesos seguros para actualizar registros. |
| Supresión | Pedir la eliminación cuando corresponda según la normativa. | Definir y aplicar mecanismos documentados de eliminación. |
| Oposición | Rechazar determinados usos de sus datos personales. | Evaluar la solicitud y suspender el uso de la información, cuando corresponda. |
| Portabilidad | Recibir sus datos en formatos estructurados para transferirlos. | Disponer de mecanismos de entrega segura. |
| Bloqueo | Solicitar la suspensión temporal del tratamiento en ciertos casos. | Aplicar restricciones mientras se resuelve la solicitud. |
¿Cuándo una organización está facultada para tratar información personal?
Acorde a la ley, el tratamiento de datos personales exige contar con una base de licitud válida, ya sea el consentimiento del titular, el cumplimiento de una obligación legal, la celebración o ejecución de un contrato o el interés legítimo de la organización, entre otras.
Es clave tener presente que el consentimiento no es la única vía para tratar datos personales. Sin embargo, cuando el consentimiento del titular sea la base aplicable, este debe ser libre, informado, específico respecto de su finalidad o finalidades, previo e inequívoco, manifestado verbalmente, por escrito, por medio electrónico equivalente o a través de un claro acto afirmativo.
Por ello, las empresas deben facilitar que las personas entiendan cómo se utilizarán sus datos, en qué condiciones se gestionarán y cómo ejercerán control sobre sus datos personales.
¿Qué obligaciones tendrán las empresas con la nueva normativa?
El cumplimiento normativo no depende solo de contar con documentos internos. Las empresas deberán incorporar prácticas verificables que demuestren cómo gestionan estos datos personales y qué responsabilidades existen dentro de cada proceso.
Dado que distintos equipos participan en el procesamiento de datos personales durante la operación diaria, la protección de estos se vuelve una responsabilidad transversal.
Entre las principales obligaciones se encuentran:
- Deber de confidencialidad: los colaboradores que acceden a datos personales deben hacerlo bajo responsabilidades definidas y con controles que eviten usos no autorizados.
- Transparencia hacia los titulares: las organizaciones deben comunicar qué datos personales recopilan, con qué finalidad los utilizan y cuáles son las condiciones de ese tratamiento.
- Protección desde el diseño y por defecto: los sistemas, productos y procesos deben considerar medidas de seguridad desde su planificación.
- Medidas proporcionales al riesgo: las empresas deben implementar controles técnicos adecuados al nivel de exposición de los datos personales administrados.
- Gestión de vulneraciones: frente a incidentes que afecten datos personales, las organizaciones deben contar con procedimientos para identificar, evaluar, actuar y notificar oportunamente.
La designación de un Delegado de Protección de Datos es voluntaria en términos generales, pero se vuelve obligatoria si la organización implementa el Modelo de Prevención de Infracciones. La diferencia es que tenerlo es una circunstancia atenuante formal que incide directamente en el tramo sancionatorio.
¿Cómo la transformación digital impacta la confianza empresarial en la protección de datos?
La digitalización aumentó la cantidad de plataformas, aplicaciones y procesos donde las organizaciones realizan el tratamiento de datos personales. La confianza digital depende de la experiencia completa que entrega una empresa: desde la forma en que solicita los datos personales hasta la manera en que los protege mientras los ocupa.
Confianza digital y manejo responsable de datos
La confianza digital se construye mediante prácticas concretas: procesos transparentes, accesos controlados y una gestión de riesgos responsable de la información que se administra.
El Índice de Confianza Digital 2026 de Thales muestra que solo el 22% de los socios comerciales recibe credenciales de acceso de forma inmediata y el 30% obtiene todos los permisos necesarios en su primer ingreso, lo que causa el préstamo indebido de estos accesos.
Por esta razón, una política efectiva debe considerar tanto las herramientas tecnológicas como los procedimientos que permiten administrar permisos, responsabilidades y usos autorizados.
Cuando una filtración afecta más que los sistemas
El impacto de una vulneración depende del tipo de antecedentes comprometidos. Los datos sensibles, como aquellos relacionados con salud, identidad o características biométricas, requieren controles reforzados debido a las consecuencias que puede generar una exposición indebida.
En Chile, el SERNAC inició en 2025 un Procedimiento Voluntario Colectivo con León Servicio Automotriz luego de la exposición de cerca de 392 mil registros que incluían nombre, RUT, dirección, correo electrónico y teléfono. Este caso demuestra que el tamaño de la empresa no es relevante y que todas están expuestas en menor o mayor grado.
La seguridad de los datos personales requiere considerar no solo dónde se almacenan, sino también quién puede acceder a ellos y qué controles existen para reducir riesgos.
Los principales desafíos del cumplimiento normativo para las empresas chilenas
Cumplir con la nueva ley implica revisar la forma en que la organización gestiona los datos personales en Chile en sus distintas áreas.
El desafío está en construir una gestión capaz de responder preguntas fundamentales: qué datos personales administra la empresa, para qué los utiliza, quiénes participan en su tratamiento, qué controles existen para demostrarlo ante una eventual revisión y cómo los protegemos.
Gobierno de datos y cumplimiento normativo
La implementación de un modelo adecuado requiere la coordinación entre las áreas legales, tecnológicas y operacionales. Entre los aspectos prioritarios se encuentran:
- Gobernanza y responsabilidades: establecer quiénes participan en la gestión de datos personales y cuáles son sus funciones.
- Inventario de tratamientos: mantener identificados los procesos donde se realiza la recopilación de datos personales y qué sistemas intervienen.
- Gestión de terceros: revisar contratos y controles cuando proveedores externos participan en el procesamiento de datos personales.
- Seguridad: aplicar controles que garanticen la disponibilidad de los datos personales, su integridad y protección ante accesos no autorizados.
- Evaluaciones de impacto: analizar anticipadamente aquellos tratamientos que puedan representar mayores riesgos para las personas.
Un punto relevante es revisar la acumulación histórica de registros. Bases antiguas, datos personales sin uso activo o conservados sin una finalidad definida pueden aumentar la exposición de la organización.
El compliance y protección de datos personales se transforma así en un elemento relevante para reducir esa exposición y demostrar que la organización cuenta con una estrategia preventiva.
PRO TIP: la normativa también contempla el Modelo de Prevención de Infracciones, un mecanismo voluntario certificable que puede funcionar como atenuante frente a eventuales sanciones.
Medidas de seguridad y tecnologías para fortalecer la protección de datos
La protección de datos en Chile requiere combinar políticas internas, procesos claros y herramientas capaces de responder a los riesgos actuales. El factor de la tecnología es un componente relevante, pero debe integrarse dentro de una estrategia más amplia de seguridad empresarial.
Controles de seguridad y estándares recomendados
Las empresas deben aplicar controles proporcionales al riesgo, considerando el tipo de datos personales tratados, la cantidad de personas afectadas y las posibles consecuencias de una vulneración.
| Área de protección | Medidas aplicables |
| Gestión de accesos | Administración de permisos, autenticación y control de privilegios según las funciones de cada usuario. |
| Protección de datos | Cifrado, seudonimización y mecanismos para reducir la exposición de datos sensibles. |
| Monitoreo | Registro de actividades y detección de accesos o comportamientos inusuales. |
| Evaluación continua | Revisión periódica de la efectividad de los controles implementados. |
Tecnología aplicada a la prevención y respuesta
La evolución de las amenazas digitales exige tener capacidades que permitan proteger equipos, aplicaciones y datos durante todo su ciclo de uso. Entre las medidas de seguridad que pueden fortalecer esta protección se encuentran:
- Gestión centralizada de accesos para limitar quién puede utilizar determinados datos personales.
- Protección de dispositivos que almacenan o procesan información personal.
- Registro de actividades para generar evidencia ante revisiones o incidentes.
- Herramientas de monitoreo capaces de identificar riesgos antes de que provoquen impactos mayores.
Copias de seguridad y continuidad del negocio
datos personales y comprometer la operación completa. Las copias de seguridad forman parte de una estrategia necesaria para mantener la continuidad del negocio ante escenarios adversos.
Para que estos respaldos sean efectivos, deben considerar la seguridad de los datos personales con un almacenamiento protegido y separado de los sistemas principales, pruebas periódicas de recuperación y procedimientos documentados para actuar ante incidentes.
¿Cuál es el rol de la Agencia de Protección de Datos respecto del cumplimiento empresarial?
La creación de la Agencia de Protección de Datos es uno de los cambios centrales de la nueva normativa chilena. Su función será fiscalizar que las organizaciones cumplan las obligaciones establecidas y que las personas puedan ejercer sus derechos sobre sus datos personales.
Facultades de fiscalización y control
La Agencia tendrá atribuciones para fiscalizar el cumplimiento de la legislación vigente, solicitar antecedentes, iniciar investigaciones y resolver reclamaciones presentadas por los titulares. Adoptar estándares de protección de datos reconocidos y mantener registros actualizados facilita responder ante las revisiones y demuestra que existe una gestión preventiva.
Las empresas deberán además estar preparadas para abordar las vulneraciones que afecten los derechos de las personas, y esa preparación depende del trabajo realizado antes de que ocurra el incidente.
Sanciones por incumplimiento de la Ley de Protección de Datos Personales
La Ley de Protección de Datos Personales establece sanciones diferenciadas según la gravedad de las infracciones.
| Tipo de infracción | Consecuencia máxima |
| Leve | Hasta 5.000 UTM. |
| Grave | Hasta 10.000 UTM. |
| Gravísima | Hasta 20.000 UTM. |
Estrategias para construir confianza digital y proteger los activos empresariales
El compliance y protección de datos debe integrarse a la operación diaria mediante responsabilidades claras, procedimientos verificables y una comunicación transparente con las personas dueñas de los datos personales.
El consentimiento del titular, cuando aplique, y el control sobre sus datos personales son pilares que la organización debe facilitar y demostrar en cualquier momento. Entre las acciones que permiten avanzar en esta dirección se encuentran:
- Mantener actualizado el inventario de tratamientos de datos para garantizar el cumplimiento y la trazabilidad.
- Revisar periódicamente accesos y permisos internos.
- Capacitar a los equipos que gestionarán datos personales en el curso de los procesos internos.
- Definir protocolos de respuesta ante incidentes.
- Evaluar regularmente los riesgos asociados al tratamiento de datos, más aún respecto de datos sensibles.
La capacitación cumple un rol relevante, ya que muchas situaciones de exposición tienen relación con errores operacionales o desconocimiento de procedimientos internos. Por lo tanto, hay que explicar los nuevos estándares de protección de datos a los colaboradores.
La tecnología entrega herramientas de protección, pero una gestión segura también depende de las personas que utilizan, administran y resguardan estos datos personales.
La protección de datos como una capacidad estratégica para las empresas
La Ley N.º 21.719 modifica la forma en que las organizaciones chilenas deben abordar la protección de datos. Prepararse no significa únicamente responder a una exigencia regulatoria, sino desarrollar una capacidad que influye en la confianza, la operación y la relación con las personas.
Gtd es tu partner tecnológico en este proceso con soluciones orientadas a fortalecer la seguridad de los datos personales, identificar posibles brechas y prepararte frente a escenarios de cumplimiento normativo.
Conoce nuestra estrategia de ciberseguridad aplicada para el cumplimiento de la Ley de Datos Personales.
Preguntas Frecuentes
Protege toda información que permita identificar o hacer identificable a una persona natural, como nombre, RUT o datos de sus características físicas, datos genéticos, económicos, culturales o sociales, entre otros.
Debe ser libre, informado, específico, previo e inequívoco. El consentimiento debe ser expreso; las casillas premarcadas y el silencio no son válidos.
Los titulares tienen derecho a solicitar el Acceso, Rectificación, Cancelación, Oposición, Portabilidad y Bloqueo de sus datos personales. Las empresas deben contar con canales de atención claros, gratuitos y responder en los plazos legales establecidos sin imponer barreras injustificadas.
Debe notificarse sin demora cuando una brecha genere un riesgo para los derechos de los titulares. Si afecta datos sensibles, financieros o de menores de 14 años, también se debe informar directamente a los afectados.
0 comentarios