La Ley N.º 21.719, publicada el 13 de diciembre de 2024, reemplaza el régimen de la Ley 19.628 y entra en plena vigencia el 1 de diciembre de 2026. Desde esa fecha, la nueva Agencia de Protección de Datos Personales podrá fiscalizar y sancionar con multas que, para las infracciones gravísimas, pueden llegar a 20.000 UTM.
Es frecuente que una pyme suponga que la ley está pensada para bancos, retail o tecnológicas. No es así: aplica a toda organización que trate datos personales, y casi todas lo hacen —de clientes, de trabajadores, de postulantes, de proveedores—.
Lo esencial de la nueva ley
- Bases de licitud. Todo tratamiento debe apoyarse en el consentimiento del titular o en otra base prevista en la ley, como la ejecución de un contrato, el cumplimiento de una obligación legal o un interés legítimo debidamente ponderado.
- Derechos ampliados. Los titulares pueden ejercer derechos de acceso, rectificación, supresión, oposición, portabilidad y bloqueo, y el responsable debe responder dentro de plazos legales.
- Deber de información. Las personas deben saber quién trata sus datos, para qué, con quién se comparten y cómo ejercer sus derechos.
- Seguridad y brechas. El responsable debe adoptar medidas de seguridad proporcionales y reportar a la Agencia las vulneraciones que afecten datos personales.
- Responsabilidad proactiva. No basta con cumplir: hay que poder demostrarlo.
Un orden de prioridades realista
Para una empresa con recursos limitados, conviene avanzar en este orden.
1. Saber qué datos se tratan
Antes de redactar cualquier política, hay que levantar qué bases de datos existen, qué contienen, para qué se usan, dónde están alojadas y quién tiene acceso. Ese inventario —que en la práctica se documenta como un registro de actividades de tratamiento— es la base de todo lo demás.
2. Revisar a los proveedores
El software de remuneraciones, el CRM, el correo electrónico, la nube o la agencia de marketing tratan datos por cuenta de la empresa. La ley exige que esa relación esté regulada por contrato, con obligaciones claras de confidencialidad, seguridad y devolución o eliminación de los datos.
3. Actualizar la información a los titulares
Las políticas de privacidad del sitio web, los avisos en formularios, las cláusulas de contratos de trabajo y la información a postulantes deben reflejar el tratamiento real, no un texto genérico copiado de otra empresa.
4. Tener un procedimiento de derechos y otro de brechas
Alguien en la empresa debe saber qué hacer cuando un cliente pide acceder a sus datos o eliminarlos, y qué hacer si se pierde un computador o se filtra una base de datos. Ambos procedimientos pueden ser breves, pero deben existir antes de que se necesiten.
5. Capacitar a quienes tratan datos
La mayoría de los incidentes nacen de errores humanos: un correo enviado al destinatario equivocado, una planilla compartida sin restricción, una contraseña reutilizada.
Datos de trabajadores: un punto ciego frecuente
Muchas empresas se concentran en los datos de clientes y olvidan que el área de personas trata información especialmente delicada: licencias médicas, antecedentes previsionales, evaluaciones de desempeño, datos de cargas familiares. Varios de ellos son datos sensibles y requieren un resguardo reforzado.
Un incentivo para hacerlo bien
La ley permite adoptar un modelo de prevención de infracciones, con un delegado de protección de datos, que puede ser certificado. Contar con un programa de este tipo no sólo ordena la gestión interna: también puede ser considerado favorablemente en un eventual procedimiento sancionatorio.
En resumen
Cumplir la Ley 21.719 no exige lo mismo a una pyme que a un banco, pero sí exige empezar. Un diagnóstico inicial permite distinguir lo urgente de lo accesorio y planificar la adecuación por etapas.
En Vera Gutiérrez Abogados acompañamos a empresas en su adecuación a la Ley 21.719, desde el diagnóstico hasta la designación de un delegado de protección de datos externo.