Ley 21.719 de datos personales: guía para pymes

• Publicada el 13 de diciembre de 2024; vigencia el 1 de diciembre de 2026.
• Crea la Agencia de Protección de Datos Personales, que fiscaliza y sanciona.
• Aplica también a empresas extranjeras que ofrecen bienes o servicios a personas en Chile.

El consentimiento debe ser libre, informado, específico, previo, inequívoco y revocable. También hay otras bases: obligación legal, ejecución de un contrato o medidas precontractuales, interés legítimo y defensa de derechos, entre otras.

Acceso, rectificación, supresión, oposición, portabilidad y bloqueo, además de oponerse a decisiones automatizadas. Debes responder en 30 días corridos, prorrogables una vez por otros 30.

Debes aplicar medidas de seguridad proporcionales al riesgo. Si ocurre una vulneración con riesgo razonable para los titulares, hay que informarla a la Agencia sin dilaciones indebidas; y a las personas afectadas cuando involucra datos sensibles, de menores de 14 años o datos económicos, financieros, bancarios o comerciales. La ley no fija un plazo de 72 horas como el reglamento europeo.

Las infracciones leves tienen multas de hasta 5.000 UTM, las graves hasta 10.000 y las gravísimas hasta 20.000, con agravantes por reincidencia. Durante los primeros 12 meses de vigencia, la Agencia puede amonestar por escrito a una pyme en vez de multarla, pero las obligaciones son las mismas.

• Haz un inventario: qué datos recolectas, para qué, dónde se guardan y con quién se comparten.
• Asigna una base de licitud a cada uso.
• Publica una política de tratamiento de datos en tu sitio.
• Define un canal y un procedimiento para responder solicitudes de derechos en 30 días.
• Revisa contratos con proveedores que tratan datos por ti (correo, CRM, nube).
• Ordena accesos, respaldos y registros, y ten un protocolo de brechas.
• Nombrar un delegado de protección de datos es voluntario; en una pyme puede ser el dueño.