Ley 21.719: La Nueva Realidad del Manejo de Datos Personales en Chile

En el mundo del cumplimiento normativo, es común encontrarse con leyes que llevan números similares, lo cual puede generar confusión inicial. Por ejemplo, muchos recuerdan la Ley 21.179, una normativa chilena sobre etiquetado de leche y productos lácteos promulgada en 2019. Sin embargo, si se menciona una ley con un número parecido que afecta el manejo de datos corporativos y entra en vigencia pronto, la referencia correcta es indudablemente la Ley 21.719.

Esta nueva legislación establece un marco integral para la protección y el tratamiento de datos personales, creando además una Agencia de Protección de Datos Personales. Su entrada en vigor está fijada para el 1 de diciembre de 2026, lo que significa que las organizaciones tienen un plazo crítico para prepararse adecuadamente.

¿Qué implica la Ley 21.719?

A diferencia de normativas anteriores, la Ley 21.719 es mucho más amplia y exigente. Regula específicamente qué pueden hacer las empresas y los organismos públicos con los datos personales de sus clientes, trabajadores y usuarios. No se limita a lo que sucede en un sitio web; abarca cualquier tratamiento de datos realizado por personas jurídicas o entidades públicas.

Impactos Clave para Organizaciones

Para cumplir antes del 1 de diciembre de 2026, las organizaciones deben abordar varios pilares fundamentales:

• Inventario de Bases y Tratamientos: Es imperativo realizar un censo completo de toda la información que se maneja. Esto incluye sistemas formales, hojas de cálculo, registros de acceso, cámaras con identificación o cualquier archivo almacenado en servicios cloud.
• Datos Sensibles: La ley clasifica explícitamente los datos de salud como sensibles. Instituciones como un CESFAM deberán establecer protocolos estrictos para el manejo de esta información, reconociendo que no todo tratamiento requiere consentimiento si está fundamentado legalmente.
• Privacidad desde el Diseño: El desarrollo de software y sistemas ya no puede ser una etapa posterior. Los principios de protección de datos deben integrarse en la arquitectura inicial, asegurando que solo se recopilen los datos estrictamente necesarios para una función específica.
• Evaluación de Impacto: Para tratamientos de alto riesgo, como el monitoreo sistemático o sistemas masivos de reconocimiento facial, las organizaciones deberán realizar evaluaciones formales antes de implementar cualquier solución tecnológica.

Herramienta Práctica: Comunicado Interno

Dada la importancia de estos cambios, es crucial que los departamentos de informática y administración estén alineados. A continuación, presentamos un borrador de correo electrónico diseñado para ser enviado a las autoridades o responsables del departamento de IT de una institución pública.

Borrador de Correo Interno

Asunto: Entrada en vigencia de Ley N° 21.719 – Medidas de preparación

Estimados/as,

Junto con saludar, quisiera consultar por las medidas que se están adoptando con motivo de la próxima entrada en vigencia de la Ley N° 21.719.

Agradecería informar si se ha realizado alguna revisión respecto de aspectos como el inventario de bases de datos, permisos de acceso a los sistemas, políticas de conservación y eliminación de información, y medidas de seguridad informática frente a filtraciones.

La consulta tiene un carácter preventivo para asegurar que antes del 1 de diciembre de 2026, la institución esté completamente preparada para cumplir con las exigencias de esta nueva normativa.

Este enfoque proactivo garantiza que cualquier organización pueda transitar hacia el cumplimiento sin sorpresas en la fecha límite.