Ley 21.719 Proteccion de Datos Chile — Guia

La Ley 21.719, publicada el 13 de diciembre de 2024, es la reforma mas significativa a la proteccion de datos personales en la historia de Chile. Reemplaza casi por completo la anticuada Ley 19.628 de 1999 y alinea a Chile con estandares internacionales como el GDPR europeo.

Si operas un sitio web que procesa datos de personas en Chile, si usas rutificadores, o simplemente quieres entender tus derechos, esta guia es para ti.

Contexto: por que Chile necesitaba esta ley

Chile fue pionero en Latinoamerica al aprobar su primera ley de proteccion de datos en 1999 (Ley 19.628). Pero esa ley tenia deficiencias graves:

• No existia una autoridad de control. No habia nadie que fiscalizara el cumplimiento.
• El concepto de "fuentes accesibles al publico" era tan amplio que vaciaba la proteccion. Si un dato estaba en un registro publico, cualquiera podia usarlo para cualquier fin.
• Las sanciones eran minimas y solo se podian perseguir por via judicial civil, lo que hacia impracticable la defensa de derechos.
• No contemplaba el tratamiento de datos en internet, redes sociales ni big data.

El resultado: Chile estaba en los ultimos lugares del ranking de proteccion de datos de la OCDE. Los rutificadores operaban libremente, las bases de datos de personas se vendian sin restriccion, y los chilenos no tenian herramientas reales para proteger su informacion personal.

Que cambia con la Ley 21.719

La nueva ley introduce cambios estructurales:

• Crea la Agencia de Proteccion de Datos Personales como autoridad autonoma con poder sancionatorio.
• Establece bases de licitud obligatorias para cualquier tratamiento de datos.
• Elimina la excepcion de fuentes publicas como carta blanca para tratar datos sin consentimiento.
• Define derechos ARCO+ ampliados para los titulares de datos.
• Crea un regimen de sanciones con multas que pueden llegar a $1.300 millones de pesos.
• Regula la transferencia internacional de datos personales.
• Incorpora la proteccion de datos como derecho constitucional (Art. 19 N4).

Los 7 principios clave

La ley establece principios que todo responsable de datos debe cumplir:

1. Licitud y lealtad: Los datos deben tratarse de forma licita, leal y transparente.
2. Finalidad: Los datos solo pueden usarse para el fin especifico para el que fueron recopilados.
3. Proporcionalidad: Solo deben tratarse los datos adecuados, pertinentes y limitados a lo necesario.
4. Calidad: Los datos deben ser exactos, completos y actualizados.
5. Responsabilidad: El responsable debe poder demostrar cumplimiento.
6. Seguridad: Deben implementarse medidas tecnicas y organizativas para proteger los datos.
7. Transparencia e informacion: El titular debe ser informado sobre el tratamiento de sus datos.

Bases de licitud para tratar datos

Ya no basta con que un dato sea "publico". Todo tratamiento de datos personales requiere al menos una de estas bases:

• Consentimiento del titular (libre, especifico, informado e inequivoco).
• Ejecucion de un contrato con el titular.
• Cumplimiento de obligacion legal del responsable.
• Proteccion de intereses vitales del titular o de terceros.
• Interes legitimo del responsable, siempre que no prevalezcan los derechos del titular.
• Funcion publica del organismo que trata los datos.

Para los rutificadores, esto es demoledor: no tienen consentimiento de millones de personas, no hay contrato, no hay obligacion legal, y el "interes legitimo" de un buscador comercial de datos personales dificilmente prevalece sobre los derechos de los titulares.

Derechos de los titulares (ARCO+)

Los ciudadanos tienen derechos ampliados sobre sus datos:

• Acceso: Saber que datos tuyos tiene una organizacion y como los usa.
• Rectificacion: Corregir datos inexactos o incompletos.
• Cancelacion (supresion): Pedir que tus datos sean eliminados.
• Oposicion: Oponerte a que tus datos sean tratados para ciertos fines.
• Portabilidad: Recibir tus datos en formato estructurado y transferirlos.
• Bloqueo: Suspender temporalmente el tratamiento de tus datos.

Estos derechos son gratuitos y el responsable tiene 30 dias habiles para responder. Si no responde o rechaza la solicitud sin justificacion, el titular puede reclamar ante la Agencia de Proteccion de Datos.

La Agencia de Proteccion de Datos

La ley crea la Agencia de Proteccion de Datos Personales, un organismo autonomo con las siguientes facultades:

• Fiscalizar el cumplimiento de la ley.
• Recibir y resolver reclamos de titulares.
• Iniciar procedimientos sancionatorios de oficio.
• Aplicar multas y sanciones.
• Dictar instrucciones generales y normas tecnicas.
• Llevar un registro publico de sanciones.

Es un cambio radical. Antes, la unica via era demandar civilmente ante tribunales ordinarios, un proceso lento y costoso que pocos emprendian. Ahora existe un camino administrativo rapido y gratuito.

Regimen de sanciones

Las multas se clasifican en tres niveles:

• Infracciones leves: Hasta 5.000 UTM (~$325 millones).
• Infracciones graves: Hasta 10.000 UTM (~$650 millones).
• Infracciones gravisimas: Hasta 20.000 UTM (~$1.300 millones).

Son infracciones gravisimas, entre otras: tratar datos sensibles sin consentimiento, transferir datos internacionalmente sin cumplir requisitos, u obstruir la labor fiscalizadora de la Agencia.

Ademas, la reincidencia dentro de 24 meses puede resultar en la suspension del tratamiento de datos por hasta 30 dias.

Impacto en rutificadores y buscadores de RUT

Los rutificadores tradicionales enfrentan problemas en multiples frentes:

• Sin base de licitud: No tienen consentimiento, contrato ni interes legitimo que prevalezca.
• Violacion de finalidad: Usan datos electorales para fines comerciales.
• Datos judiciales restringidos: El Art. 25 limita el tratamiento de datos de infracciones a organismos publicos.
• Exposicion a reclamos masivos: Cualquier persona puede exigir la supresion de sus datos.
• Multas significativas: El modelo de negocio no justifica el riesgo de sanciones millonarias.

Como Short.cl cumple con la ley

Short.cl fue disenado desde cero para cumplir con la Ley 21.719:

• No mantiene base de datos de personas. No hay almacenamiento de datos personales.
• Consulta en tiempo real al SII. El SII ofrece esta informacion como servicio publico sin restricciones de acceso.
• No permite buscar por nombre. Solo por RUT, lo que no requiere indexar datos personales.
• No muestra datos sensibles. Solo datos tributarios publicos del SII.
• Redirige a fuentes oficiales. Para PJUD y Superintendencia de Pensiones, Short.cl redirige al usuario al sitio oficial en lugar de acceder programaticamente.
• No elude barreras tecnicas. Donde hay reCAPTCHA u otras protecciones, respeta la barrera y redirige.