La Ley 21.719 moderniza la protección de datos personales en Chile, crea una Agencia de Protección de Datos Personales con facultades para fiscalizar y sancionar, y entra en vigencia en diciembre de 2026. Para muchas empresas, el mayor trabajo no es legal sino técnico: saber dónde están los datos y poder demostrar que se cuidan.
Esta guía es un checklist técnico desde la perspectiva de quien construye sistemas. No es asesoría legal: para definir tus obligaciones concretas, consulta con un abogado especialista en protección de datos.
Lo que cambia en la práctica
- Hay una autoridad que fiscaliza y puede aplicar multas relevantes.
- Las personas tienen derechos más claros sobre sus datos: acceso, rectificación, supresión, oposición y portabilidad, entre otros.
- Debes tener una base legal para tratar cada dato (consentimiento, contrato, obligación legal, interés legítimo, etc.).
- La seguridad es una obligación, y ciertos incidentes deben reportarse.
- Los datos sensibles, como los de salud, tienen reglas más estrictas.
Checklist técnico
1. Inventario: qué datos tienes y dónde
- Lista de sistemas, planillas, carpetas compartidas y servicios externos que guardan datos personales.
- Para cada uno: qué datos, de quién (clientes, pacientes, trabajadores), para qué y desde cuándo.
- Identificar datos sensibles (salud, por ejemplo) y datos de menores.
Las planillas compartidas suelen ser el punto más débil: se copian, se envían por correo y nadie sabe cuántas versiones existen.
2. Accesos
- Cada persona entra con su propio usuario (nada de cuentas compartidas).
- Permisos por rol: cada uno ve solo lo que necesita.
- Al salir alguien de la empresa, su acceso se revoca el mismo día.
- Autenticación de dos factores en los sistemas críticos.
3. Trazabilidad
- Registro de quién consultó, creó, modificó o eliminó datos personales, y cuándo.
- Los registros no pueden ser alterados por los mismos usuarios.
4. Protección
- Cifrado en tránsito (HTTPS) y en reposo.
- Respaldos automáticos y probados (un respaldo que nunca se ha restaurado no es un respaldo).
- Ambientes de prueba con datos ficticios, no con datos reales de clientes.
5. Derechos de las personas
- Poder encontrar todos los datos de una persona a partir de su RUT o correo.
- Poder exportarlos en un formato legible.
- Poder corregirlos o eliminarlos, respetando lo que la ley obligue a conservar.
- Un canal y un procedimiento para recibir y responder estas solicitudes dentro de plazo.
6. Proveedores
- Saber qué proveedores procesan datos por ti (hosting, correo, mensajería, facturación).
- Contratos que definan qué pueden hacer con esos datos.
- Saber en qué país se almacenan.
7. Incidentes
- Un procedimiento para detectar, contener y documentar una filtración.
- Saber a quién hay que notificar y en qué plazo.
Por dónde empezar si el plazo está encima
- Inventario. Sin saber qué datos tienes, no puedes proteger nada.
- Cuentas compartidas y accesos de ex trabajadores. Es lo más barato de corregir y de lo más riesgoso.
- Sacar datos sensibles de planillas y llevarlos a un sistema con permisos y registro.
- Respaldos probados.
- Procedimiento de derechos para responder solicitudes.
Cómo lo aplicamos en Exo Type
En todos los sistemas que construimos aplicamos accesos por rol, registro de auditoría, respaldos y cifrado en tránsito y en reposo, con el mismo criterio en un sistema interno que en un producto para terceros. Si tu operación hoy vive en planillas con datos personales, podemos ayudarte a llevarla a un sistema que cumpla. Cuéntanos tu caso.