El Derecho al Control: La Nueva Era de los Datos Personales en Chile

Las bases de datos han pasado de ser recursos logísticos a convertirse en instrumentos de poder. Durante décadas, las empresas en Chile recolectaron información personal con una mezcla de pragmatismo comercial y vacío regulatorio. El consentimiento se daba por sentado, las finalidades eran borrosas, y la acumulación parecía inofensiva. Esa era terminó. La Ley 21.719, promulgada en diciembre de 2024, marca un punto de quiebre: lo que ayer era una práctica habitual hoy se transforma en una obligación regulada. A partir de diciembre de 2026, el uso de datos personales estará sometido a una lógica de transparencia, propósito y responsabilidad.

El fin del consentimiento silencioso

El corazón de la nueva ley late en torno a una premisa contundente: el consentimiento no es implícito, ni eterno, ni ambiguo. Toda recolección, tratamiento o almacenamiento de datos deberá estar basada en un permiso explícito, informado, específico y revocable. No bastará con haber obtenido el dato una vez: habrá que renovar su vigencia cada vez que se cambie el propósito de su uso. Además, se impone una limitación estricta de finalidad: los datos solo podrán ser utilizados para el fin declarado.

El usuario deja de ser un objeto pasivo y se convierte en titular de derechos: podrá acceder, rectificar, oponerse, portar o exigir la supresión de su información en plazos que no superen los quince días hábiles. La figura del “derecho al olvido”, largamente postergada en la región, se convierte ahora en exigencia operativa.

La memoria heredada: qué pasa con los datos ya recolectados

Uno de los aspectos más relevantes de la Ley 21.719 es que no distingue entre datos antiguos y nuevos. Toda base de datos existente deberá adaptarse al nuevo régimen, sin importar si la información fue recopilada en 2005 o en 2025. Las organizaciones deberán revisar sus inventarios de datos, auditar sus fuentes de origen, identificar lagunas de consentimiento y, en muchos casos, depurar millones de registros sin trazabilidad válida. Las empresas que han tratado los datos como petróleo digital deberán ahora tratarlos como responsabilidad personal.

Derechos nuevos, usuarios empoderados

Los usuarios chilenos podrán exigir una copia legible y completa de todos los datos que una empresa posee sobre ellos, sin necesidad de justificar el motivo. Podrán oponerse al uso de sus datos para perfiles automatizados o decisiones algorítmicas sin intervención humana, lo que afectará directamente a industrias como la banca, los seguros o el retail. La ley introduce también el derecho a la portabilidad de datos, abriendo las puertas a una mayor competencia entre plataformas digitales: si llevarse los datos propios se vuelve sencillo, también lo será cambiar de proveedor.

Fiscalización y sanciones: la era del cumplimiento demostrado

La Ley 21.719 crea, por primera vez en Chile, una autoridad independiente con potestad exclusiva en materia de datos personales: la Agencia de Protección de Datos. Podrá iniciar investigaciones de oficio, ordenar auditorías, exigir reportes internos, suspender operaciones de tratamiento de datos y aplicar multas que pueden alcanzar las 20.000 UTM, triplicables en caso de reincidencia o lucro indebido. No será necesario que exista una denuncia para activar una investigación: bastará una alerta técnica, una cobertura periodística o un indicio razonable.

Filtraciones, brechas y la responsabilidad de actuar

Si una organización sufre una filtración de datos personales, deberá notificarla a la Agencia dentro de las primeras 72 horas desde que tenga conocimiento del hecho. Si la brecha representa un riesgo alto para los derechos del titular, también deberá informar directamente al afectado. La opacidad, en este nuevo régimen, se convertirá en agravante: se evaluará si existían medidas preventivas adecuadas, si se realizaron simulacros, si se había hecho una evaluación de impacto previa.

El Estado como custodio observado

Uno de los cambios más profundos que introduce la nueva ley es la equiparación entre el sector público y el privado. Por primera vez, ministerios, municipalidades, hospitales, universidades estatales, fuerzas policiales y organismos de justicia deberán cumplir con los mismos estándares que se exigen a las empresas: delegado de protección de datos, políticas internas auditables, evaluaciones de impacto para tratamientos sensibles, y canales para que los ciudadanos ejerzan sus derechos. El poder del Estado sobre los datos ya no será discrecional ni opaco: será regulado, transparente y exigible.

La privacidad como nueva legitimidad empresarial

En un entorno regulado, con fiscalización activa y derechos exigibles, la privacidad dejará de ser vista como un costo o una amenaza, y comenzará a operar como un activo estratégico. La madurez en protección de datos comenzará a formar parte de los criterios de evaluación de inversionistas, consumidores, aliados comerciales y reguladores internacionales.

En este nuevo contexto, cada organización tendrá que hacerse una pregunta ineludible: ¿qué hiciste con los datos que te confiaron cuando nadie te obligaba a protegerlos? La verdadera transformación no radica solo en la promulgación de una ley, sino en cómo esa ley es absorbida por la cultura organizacional, exigida por la ciudadanía y observada por el Estado. Quien no entienda esto a tiempo, no solo enfrentará sanciones. Se quedará fuera del futuro.