La mayor concentración de datos personales de una empresa no está en el sitio web ni en el CRM, sino en la carpeta de personal, y es ahí donde vemos más brechas y menos preparación. Acompañamos la adecuación completa a la Ley N° 21.719 partiendo por un diagnóstico de lo que la empresa ya tiene.
Antes de redactar una sola política hay que saber qué datos trata la empresa, dónde están y quién accede a ellos, porque de ese mapa cuelga todo lo demás: los plazos de conservación, las cláusulas de los contratos y la capacidad de responder a un titular dentro de plazo. Por eso partimos siempre por un diagnóstico acotado y con fecha de entrega, y no por un proyecto abierto.
Ese diagnóstico le sirve a la empresa aunque después decida continuar con su propio equipo, porque lo que entrega es un inventario y una hoja de ruta, no una dependencia.
La diferencia de nuestro enfoque está en el ángulo. Buena parte de la oferta en protección de datos viene de consultoras de tecnología que resuelven bien la parte técnica, pero las decisiones difíciles nacen del contrato de trabajo, del reglamento interno y de la fiscalización laboral, que es el terreno en que llevamos años.
Es un trabajo acotado y con plazo definido, que le dice a la empresa qué le falta y le permite decidir con información si continúa con nosotros o con su propio equipo.
Mapa de tratamientosQué datos trata la empresa, con qué finalidad y quién accede a ellos.
Informe de brechas priorizadoCada hallazgo clasificado por riesgo y por esfuerzo, no una lista plana.
Revisión de contratos críticosLos acuerdos con proveedores que acceden a datos y las cláusulas que faltan.
Hoja de ruta con plazosQué hacer primero y qué se puede resolver internamente sin asesoría.
Hasta hoy no hay ninguna norma publicada que cambie la fecha, de modo que la vigencia sigue fijada para el 1 de diciembre de 2026. Lo que sí existe es una discusión abierta, alimentada por el hecho de que el Consejo Directivo de la Agencia de Protección de Datos Personales todavía no se nombra, pese a que el plazo legal para hacerlo venció en junio de 2026.
Una postergación requeriría una nueva ley y, en cualquier caso, alcanzaría a la fiscalización y no al contenido de las obligaciones ni a la responsabilidad civil frente a los titulares.
Mientras tanto conviene recordar que el primer control real rara vez viene de la autoridad: viene del cliente corporativo que exige cláusulas de tratamiento de datos para renovar un contrato, y eso ya está ocurriendo.
Marca solo aquello que hoy podrías respaldar con un documento. Son las mismas preguntas que hace un cliente corporativo antes de renovar un contrato.
Marca las afirmaciones que hoy podrías respaldar con un documento y te mostramos cómo se lee el resultado.
Son dos documentos breves, de cuatro páginas cada uno, escritos para llevarlos a una reunión y trabajar sobre ellos. Te pedimos el correo porque te los enviamos ahí, y así quedas con el archivo aunque cierres esta página.
No compartimos tus datos con terceros y puedes pedirnos que los eliminemos cuando quieras.
Documento PDF de 4 páginas, para revisar proceso por proceso con tu equipo.
Listo, la descarga comenzó y también te lo enviamos al correo. Si no se descargó, haz clic aquí.
No alcanzamos a registrar tu solicitud, así que no te llegará por correo. Si quieres que te contactemos, escríbenos a contacto@sfabogados.cl.
Documento PDF de 4 páginas, para equipos de producto y de tecnología.
Listo, la descarga comenzó y también te lo enviamos al correo. Si no se descargó, haz clic aquí.
No alcanzamos a registrar tu solicitud, así que no te llegará por correo. Si quieres que te contactemos, escríbenos a contacto@sfabogados.cl.
El 1 de diciembre de 2026. La ley se publicó en el Diario Oficial el 13 de diciembre de 2024 y su artículo primero transitorio fija la vigencia el día primero del mes vigésimo cuarto posterior a esa publicación.
Sí, porque aplica a toda persona natural o jurídica que trate datos personales, sin distinguir tamaño ni rubro. Lo que sí se gradúa es el estándar exigible: el artículo 14 septies manda considerar el tamaño de la empresa, su actividad y el volumen de datos.
Además existe un período de transición en el que, durante los primeros doce meses, la Agencia puede sustituir la multa por una amonestación escrita respecto de las empresas de menor tamaño de la Ley N° 20.416.
El artículo 35 fija topes de 5.000 UTM para infracciones leves, 10.000 UTM para graves y 20.000 UTM para gravísimas, y en caso de reincidencia la multa puede llegar hasta tres veces ese monto.
Existe además un tope que suele omitirse: si una empresa que no califica como de menor tamaño reincide en infracciones graves o gravísimas, la multa puede alcanzar el 2% o el 4% de sus ingresos anuales por ventas. En sentido contrario, la ley reconoce atenuantes concretas en su artículo 36, como la reparación a los afectados, la colaboración con la Agencia, la autodenuncia y la certificación del modelo de prevención.
Para las empresas privadas no es una obligación general, contra lo que suele leerse. El delegado aparece en el artículo 49 como uno de los elementos del modelo de prevención de infracciones, y la propia ley define ese modelo como de adopción voluntaria.
Distinto es que convenga tenerlo, porque la certificación del artículo 51 opera como circunstancia atenuante conforme al artículo 36 número 5.
No en Chile. El plazo de 72 horas es del reglamento europeo, y buena parte del contenido que circula lo copia sin advertirlo. El artículo 14 sexies exige reportar a la Agencia sin dilaciones indebidas, lo que puede ser más exigente todavía, porque no concede un plazo de gracia.
En general sí, pero con más requisitos que hoy, porque la huella y los rasgos faciales son datos biométricos y la ley los clasifica como sensibles. El artículo 16 ter exige informar al trabajador qué sistema se usa, con qué finalidad, por cuánto tiempo se conservarán esos datos y cómo puede ejercer sus derechos.
La respuesta rara vez es dejar de usarlo, sino documentar bien por qué se usa.
Menos de lo que la mayoría de las empresas supone. El artículo 14 letra d) obliga a suprimir o anonimizar los datos obtenidos para la ejecución de medidas precontractuales, y un proceso de selección que no terminó en contratación es exactamente eso.
Mantener bases de postulantes de procesos cerrados hace años, sin base de licitud propia y sin plazo definido, es una de las brechas más frecuentes que encontramos.
Por saber qué datos tiene, dónde están y quién accede a ellos, porque sin ese mapa no se puede redactar una política de privacidad correcta, ni fijar plazos de conservación, ni responder a un titular dentro de plazo.
Después vienen los contratos con proveedores, el procedimiento de solicitudes y el protocolo de incidentes, y casi todo ese trabajo se puede hacer hoy sin esperar las instrucciones que dicte la Agencia.
Qué cambia en el ámbito laboral: consentimiento, biometría, videovigilancia y derechos de las personas trabajadoras.
Continúa leyendoLos límites de las medidas de control, que es donde nace la mayoría de los tratamientos de datos de trabajadores.
Continúa leyendoPronunciamientos de la Dirección del Trabajo sobre registro de asistencia y los riesgos para el empleador.
Continúa leyendoCon una descripción breve de tu operación te decimos qué alcance tendría el diagnóstico y en cuánto tiempo lo entregamos.
Cuéntanos cómo están hoy y te decimos con franqueza qué falta, qué es urgente y qué puede esperar.
Este contenido es orientación general y no constituye asesoría jurídica para un caso concreto. Última actualización: 20 de agosto de 2026.