El Gobierno informó el martes que ingresó un proyecto para postergar hasta el 1 de diciembre de 2027 la entrada en vigencia de la nueva Ley de Protección de Datos Personales.
Esto con el objetivo de contar con las condiciones necesarias para su implementación, tanto en lo regulatorio como operativo, en el caso de organismos del Estado y empresas o fundaciones que trabajan con datos personales y deben adaptarse a la nueva normativa.
Dentro de las principales razones para aplazar la entrada en vigencia de la ley está la instalación de la nueva Agencia de Protección de Datos Personales, que ya debía estar operativa a más tardar el 1 de junio de este año.
Ley de Protección de Datos Personales: un nuevo estándar en el resguardo de la información
La Ley 21.719 fue aprobada en agosto de 2024 y su principal objetivo es regular la forma y condiciones en que se efectúa el tratamiento y protección de los datos personales de las personas naturales, de conformidad con la garantía constitucional de protección de la vida privada y datos personales.
Se aplica a cualquier tratamiento de datos realizado por personas naturales, jurídicas y también por órganos públicos.
Esto quiere decir que las organizaciones que traten datos personales deberán elevar el estándar sobre cómo gestionan, documentan y acreditan los permisos otorgados por sus titulares.
La nueva regulación no solo establece mayores obligaciones para quienes manejan información de clientes, trabajadores, proveedores o postulantes, sino que incorpora un cambio relevante en la forma de entender el consentimiento.
El tratamiento de datos personales debe regirse estrictamente por una serie de principios fundamentales y, además, consagra derechos personales, intransferibles e irrenunciables para los titulares de los datos.
Respecto a las nuevas obligaciones para las empresas y organizaciones, destacan las siguientes:
• Privacidad desde el diseño y por defecto: Las medidas técnicas deben implementarse antes y durante el tratamiento para garantizar que solo se procesen los datos estrictamente necesarios.
• Deber de reporte de brechas de seguridad: Los responsables deben reportar a la Agencia de Protección de Datos Personales, sin dilaciones indebidas, cualquier vulneración de seguridad que represente un riesgo para los derechos de los titulares. Si afecta a datos sensibles, niños/as o datos financieros, también debe notificarse directamente a los titulares afectados.
• Evaluación de Impacto (EIPD): Obligatoria antes de iniciar tratamientos que impliquen un alto riesgo para los derechos de las personas (ej. perfilamiento automatizado con efectos jurídicos, tratamiento masivo de datos o monitoreo sistemático de zonas públicas).
• Regulación especial de datos sensibles y biométricos: Exigen consentimiento expreso (escrito, verbal o tecnológico equivalente) y se prohíbe el tratamiento de datos de salud o biométricos en ámbitos laborales, educativos o de seguros fuera de las excepciones legales. Para niños, niñas y adolescentes (menores de 14 años), se requiere consentimiento de los padres o representantes.
Estas obligaciones serán fiscalizadas por la Agencia de Protección de Datos Personales, una corporación autónoma de derecho público, descentralizada y de carácter técnico. Su dirección superior radica en un Consejo Directivo integrado por tres miembros elegidos por el Presidente de la República con el acuerdo de 2/3 del Senado.
Dicha Agencia tiene facultades para dictar instrucciones obligatorias, fiscalizar el cumplimiento de la ley, resolver las reclamaciones de los titulares y ejercer la potestad sancionadora.
Finalmente, la ley estableció un catálogo de conductas e infracciones desde leves hasta graves y gravísimas, las que se sancionarán con multas de hasta 5 mil UTM, 10 mil UTM y 20 mil UTM, es decir, unos $358 millones, $717 millones y $1.434 millones, respectivamente.
Enviando corrección, espere un momento...
