Nueva Ley de Protección de Datos Personales: adecuaciones obligatorias para empresas antes del 1 de diciembre de 2026
Con la dictación de la Ley N° 21.719, Chile moderniza de manera integral su sistema de protección de datos personales, reemplazando el régimen contenido en la Ley N° 19.628 y creando la Agencia de Protección de Datos Personales, órgano con amplias facultades de fiscalización y sanción. Si bien la ley fue publicada el 13 de diciembre de 2024, su entrada en vigencia ha sido diferida hasta el 1 de diciembre de 2026, estableciendo un período de adecuación que debe ser utilizado por las empresas para ajustar sus procesos internos y externos al nuevo marco normativo.
La Ley N° 21.719 se aplica a todo tratamiento de datos personales realizado por personas naturales o jurídicas, públicas o privadas, y se estructura sobre principios como la licitud, finalidad, proporcionalidad, seguridad, confidencialidad, transparencia y responsabilidad. En este nuevo escenario, el responsable del tratamiento no solo debe cumplir la normativa, sino además ser capaz de acreditar dicho cumplimiento mediante medidas concretas, documentadas y verificables.
Adecuaciones internas: actualización del Reglamento Interno de Orden, Higiene y Seguridad
Uno de los principales ajustes que deben abordar las empresas es la revisión y actualización de su Reglamento Interno de Orden, Higiene y Seguridad. El RIOHS debe incorporar disposiciones claras y específicas sobre el tratamiento de datos personales de trabajadores, ex trabajadores y postulantes, regulando el acceso a la información, el deber de confidencialidad, el uso de sistemas informáticos y correos electrónicos corporativos, el almacenamiento de antecedentes laborales y las medidas de seguridad destinadas a prevenir accesos no autorizados, filtraciones o usos indebidos de los datos.
La nueva ley exige que estas materias se encuentren expresamente reguladas, con definición de responsabilidades internas, restricciones de acceso y protocolos de actuación frente a incidentes de seguridad. La incorporación de estas reglas en el RIOHS resulta fundamental tanto para el cumplimiento normativo como para la adecuada gestión de riesgos laborales y legales.
Adecuaciones externas: políticas de privacidad y páginas web corporativas
En el ámbito externo, las empresas deben revisar y actualizar sus páginas web y plataformas digitales. La Ley N° 21.719 impone un deber reforzado de información y transparencia, obligando a los responsables del tratamiento a mantener políticas de tratamiento de datos personales claras, accesibles y permanentemente disponibles.
Estas políticas deben informar, entre otros aspectos, las finalidades del tratamiento, la base de licitud que lo habilita, los derechos de los titulares, los mecanismos para ejercerlos, los plazos de conservación de los datos y las medidas de seguridad adoptadas. Asimismo, deben revisarse los formularios de contacto, procesos de reclutamiento en línea, suscripciones comerciales, newsletters, uso de cookies y herramientas de análisis digital, asegurando que el tratamiento de datos se limite estrictamente a las finalidades informadas y que el consentimiento sea válido cuando corresponda.
Tratamiento de datos biométricos en sistemas de control de asistencia
Los sistemas de control de asistencia que utilizan huella digital, reconocimiento facial u otros mecanismos biométricos implican el tratamiento de datos personales sensibles, sometidos a un estándar reforzado de protección conforme a la Ley N° 21.719. Su utilización debe responder a criterios estrictos de necesidad y proporcionalidad, de modo que solo se empleen cuando resulten indispensables para el cumplimiento de obligaciones laborales y no existan medios menos invasivos para el mismo fin.
En este contexto, las empresas deben definir de forma expresa la finalidad del sistema biométrico, los plazos de conservación de la información, las restricciones de acceso y las medidas de seguridad aplicables, regulando su uso tanto en el RIOHS como en las políticas internas de protección de datos. En determinados casos, atendida la naturaleza y el riesgo del tratamiento, puede resultar exigible la realización de evaluaciones de impacto en protección de datos personales.
Privacidad y tratamiento de antecedentes médicos de los trabajadores
El empleador accede, en el contexto de la relación laboral, a antecedentes médicos de los trabajadores, los cuales constituyen datos personales sensibles especialmente protegidos por la Ley N° 21.719. El tratamiento de esta información debe limitarse exclusivamente a las finalidades permitidas por la normativa laboral y previsional, quedando prohibido cualquier uso distinto o adicional.
El acceso a estos antecedentes debe encontrarse restringido a personal expresamente autorizado, debiendo adoptarse medidas de confidencialidad, seguridad, conservación y eliminación que eviten su divulgación, uso indebido o tratamiento excesivo. Estas obligaciones deben incorporarse de manera clara en el Reglamento Interno de Orden, Higiene y Seguridad, así como en las políticas internas de protección de datos de la empresa, reforzando el deber de secreto y resguardo de información sensible.
Entrada en vigencia y deber de adecuación normativa
La entrada en vigencia de la Ley N° 21.719 el 1 de diciembre de 2026 exige que las empresas revisen anticipadamente sus estructuras internas y sus mecanismos de tratamiento de datos personales. La adecuación del Reglamento Interno de Orden, Higiene y Seguridad, junto con la actualización de políticas de privacidad, sistemas de control de asistencia y reglas de tratamiento de antecedentes médicos, constituye una exigencia normativa concreta que debe ser abordada de manera planificada y conforme al nuevo marco legal.
