¿Está preparada tu empresa? 10 preguntas clave para las gerencias sobre la nueva Ley de Datos

Sí. Aunque tu negocio sea B2B, igual tratas datos personales (por ejemplo, de trabajadores, candidatos, contactos comerciales o proveedores). La ley aplica siempre que haya datos de personas naturales.

Debes identificar si tratas datos identificatorios (nombre, RUT y correo), laborales y de contacto, así como categorías que requieren un estándar reforzado, tales como datos sensibles (por ejemplo, salud o denuncias internas), datos de niños, niñas y adolescentes (NNA) en el contexto de cargas familiares y beneficios, y datos biométricos, por ejemplo, en sistemas de registro de jornada.

No. Existen distintas bases de licitud. En el ámbito laboral, muchas veces el tratamiento se basa en el contrato o en obligaciones legales. La clave es no entorpecer la operación del negocio, sino identificar correctamente la base de licitud aplicable en cada caso. El consentimiento es relevante especialmente para datos sensibles o tratamientos no necesarios, considerando además que puede ser revocado en cualquier momento.

Si un tercero trata datos por cuenta tuya, debes firmar un acuerdo de tratamiento de datos (DPA) y asegurarte de que cumpla, entre otros aspectos mínimos, con obligaciones de confidencialidad, medidas de seguridad adecuadas, limitación de finalidad, notificación de incidentes y regulación de subencargados.

No. Bajo la nueva normativa, el hecho de que los datos provengan de fuentes de acceso público ya no constituye por sí solo una base de licitud válida, por lo que igualmente debes contar con una base habilitante para su tratamiento.

Principalmente, sanciones administrativas que pueden alcanzar hasta 20.000 UTM, junto con medidas como la suspensión de operaciones. A ello se suma el daño reputacional y un estándar de fiscalización que irá en aumento con la nueva institucionalidad.

Sí. Es clave contar con políticas de tratamiento de datos (trabajadores, candidatos, entre otros), cláusulas contractuales y procedimientos claros. Además, la normativa exige que cierta información esté disponible al público en un medio de comunicación válido, en virtud del principio de transparencia e información, con independencia de que la adopción de un modelo de gobernanza formal sea facultativa.

No puedes conservarlos indefinidamente. Debes definir plazos de retención y eliminar o anonimizar la información cuando ya no sea necesaria, sin perjuicio de obligaciones legales.

La ley entra en vigencia el 1 de diciembre de 2026. En cuanto a la Agencia de Protección de Datos Personales, su implementación será progresiva, debiendo designarse sus miembros, por lo que su operación efectiva y capacidad de fiscalización se consolidará en los próximos meses.

Lo primero es realizar un diagnóstico de brechas, identificar qué datos tratas, con qué finalidad y con qué proveedores, con la finalidad de estructurar un sistema de gobernanza en protección de datos. Luego, avanzar en la implementación de políticas, contratos (DPA), consentimientos y medidas de seguridad.