El cambio más profundo que introduce la Ley 21.719 no es una obligación nueva. Es una institución: la Agencia de Protección de Datos Personales, el organismo que por primera vez en Chile puede fiscalizar y sancionar el tratamiento indebido de datos sin necesidad de pasar por tribunales.
Por qué esto lo cambia todo
La Ley 19.628, vigente desde 1999, reconocía derechos razonables sobre el papel. El problema era el mecanismo de tutela: para hacerlos valer había que iniciar un juicio civil. Para un ciudadano cuyo dato fue mal tratado, el costo y la duración del litigio superaban ampliamente el daño sufrido, así que casi nadie litigaba. El resultado fue un cuarto de siglo de derechos formalmente vigentes y materialmente inaplicados.
La Agencia elimina esa barrera. Denunciar es gratuito y no requiere abogado. Eso cambia la ecuación de riesgo de cualquier organización: el costo de que un cliente molesto active el sistema pasa de prohibitivo a prácticamente cero.
Qué es la Agencia
Es una corporación autónoma de derecho público, con personalidad jurídica y patrimonio propio, que se relaciona con el Presidente de la República a través del Ministerio de Economía, Fomento y Turismo. Su dirección está a cargo de un consejo, con un diseño orientado a garantizar independencia técnica frente al gobierno de turno y frente a los regulados.
Sus atribuciones
Fiscalizar. Puede actuar de oficio o por denuncia, requerir información a responsables y encargados, y realizar auditorías.
Sancionar. Instruye procedimientos sancionatorios y aplica multas directamente, sin intervención judicial previa. Las resoluciones son reclamables ante los tribunales, pero la sanción se impone en sede administrativa.
Dictar normativa. Emite instrucciones y normas de carácter general que precisan cómo cumplir la ley. Esta atribución es especialmente relevante: buena parte de los estándares operativos concretos —qué medidas de seguridad se consideran apropiadas, cómo debe estructurarse una notificación de brecha— se definirán por esta vía.
Resolver reclamaciones. Conoce los reclamos de titulares cuyos derechos ARSOP no fueron atendidos.
Llevar registros públicos, incluido el registro de sanciones aplicadas.
Certificar modelos de prevención de infracciones y promover mecanismos de autorregulación.
Cooperar internacionalmente y determinar qué jurisdicciones ofrecen un nivel adecuado de protección para efectos de transferencias.
Cómo se inicia un procedimiento
Hay tres vías de entrada:
Denuncia de un titular. Es la vía más probable en la práctica. Un cliente, un ex trabajador o un usuario presenta una denuncia describiendo el hecho. No requiere patrocinio de abogado ni costo.
Actuación de oficio. La Agencia puede iniciar fiscalización por su propia decisión, típicamente a partir de hechos de conocimiento público —una filtración reportada en prensa— o de campañas sectoriales dirigidas a un rubro determinado.
Autodenuncia. La notificación de una brecha de seguridad pone al responsable en conocimiento de la Agencia. Cumplir el deber de notificar es obligatorio, y hacerlo correctamente, junto con medidas de contención adecuadas, opera como atenuante.
Qué esperar de una fiscalización
Aunque los detalles procedimentales se irán precisando con la práctica, la estructura general de un procedimiento administrativo sancionatorio permite anticipar el recorrido:
- Requerimiento de información. La Agencia solicita antecedentes sobre el tratamiento cuestionado. Aquí es donde se hace evidente si existe o no un registro de actividades de tratamiento.
- Formulación de cargos, si de los antecedentes surgen indicios de infracción.
- Descargos del responsable, con presentación de prueba.
- Resolución, que puede absolver, sancionar u ordenar medidas correctivas.
- Reclamación judicial contra la resolución sancionatoria.
El primer paso es el más revelador. Una organización que puede entregar, en días, un registro de actividades de tratamiento con finalidades y bases de licitud documentadas transmite una señal completamente distinta a una que responde con improvisación. En procedimientos administrativos, la calidad de la primera respuesta condiciona el resto.
El registro público de sanciones
Si tuviéramos que señalar un solo riesgo subestimado, sería este. La Agencia lleva un registro público de las sanciones que aplica.
Una multa se paga y se cierra contablemente. Una sanción publicada es información permanente, indexable por buscadores y consultable por cualquiera: clientes evaluando con quién contratar, contrapartes en una due diligence, comisiones evaluadoras de licitaciones públicas, periodistas.
Para una empresa cuyo negocio depende de la confianza —fintech, salud, educación, servicios profesionales— el costo reputacional de figurar en ese registro puede superar largamente cualquier monto de multa.
Qué hacer con esta información
La conclusión operativa es que el riesgo dejó de ser teórico y ahora tiene un canal de activación gratuito para cualquier persona con la que tu organización haya tenido contacto.
La prioridad razonable es cerrar primero lo que es visible y verificable desde fuera, porque es lo que detona denuncias: política de privacidad, mecanismo de cookies, formularios y canal ARSOP. Después, lo documental interno: registro de tratamientos, contratos de encargo y procedimiento de brechas.
Nuestro escáner gratuito cubre la primera capa en 30 segundos. La segunda está detallada en el checklist de la guía completa.
Contenido informativo. No constituye asesoría legal.