Adecuar el sitio web es la parte visible del cumplimiento y por eso conviene empezar ahí. Pero la Ley 21.719 impone además un conjunto de obligaciones internas que no son verificables desde fuera y que son exactamente las que una fiscalización va a requerir.
El registro de actividades de tratamiento
Es el documento base de todo el sistema. Consiste en un inventario de qué datos trata tu organización, con qué finalidad, bajo qué base de licitud, por cuánto tiempo, con quién los comparte y qué medidas de seguridad aplica.
Su importancia práctica es difícil de exagerar: es lo primero que se solicita en un requerimiento de información. Una organización que lo entrega en dos días transmite control; una que no lo tiene confirma, con su sola respuesta, que no sabe qué datos maneja.
Para una empresa pequeña puede ser una planilla. Para una mediana, un documento estructurado por área. Lo que no puede ser es inexistente.
Contratos de encargo con proveedores
Cada proveedor que trata datos por cuenta de tu empresa es un encargado del tratamiento: hosting, correo, CRM, facturación, email marketing, respaldos, soporte externo, agencia de marketing.
La relación debe constar por escrito y fijar el objeto y duración del encargo, las finalidades, las instrucciones del responsable, las obligaciones de confidencialidad y seguridad, el régimen de subencargados y el destino de los datos al terminar la relación.
El punto crítico: la responsabilidad frente al titular no se delega. Si tu proveedor filtra la base, el titular reclama contra ti. El contrato de encargo no traslada la responsabilidad, pero sí documenta que actuaste con diligencia al elegir e instruir al proveedor, lo que pesa en la graduación de una eventual sanción.
Transferencias internacionales
Prácticamente ninguna empresa chilena guarda sus datos solo en Chile. Si usas servicios en la nube, un CRM extranjero o herramientas internacionales de marketing, estás transfiriendo datos fuera del país y debes poder identificar el instrumento que lo habilita: nivel adecuado de protección determinado por la Agencia, cláusulas contractuales tipo, normas corporativas vinculantes, certificaciones aprobadas o alguna excepción tasada.
El error frecuente es asumir que aceptar los términos del proveedor resuelve el punto. No lo resuelve: hay que identificar y documentar qué datos salen, hacia dónde, con qué proveedor y bajo qué instrumento. La mayoría de los proveedores internacionales ofrece un anexo de transferencia; el trabajo consiste en localizarlo, aceptarlo y archivarlo junto al registro de tratamientos.
Evaluación de Impacto en Protección de Datos
La EIPD es un análisis previo obligatorio cuando un tratamiento presenta alto riesgo para los derechos de los titulares. Los supuestos típicos son:
- Tratamiento masivo de datos sensibles.
- Elaboración de perfiles con efectos jurídicos o significativos, como scoring crediticio.
- Observación sistemática de zonas de acceso público.
- Uso de tecnologías nuevas o intrusivas, como reconocimiento facial o biometría.
- Cruce de bases de datos de origen diverso a gran escala.
La evaluación describe el tratamiento, analiza su necesidad y proporcionalidad, identifica los riesgos para los titulares y define medidas de mitigación. Debe realizarse antes de iniciar el tratamiento, no como validación posterior de una decisión ya tomada.
Para la mayoría de las PYMEs no será exigible. Para cualquier empresa que haga scoring, biometría o perfilamiento avanzado, es ineludible.
Datos laborales: el punto ciego más frecuente
Las empresas suelen pensar el cumplimiento desde la perspectiva del cliente y olvidar que sus trabajadores y postulantes también son titulares de datos con todos los derechos ARSOP.
Los focos habituales de incumplimiento son:
- Currículums conservados indefinidamente. Cerrado el proceso de selección, la finalidad se agotó. Mantener una cartera de candidatos requiere informarlo y obtener consentimiento con un plazo definido.
- Datos de salud de trabajadores, que son datos sensibles y exigen tratamiento reforzado y acceso restringido.
- Monitoreo laboral —correo corporativo, cámaras, GPS en vehículos— que debe ser informado, proporcionado y limitado a su finalidad.
- Datos de ex trabajadores conservados más allá de lo que exige la normativa laboral y previsional.
Datos de niños, niñas y adolescentes
El tratamiento de datos de menores recibe protección reforzada: como regla general requiere autorización de quien ejerce el cuidado personal, y todo tratamiento debe atender al interés superior del niño.
Esto impacta directamente a plataformas educativas, aplicaciones con registro de usuarios, servicios de entretenimiento y cualquier comercio que capture datos de menores. Si tu servicio puede ser usado por personas menores de 18 años, necesitas un mecanismo de verificación de edad y un flujo específico de autorización parental.
Procedimiento de brechas de seguridad
Cuando ocurre una vulneración que afecta datos personales, debe notificarse a la Agencia por el medio más expedito y sin dilaciones indebidas. Si la brecha entraña riesgo relevante para los titulares, además hay que comunicárselo a ellos.
Esto obliga a tener el procedimiento definido antes de necesitarlo: quién detecta, quién evalúa la gravedad, quién decide notificar, quién redacta y quién firma. Improvisar durante una crisis es la vía más rápida a una infracción adicional por notificación tardía, que se suma a la brecha original.
Un procedimiento mínimo cabe en dos páginas y debe probarse al menos una vez con un simulacro.
Prioridades
Si tienes que ordenar el trabajo interno, este es el orden que sugerimos por relación entre esfuerzo y reducción de riesgo:
- Registro de tratamientos. Habilita todo lo demás y es lo primero que te van a pedir.
- Depuración de datos innecesarios. Gratis y reduce superficie de riesgo de inmediato.
- Contratos de encargo con los proveedores principales.
- Procedimiento de brechas. Dos páginas y un simulacro.
- Documentación de transferencias internacionales.
- Revisión del ámbito laboral, que suele ser el más desatendido.
- EIPD, solo si tus tratamientos califican como de alto riesgo.
La capa pública de tu sitio, que es la más visible, está cubierta en nuestro checklist de adecuación web y puedes diagnosticarla con el escáner gratuito.
Contenido informativo. No constituye asesoría legal. Para tratamientos de alto riesgo se recomienda asesoría especializada.