A partir del 1 de diciembre de 2026, cualquier persona en Chile puede escribirte y exigirte que le entregues todos los datos que tienes sobre ella, que corrijas los que están mal o que los elimines. Tu organización tiene que estar en condiciones de responder, y de hacerlo dentro de plazo.
Estos son los derechos ARSOP, y son gratuitos, personalísimos e irrenunciables: ninguna cláusula en tus términos y condiciones puede limitarlos o condicionarlos a un pago.
Los cinco derechos, uno por uno
Acceso
El titular puede pedir confirmación de si tratas o no sus datos y, en caso afirmativo, acceder a ellos. La respuesta debe incluir qué datos específicos tienes, de dónde los obtuviste, con qué finalidad los tratas, por cuánto tiempo los conservarás y a quiénes se los has comunicado o cedido.
Es el derecho más solicitado y el que mejor revela si una organización tiene control sobre sus datos. Si no puedes decir dónde vive el registro de una persona a través de tu CRM, tu ERP, tu plataforma de email y tus respaldos, no puedes responder una solicitud de acceso.
Rectificación
El titular puede exigir que corrijas datos inexactos, desactualizados o incompletos. Es de aplicación directa y suele ser el más simple de atender, con una salvedad importante: la corrección debe propagarse. Si comunicaste el dato erróneo a un tercero, debes informarle la rectificación.
Supresión
El titular puede solicitar la eliminación de sus datos cuando ya no son necesarios para la finalidad original, cuando revocó su consentimiento y no hay otra base que sustente el tratamiento, o cuando el tratamiento es ilícito.
No es un derecho absoluto. Puedes negarte —fundadamente— cuando exista una obligación legal de conservación, como la normativa tributaria o laboral, o cuando los datos sean necesarios para el ejercicio de acciones judiciales. La clave es que la negativa debe ser motivada y comunicada, no un silencio.
Oposición
El titular puede oponerse a tratamientos determinados. Dos escenarios concentran casi todos los casos:
- Marketing directo. La oposición aquí es incondicional: si el titular se opone a recibir publicidad, no hay ponderación posible y debes cesar.
- Decisiones automatizadas que produzcan efectos jurídicos o le afecten significativamente. El caso paradigmático es la evaluación crediticia algorítmica. El titular puede exigir intervención humana y una explicación de la lógica aplicada.
Portabilidad
El titular puede pedir sus datos en un formato estructurado, de uso común y lectura mecánica —JSON, CSV, XML—, y solicitar que se transfieran directamente a otro responsable cuando sea técnicamente posible.
Es el derecho más exigente técnicamente y el que menos organizaciones tienen resuelto. Aplica principalmente a los datos que el propio titular proporcionó y a los tratamientos basados en consentimiento o en contrato. Un PDF con capturas de pantalla no cumple el requisito de lectura mecánica.
Y un sexto: el bloqueo
Existe además un derecho de bloqueo, que permite suspender temporalmente el tratamiento mientras se resuelve una controversia sobre la exactitud o licitud de los datos. Es una medida cautelar: los datos se conservan pero no se usan.
El canal de atención: lo primero que van a mirar
La ley obliga a habilitar un canal gratuito y fácilmente accesible para el ejercicio de estos derechos, e informarlo en la política de privacidad. La ausencia de canal, o su ocultamiento tras varios niveles de navegación, es en sí misma una infracción de transparencia.
Esto es relevante porque es lo primero que puede constatar un denunciante o un fiscalizador sin ninguna facultad especial: basta con abrir tu web y buscar. Un canal ausente es un hallazgo inmediato y objetivo.
Un canal que cumple tiene estas características:
- Una dirección dedicada y estable, del tipo
privacidad@tuempresa.cl, o un formulario específico. - Enlazado desde la política de privacidad y accesible desde el pie de página del sitio.
- Sin costo para el titular y sin exigir registro previo en la plataforma.
- Con un procedimiento interno documentado detrás: quién recibe, quién verifica la identidad, quién busca los datos, quién redacta la respuesta y quién la aprueba.
Verificación de identidad: el equilibrio delicado
Antes de entregar datos personales debes verificar razonablemente que quien solicita es el titular. Entregar la información a un impostor es en sí mismo una brecha de seguridad.
Pero la verificación no puede convertirse en una barrera. Exigir la firma ante notario de una declaración jurada para responder una solicitud de acceso convierte un derecho gratuito en uno oneroso. El criterio es la proporcionalidad: verificación suficiente para el riesgo del dato solicitado, no la máxima verificación posible.
En la práctica, para una solicitud de acceso ordinaria suele bastar con confirmar el control de la dirección de correo registrada y cotejar uno o dos datos que solo el titular conocería.
Qué hacer antes de diciembre
- Mapea dónde viven los datos personales en todos tus sistemas. Sin esto, ninguna solicitud de acceso es respondible en plazo.
- Habilita el canal y publícalo en la política de privacidad y en el pie del sitio.
- Escribe el procedimiento interno con responsables y plazos internos más cortos que el plazo legal.
- Prepara plantillas de respuesta para cada uno de los cinco derechos, incluidas las negativas fundadas.
- Define el formato de exportación para portabilidad y prueba que efectivamente puedes generarlo.
- Registra cada solicitud y su respuesta. El principio de responsabilidad exige poder demostrar que atendiste en plazo.
- Haz un simulacro. Pide a alguien del equipo que envíe una solicitud de acceso real y cronometra cuánto tardas. El resultado suele ser revelador.
El punto 7 es el que más recomendamos. La mayoría de las organizaciones descubre en el simulacro que sus datos están repartidos en más sistemas de los que creía.
Si quieres empezar por lo verificable desde fuera, nuestro escáner gratuito comprueba si tu canal ARSOP está publicado y es accesible. Para el panorama completo, revisa la guía de la Ley 21.719.
Contenido informativo. No constituye asesoría legal.