La ley reconoce que los datos personales son de la persona, no de quien los recolecta. Sobre esa
base impondrá, desde el 1 de diciembre de 2026, deberes concretos a toda organización que trate esos
datos. Estos son los pilares que habrá que poder demostrar:
Protección de datos personales
Todo tratamiento de datos personales necesitará una base de licitud y una finalidad específica. El consentimiento (Art. 12) es una de ellas, no la única: el Art. 13 permite tratar sin consentimiento cuando lo exige una obligación legal, cuando es necesario para celebrar o ejecutar un contrato con el titular, cuando hay un interés legítimo que no afecte sus derechos, cuando se trata de defender un derecho ante tribunales, y en los datos de obligaciones económicas, financieras, bancarias o comerciales tratados conforme al Título III. En cualquiera de esas vías, el responsable debe poder acreditar la licitud del tratamiento. El Art. 4 le reconoce a la persona titular seis derechos: acceso, rectificación, supresión, oposición, portabilidad y bloqueo. El Art. 11 le da al responsable treinta días corridos para pronunciarse, prorrogables por una sola vez hasta por otros treinta; el bloqueo temporal se responde en dos días hábiles.
Una autoridad con potestad para fiscalizar y sancionar
La ley crea la Agencia de Protección de Datos Personales (Art. 30), que dictará instrucciones generales, fiscalizará y sancionará (Art. 30 bis). Hoy no hay quien fiscalice: la Ley 19.628 no contempla autoridad de control y el titular reclama ante el juez civil. El Consejo Directivo de la Agencia se designa seis meses antes de la entrada en vigencia y, mientras la ley no rija, sólo puede dictar instrucciones y normas generales, interpretar administrativamente la ley y difundirla —y lo que dicte sólo obliga desde el 1 de diciembre (artículo cuarto transitorio). Desde esa fecha habrá un organismo que puede pedir explicaciones y evidencia, con multas de hasta 5.000, 10.000 o 20.000 UTM según la infracción sea leve, grave o gravísima. Ese no es el techo: una empresa que no sea de menor tamaño y reincida en infracción grave o gravísima puede llegar al 2% o al 4% de sus ingresos anuales por ventas, servicios y otras actividades del giro del último año calendario (Art. 35).
Deber de información y transparencia
La ley chilena no copia el «registro de actividades de tratamiento» del reglamento europeo: no hay un RAT en su texto. Lo que el Art. 14 ter exigirá es más visible — mantener permanentemente a disposición del público, en su sitio web o en cualquier otro medio de información equivalente, qué tipos de datos se tratan, con qué finalidades, con qué base de legitimidad, a qué destinatarios se comunican y por cuánto tiempo se conservan. El inventario interno no es el deber, es lo que permite publicar eso sin inventarlo. Incumplirlo, total o parcialmente, es infracción leve (Art. 34 bis, letra a).
Evaluación de Impacto (EIPD)
El Art. 15 ter la exigirá previo al inicio de las operaciones del tratamiento cuando sea probable un alto riesgo para los derechos de los titulares, y siempre en cuatro casos: evaluación sistemática y exhaustiva de aspectos personales del titular, basada en tratamiento o decisiones automatizadas —la elaboración de perfiles, por ejemplo—, que le produzca efectos jurídicos significativos; tratamiento masivo o a gran escala; observación o monitoreo sistemático de una zona de acceso público; y datos sensibles y especialmente protegidos en las hipótesis de excepción del consentimiento. Incumplirla, en los casos que corresponda, es infracción gravísima (Art. 34 quáter, letra k).
El tercero mandatario o encargado
Quien trate datos por cuenta de otro —un proveedor tecnológico, por ejemplo— será tercero mandatario o encargado (Art. 15 bis) y responderá por lo que haga con ellos: si los trata para un objeto distinto del encargo, o los cede sin autorización expresa, pasa a ser responsable para todos los efectos legales. La relación se regirá por un contrato que deberá fijar objeto, duración, finalidad, tipo de datos, categorías de titulares, y derechos y obligaciones de las partes. El encargado no podrá delegar el encargo, ni en parte, sin autorización específica y por escrito del responsable; si delega, sigue respondiendo solidariamente.
Seguridad y reporte de brechas
El Art. 14 quinquies pedirá medidas proporcionales al riesgo —nombra la seudonimización y el cifrado— y pone sobre el responsable la carga de acreditar que existían y funcionaban. Ante una vulneración con riesgo razonable para los derechos de los titulares, el Art. 14 sexies obligará a reportar a la Agencia «por los medios más expeditos posibles y sin dilaciones indebidas»: la ley chilena no fija un plazo en horas ni en días. A los propios titulares se les comunica cuando los datos afectados son sensibles, de niños o niñas menores de catorce años, o de obligaciones económicas, financieras, bancarias o comerciales.
Andin genera y ordena la evidencia con la que su organización sostiene cada uno de estos deberes. La
certificación que la ley regula para acreditar cumplimiento es voluntaria, recae sobre el modelo de
prevención de infracciones y la emite la propia Agencia (Arts. 49 y 51), con tres años de vigencia (Art. 52).