- Cambios clave introducidos por la nueva ley
- Obligaciones principales para las empresas
- Derechos de los titulares de datos personales
- Ejemplos prácticos de cumplimiento
- Sanciones por incumplimiento
- Recomendaciones para las empresas
- Impacto en la transferencia internacional de datos
- Conclusión
- Escríbenos hoy mismo
La Ley 19.628 sobre «Protección de Datos de la Vida Privada» y su reciente modificación introducida por la Ley 21.719 que regula “La Protección y el Tratamiento de los Datos Personales y Crea la Agencia de Protección de Datos Personales” establece un marco regulatorio que rediseña la forma en que las empresas y responsables de datos gestionan y protegen la información personal. Este cambio normativo refuerza los derechos de los titulares de datos y establece responsabilidades claras para las empresas o responsables que tratan información sensible. Comprender sus implicancias es fundamental para garantizar el cumplimiento y evitar sanciones significativas.
Cambios clave introducidos por la nueva ley
La actualización de 2024 trae consigo varias modificaciones respecto a la legislación previa. Las empresas están obligadas a implementar medidas más estrictas en el tratamiento de datos personales, incluyendo:
- Cambio de título de la Ley: Se sustituye la frase “Sobre Protección de la Vida Privada” por “Sobre Protección y Tratamiento de los Datos Personales”.
- Consentimiento explícito y libre: Los titulares deben otorgar su consentimiento de manera libre, informada, específica e inequívoca antes de que sus datos sean recopilados o utilizados. Asegura también la posibilidad de revocar en cualquier momento, con restricciones claras sobre la validez del consentimiento obtenido bajo coerción o condiciones injustas.
- Medidas de seguridad robustas: Se requiere la adopción de protocolos técnicos y organizativos que protejan los datos de accesos no autorizados, filtraciones y pérdidas.
- Ampliación del ámbito de aplicación: Se detalla un ámbito territorial que incluye tratamiento de datos realizado fuera del país, siempre que esté relacionado con titulares en Chile. Se extiende a actividades de monitoreo o análisis de comportamiento de personas en Chile.
- Precisión y ampliación de definiciones: Incorporación de términos como seudonimización, anonimización, derecho de portabilidad, y elaboración de perfiles. Definición más detallada de “dato personal” y “datos sensibles”, incluyendo información sobre orientación sexual e identidad de género.
- Ampliación del catálogo de derechos: Nuevos derechos como la portabilidad de los datos, el derecho de oposición y el derecho a no ser objeto de decisiones automatizadas. Obligación de los responsables de datos de informar ampliamente al titular sobre el tratamiento.
- Creación de la Agencia de Protección de Datos Personales: Se establece como autoridad encargada de supervisar el cumplimiento de la ley, con facultades sancionatorias y de promoción de buenas prácticas.
- Notificación de brechas de seguridad: En caso de incidentes que afecten la privacidad de los datos, las empresas deben informar a la Agencia de Protección de Datos Personales y a los titulares afectados en un plazo establecido.
- Regulación estricta para responsables y encargados: Obligaciones claras para responsables, incluyendo informar a los titulares, garantizar la seguridad de los datos, y reportar vulneraciones de seguridad. Nuevas responsabilidades solidarias para encargados que incumplan.
- Requisitos para la cesión de datos personales: Se regula el consentimiento necesario para la cesión y los términos bajo los cuales puede ser válida.
Estos cambios buscan alinear la normativa chilena con estándares internacionales, como el Reglamento General de Protección de Datos (GDPR) de la Unión Europea.
Obligaciones principales para las empresas
Cumplir con la nueva legislación implica adoptar una serie de medidas que refuercen la protección de los datos personales. Entre las más destacadas se encuentran:
- Diseño e implementación de políticas de privacidad y consentimiento: Las empresas deben redactar documentos claros y accesibles que informen a los usuarios sobre el manejo de sus datos y cumplan con los requisitos de consentimiento.
- Evaluación de impacto en la privacidad: Antes de iniciar proyectos que involucren datos personales, las empresas deben realizar estudios para identificar riesgos y mitigarlos.
- Nombramiento de un Delegado de Protección de Datos (DPO): Designar a una persona responsable de supervisar el cumplimiento normativo.
- Capacitación del personal: Es esencial que los empleados comprendan la importancia de la privacidad y conozcan los procedimientos internos para garantizar el cumplimiento.
Derechos de los titulares de datos personales
Según mencionamos, la Ley también amplía los derechos de las personas respecto a su información personal. Las empresas deben estar preparadas para responder a estas solicitudes dentro de los plazos legales establecidos. Los principales derechos son:
- Derecho de acceso: Permite al titular conocer qué datos posee la empresa y cómo los utiliza.
- Derecho de rectificación: Faculta a corregir información incorrecta o desactualizada.
- Derecho de eliminación: Los titulares pueden solicitar la supresión de sus datos cuando ya no sean necesarios para el propósito original.
- Derecho de portabilidad: Facilita la transferencia de los datos a otra organización en un formato estructurado y de uso común.
- Derecho de bloqueo de información: Derecho a que se suspenda temporalmente cualquier operación de datos personales cuando se ejerciten otros derechos contenidos en la Ley.
- Derecho de oposición a decisiones automatizadas: Los titulares pueden impugnar decisiones basadas exclusivamente en algoritmos, como evaluaciones crediticias.
Ejemplos prácticos de cumplimiento
Caso sencillo: Manejo de datos de clientes
Una tienda online recopila datos personales de sus clientes para gestionar pedidos. Bajo la nueva ley, debe:
- Solicitar consentimiento explícito antes de procesar la información.
- Informar a los clientes sobre el uso de sus datos mediante una política de privacidad visible en su página web.
- Implementar sistemas de seguridad que protejan la información frente a posibles ataques y mantener canales expeditos para recibir solicitudes de parte de los titulares.
Caso de mediana complejidad: Datos de empleados
Una empresa con más de 200 trabajadores recopila información para administrar beneficios laborales y evaluaciones de desempeño. Para cumplir con la ley, debe:
- Realizar un inventario de los datos recopilados y clasificar aquellos que son sensibles.
- Garantizar que cada empleado haya firmado un consentimiento explícito para el uso de su información.
- Desarrollar un protocolo interno para atender solicitudes de acceso, rectificación o eliminación de datos por parte de los empleados.
Sanciones por incumplimiento
La nueva legislación establece sanciones severas para quienes no cumplan con las normativas. Las multas pueden ir desde las 5.000 hasta 20.000 Unidades Tributarias Mensuales (UTM) en casos graves. Además, la reputación de la empresa puede verse afectada al ser registrada en el “Registro Nacional de Sanciones”, accesible al público.
Recomendaciones para las empresas
Adaptarse a esta ley no solo es un requerimiento legal, sino también una oportunidad para fortalecer la confianza de los clientes. Algunas medidas prácticas incluyen:
- Realizar auditorías internas para identificar brechas de cumplimiento.
- Contratar servicios legales especializados para elaborar políticas de privacidad adecuadas.
- Actualizar contratos y acuerdos con terceros que manejan datos personales en nombre de la empresa.
Impacto en la transferencia internacional de datos
La normativa chilena ahora facilita el reconocimiento de Chile como un país con niveles adecuados de protección de datos, según los estándares de la Unión Europea. Esto mejora la competitividad de las empresas locales que operan a nivel internacional y simplifica la transferencia de información entre países, pero a su vez impone nuevas obligaciones que se encuentran territorialmente delimitadas. Por lo tanto es indispensable tener un entendimiento profundo de los alcances de esta nueva modificación legal.
Conclusión
La nueva Ley 21.719 que regula «La Protección y el Tratamiento de los Datos Personales y Crea la Agencia de Protección de Datos Personales» representa un avance significativo en la regulación de la privacidad. Cumplir con sus disposiciones no solo protege a las empresas de sanciones, sino que también fortalece su reputación y relación con los clientes.
Para consultas o asesoramiento, contáctanos o llámanos al +56 9 8414 8181, o también puedes enviarnos un correo a contacto@legalprisma.cl. Estamos aquí para acompañarte en tu camino hacia el éxito financiero y legal.