El Gobierno presentó este martes un proyecto para extender hasta el 1 de diciembre de 2027 la entrada en vigencia de la nueva Ley de Protección de Datos Personales. La medida busca asegurar las condiciones necesarias para su implementación adecuada, tanto a nivel regulatorio como operativo, impactando a organismos estatales, empresas y fundaciones que gestionan información personal.
Una de las razones fundamentales para posponer la ley es la instalación de la nueva Agencia de Protección de Datos Personales, que debía estar operativa a más tardar el 1 de junio de este año y aún no lo está. Esta agencia será clave en la fiscalización y aplicación de la normativa.
La Ley 21.719, aprobada en agosto de 2024, tiene como objetivo principal regular el tratamiento y la protección de los datos personales de individuos, en línea con la garantía constitucional de protección de la vida privada. Su aplicación abarca a personas naturales, jurídicas y órganos públicos, elevando el estándar sobre cómo las organizaciones gestionan y documentan los permisos de los titulares.
La normativa introduce mayores obligaciones para quienes manejan información de clientes, empleados, proveedores o postulantes, y modifica el entendimiento del consentimiento. El tratamiento de datos debe seguir principios fundamentales y consagra derechos personales, intransferibles e irrenunciables para los titulares.
Entre las nuevas obligaciones para empresas y organizaciones, se destacan:
- Privacidad desde el diseño y por defecto: Se exige implementar medidas técnicas desde antes y durante el tratamiento para asegurar que solo se procesen los datos estrictamente necesarios.
- Deber de reporte de brechas de seguridad: Los responsables deben notificar a la Agencia de Protección de Datos Personales sin demora cualquier vulneración que represente un riesgo para los derechos de los titulares. Si afecta datos sensibles, niños, niñas o datos financieros, también se debe avisar directamente a los afectados.
- Evaluación de Impacto (EIPD): Obligatoria antes de iniciar tratamientos que impliquen alto riesgo, como perfilamiento automatizado con efectos jurídicos, tratamiento masivo o monitoreo sistemático de áreas públicas.
- Regulación especial de datos sensibles y biométricos: Estos requieren consentimiento expreso (escrito, verbal o tecnológico). Se prohíbe el tratamiento de datos de salud o biométricos en ámbitos laborales, educativos o de seguros, salvo excepciones legales. Para menores de 14 años, se requiere el consentimiento de los padres o representantes.
La Agencia de Protección de Datos Personales, una corporación autónoma y descentralizada, fiscalizará estas obligaciones. Estará dirigida por un Consejo Directivo de tres miembros, designados por el Presidente de la República con aprobación de dos tercios del Senado.
Esta agencia tendrá facultades para dictar instrucciones, fiscalizar, resolver reclamos y aplicar sanciones. La ley establece un catálogo de infracciones que van desde leves hasta gravísimas, con multas que pueden alcanzar hasta 20 mil UTM, equivalentes a $1.434 millones.
