Matías lleva el marketing de una tienda de bicicletas en Valdivia. Tiene una planilla con 3.000 clientes que compraron en los últimos años, con su correo y su celular, y quiere mandarles un boletín con la temporada de primavera. Su jefa le pregunta: «¿Esa gente nos dio permiso para eso?». Matías no sabe. Los correos se pidieron para mandar la boleta.
Esa pregunta es la de la base de licitud: el permiso que la ley exige para usar un dato personal. El artículo pilar la presenta; aquí va en detalle.
El consentimiento: cómo tiene que ser
El artículo 12 dice que tratar un dato es lícito cuando la persona da su consentimiento. Pero no cualquier «sí» sirve. Tiene que ser:
- Libre. Sin presión.
- Informado. La persona sabe para qué.
- Específico en cuanto a su finalidad o finalidades. «Para fines comerciales» no es específico; «para enviarte nuestro boletín mensual de ofertas» sí.
- Previo. Antes de usar el dato, no después.
- Inequívoco. Por una declaración verbal, escrita o por un medio electrónico, o por un acto afirmativo que muestre con claridad la voluntad. La clave es que la persona haga algo para decir que sí.
La ley agrega varias reglas que conviene tener a mano:
- Se puede revocar en cualquier momento, sin dar razones, por un medio parecido al que se usó para darlo. La revocación no es retroactiva: lo hecho antes sigue siendo válido.
- Los medios para darlo y revocarlo tienen que ser expeditos, fidedignos, gratuitos y estar siempre disponibles.
- Se presume que no fue libre cuando se pide dentro de un contrato o servicio que no necesita esos datos. Hay una excepción: cuando lo único que se pide a cambio de un bien, servicio o beneficio es justamente el consentimiento.
- Le toca a la empresa probarlo. El último inciso del artículo 12 es claro: corresponde al responsable probar que contó con el consentimiento.
Ejemplo. La tienda de Matías pone en la caja una tablet que dice «¿Quieres recibir nuestro boletín de ofertas por correo?», con dos botones. El cliente toca «Sí». Ese registro, con la fecha y el texto que vio, es lo que la tienda puede mostrar después.
Para los datos sensibles, el consentimiento tiene que ser además expreso (artículo 16). Lo explicamos en Qué es un dato sensible.
Las otras bases: cuando no hace falta pedir permiso
El consentimiento es la base más conocida, pero el artículo 13 enumera cinco casos en que se pueden tratar datos sin él:
a) Obligaciones económicas, financieras, bancarias o comerciales, tratadas según las normas del Título III de la ley, incluidos los datos sobre la situación socioeconómica. Es la base de los registros de deudas, con sus propias reglas.
b) Una obligación legal, o cuando lo disponga la ley. La empresa entrega datos de sus trabajadores para cotizar porque la ley se lo exige.
c) Un contrato con la persona, o medidas previas que ella pidió. La tienda necesita la dirección del cliente para despachar la bicicleta que compró.
d) Un interés legítimo de la empresa o de un tercero, siempre que no afecte los derechos y libertades de la persona. Aquí la ley pone un contrapeso: la persona puede exigir que le informen qué interés legítimo se invoca, y puede oponerse en cualquier momento (artículo 8°, letra a); la empresa tiene que dejar de tratar los datos salvo que acredite motivos legítimos imperiosos que prevalezcan, o que los necesite para una reclamación.
e) Defender un derecho ante los tribunales u órganos públicos. La empresa usa los datos de un cliente para cobrarle judicialmente una deuda.
Ejemplo. Un cliente le escribe a la tienda reclamando porque su bicicleta llegó con un rayón. Usar su nombre, su número de pedido y su dirección para resolverle el reclamo es parte del contrato de compra: no hace falta pedirle permiso aparte.
La base cubre un uso, no todos
Una base de licitud se asigna a una finalidad. Que el cliente haya comprado justifica usar su correo para mandarle la boleta y resolver sus reclamos. No justifica, por sí sola, usarlo para el boletín de Matías.
El principio de finalidad (artículo 3°, letra b) dice que los datos no se pueden usar para fines distintos a los informados al recolectarlos, salvo que el nuevo fin sea compatible con el original, que lo justifique la relación contractual con la persona, que ella vuelva a consentir, o que lo disponga la ley. Y si el uso es marketing directo, la persona siempre puede oponerse (artículo 8°, letra b).
Lo que puede hacer Matías: preguntar. Un correo a los clientes pidiendo que confirmen si quieren recibir el boletín, con un botón claro, convierte el problema en una base sólida.
Cómo se demuestra
La ley lo repite tres veces: el responsable debe ser capaz de acreditar la licitud (artículo 3°, letra a; último inciso del artículo 13), y debe informar y poner a disposición de la persona los antecedentes que la acreditan (artículo 14, letra a). En la práctica:
- Una lista de usos. Cada finalidad, con su base al lado.
- Evidencia del consentimiento cuando esa es la base: qué texto vio la persona, cuándo y cómo dijo que sí.
- El interés legítimo, por escrito, cuando esa es la base: cuál es y por qué no pasa por encima de los derechos de la persona.
- La política de privacidad que lo cuenta, como pide el artículo 14 ter (qué tiene que decir).
Cuando el dato termina en un chat de IA
Si un colaborador pega el reclamo de ese cliente en un asistente de IA para redactar la respuesta, también está tratando sus datos. La base puede ser la misma —el contrato—, pero la proporcionalidad sigue pidiendo sólo lo necesario, y para redactar una respuesta casi nunca hace falta el nombre ni el RUT del cliente.
En Plumii, la regla de cada empresa tapa nombres, RUT, correos, teléfonos, direcciones y patentes antes de que el mensaje llegue al modelo, y queda registro de qué datos traía cada mensaje y qué regla se aplicó. No reemplaza tener una base de licitud; ayuda a mandar sólo lo necesario y a poder mostrarlo. Mira cómo funciona.
Este artículo es información general, no asesoría legal. El texto oficial de la ley está en la Biblioteca del Congreso Nacional.