Ignacio dirige una consultora de selección de seis personas en Concepción. Una constructora le encarga buscar un jefe de obra para un proyecto en Coronel. La consultora publica el aviso, recibe 180 CVs y su equipo usa un chat de IA para resumirlos y armar la terna. A la semana, otro cliente pide un perfil parecido, y alguien del equipo propone: «Tenemos 180 CVs frescos, usemos esos».
Ahí está el punto de este artículo. Para la Ley 21.719, esos CVs no son de la consultora.
Quién es quién
La constructora decide para qué se recogen esos datos —contratar a un jefe de obra— y por eso es la responsable (artículo 2°, letra n). La consultora los trata por cuenta de ella: es lo que la ley llama tercero mandatario o encargado (artículo 2°, letra x). Los papeles están explicados con otros ejemplos en La Ley 21.719 en tres conceptos.
El artículo 15 bis dice cómo trabaja un encargado: trata los datos «conforme al encargo y a las instrucciones que le imparta el responsable», y le queda prohibido tratarlos para un objeto distinto del convenido, o cederlos o entregarlos, salvo que el responsable lo haya autorizado de manera expresa y específica para cumplir el encargo.
Qué tiene que decir el contrato
La relación entre la empresa y la consultora se rige por un contrato, y la ley dice qué debe establecer (artículo 15 bis):
- el objeto del encargo y su duración;
- la finalidad del tratamiento;
- el tipo de datos personales tratados;
- las categorías de titulares —aquí, los postulantes—;
- los derechos y obligaciones de las partes.
Además, la consultora no puede delegar parte del encargo en otro sin una autorización específica y por escrito del responsable; tiene que cumplir el deber de secreto y las medidas de seguridad (artículos 14 bis y 14 quinquies); si sufre una vulneración de seguridad, se la reporta a la empresa; y cuando termina el servicio, los datos se suprimen o se devuelven, según corresponda. La Agencia va a publicar modelos tipo de estos contratos en su página. El detalle, en El contrato de encargo.
Si la consultora usa los CVs para otra cosa
Volvamos a la propuesta del equipo de Ignacio. Usar los 180 CVs de la constructora para la búsqueda de otro cliente es tratarlos con un objeto distinto del encargo. La ley es clara con eso: el encargado que lo hace pasa a ser considerado responsable «para todos los efectos legales», responde personalmente por las infracciones y responde solidariamente con la empresa por los daños (artículo 15 bis). De ahí el título: filtra por otro, pero responde igual.
Si la consultora quiere tener su propia base de postulantes, puede, pero esa es otra relación: la consultora es la responsable de esa base y necesita su propia base de licitud, normalmente el consentimiento del postulante, pedido de forma separada y sabiendo para qué (artículo 12).
Y la IA, ¿dónde queda?
Cuando el equipo de Ignacio pega los CVs en un chat de IA, el proveedor de ese chat también trata los datos de los postulantes. Es un eslabón más de la cadena, y la ley dice que el encargado no puede delegar parte del encargo sin una autorización específica y por escrito del responsable; el que delega sigue siendo solidariamente responsable (artículo 15 bis). Lo prudente es que el contrato con la empresa cliente diga qué herramienta de IA se usa y lo autorice por escrito.
Si los modelos corren fuera de Chile, además hay una transferencia internacional, que la ley permite con un país de nivel adecuado o con garantías adecuadas, como cláusulas contractuales (artículo 27). La empresa cliente tiene que informarlo en su política de privacidad (artículo 14 ter, letra h), y para eso la consultora tiene que contárselo.
Con la cuenta personal de un colaborador no hay contrato que mostrar, ni registro de qué datos salieron.
Por último, el derecho del postulante a que una persona revise una decisión automatizada (artículo 8° bis) no desaparece porque haya una consultora en medio. Si la terna sale de un ranking de la IA, la empresa cliente tiene que poder explicarla. Lo vemos en Filtrar CVs con IA.
Dónde entra Plumii
La consultora puede contratar Plumii y firmar con Plumii un contrato de encargo; el de la empresa cliente debería autorizar ese eslabón. Con la plantilla de partida, nombres, RUT, correos, teléfonos y direcciones se tapan antes de llegar al modelo, y queda un registro de uso, sin las conversaciones, con qué datos salieron —por ejemplo, «Pedro Rojas»—, visible sólo para quien la consultora designe. Es lo que le permite contestarle a un cliente qué datos de sus postulantes pasaron por la IA. Si los CVs se suben como archivos, un modelo distinto al del chat los lee enteros una vez, tal cual y sin la regla, para poder buscar en ellos. Y la decisión de a quién presentar sigue siendo de personas. Mira cómo funciona.
Este artículo es información general, no asesoría legal. El texto oficial de la ley está en la Biblioteca del Congreso Nacional.