Ignacio es jefe de atención a clientes de una empresa de internet en La Serena. Un martes llega un correo de una clienta, Javiera: «Quiero saber qué datos míos tienen, de dónde los sacaron y a quién se los han pasado». Ignacio lo reenvía a TI, TI lo reenvía a legal, y tres semanas después nadie ha contestado. Desde el 1 de diciembre de 2026, ese correo tiene plazo.
Este artículo es para quien recibe esos correos en una empresa. Los derechos están en los artículos 4° a 9° de la ley; cómo se ejercen y cuánto tiempo hay para responder, en los artículos 10 y 11.
Los derechos, uno por uno
El artículo 4° dice que son personales, intransferibles e irrenunciables: ningún contrato puede quitarlos. Si la persona fallece, los pueden ejercer sus herederos, salvo que ella lo haya prohibido expresamente o lo establezca una ley.
Acceso (artículo 5°). Saber si la empresa trata sus datos y, si es así, cuáles son y de dónde salieron, para qué se usan, a quién se han comunicado o cedido, por cuánto tiempo se guardarán, cuál es el interés legítimo si esa es la base, y la lógica aplicada si hay decisiones automatizadas.
Ejemplo. Lo que pidió Javiera. La empresa le tiene que contestar las tres preguntas, salvo que una ley disponga expresamente lo contrario.
Rectificación (artículo 6°). Corregir datos inexactos, desactualizados o incompletos. Si la empresa ya los había comunicado a otros, tiene que avisarles de la corrección, salvo que sea imposible o exija un esfuerzo desproporcionado.
Supresión (artículo 7°). Que se borren sus datos cuando ya no son necesarios, cuando retiró su consentimiento y no hay otra base, cuando se obtuvieron ilícitamente, cuando son datos caducos, cuando lo ordena una sentencia, la Agencia o la ley, o cuando se opuso y no hay otro fundamento. No procede, entre otros casos, si el dato hace falta para cumplir una obligación legal o un contrato con esa persona, o para una reclamación administrativa o judicial.
Ejemplo. Un excliente que se cambió de compañía hace dos años pide que lo borren. Si la empresa ya no necesita sus datos, corresponde. Si todavía le debe una boleta, la empresa puede conservar lo necesario para cobrarla.
Oposición (artículo 8°). Que no se haga un tratamiento determinado: cuando la base es el interés legítimo de la empresa, cuando se usan los datos sólo para marketing directo, o cuando vienen de una fuente de acceso público y no hay otro fundamento.
Decisiones automatizadas (artículo 8° bis). No ser objeto de decisiones basadas en el tratamiento automatizado de sus datos que le produzcan efectos jurídicos o le afecten significativamente, con excepciones. Tiene su propio artículo: Decisiones automatizadas.
Bloqueo (artículo 8° ter). Que se suspenda temporalmente el uso de sus datos mientras se resuelve una solicitud de rectificación, supresión u oposición. Los datos se siguen guardando; lo que se detiene es el tratamiento.
Portabilidad (artículo 9°). Recibir una copia de los datos que entregó, en un formato electrónico estructurado y de uso común, y llevarlos a otra empresa, cuando el tratamiento es automatizado y se basa en su consentimiento.
Cómo llega la solicitud
El artículo 10 pide que las empresas tengan medios sencillos para que las personas ejerzan sus derechos, y fija lo que cuesta:
- Rectificación, supresión y oposición: siempre gratis.
- Acceso: gratis al menos una vez por trimestre.
- Sólo si alguien pide acceso o portabilidad más de una vez en el trimestre, la empresa puede cobrar los costos directos, según los parámetros que fije la Agencia.
El artículo 11 dice que la solicitud se presenta por escrito, a un correo electrónico establecido para eso, un formulario de contacto o un medio electrónico equivalente. Tiene que identificar a la persona, decir dónde quiere la respuesta y qué datos o qué tratamiento le interesan. Para pedir acceso, basta con identificarse. Para rectificar, hay que decir qué corregir; para suprimir u oponerse, invocar la causal.
Los plazos
Esto es lo que Ignacio necesita tener pegado en la pared:
- Acuse de recibo y respuesta: a más tardar 30 días corridos desde que ingresa la solicitud. Se pueden prorrogar una sola vez, hasta por otros 30 días corridos.
- La respuesta va por escrito, al domicilio o correo que indicó la persona. La empresa tiene que guardar respaldo de que la envió, de la fecha y del contenido completo.
- Si se rechaza, total o parcialmente, hay que fundarlo e informarle a la persona que tiene 30 días hábiles para reclamar ante la Agencia.
- Si no hay respuesta en plazo, la persona puede reclamar directamente ante la Agencia.
- Bloqueo temporal: si junto con una rectificación, supresión u oposición la persona pide el bloqueo, de forma fundada, la empresa tiene 2 días hábiles para responder. Mientras no lo haga, no puede tratar esos datos. Si lo rechaza, tiene que fundarlo y comunicarlo a la Agencia.
Y si la empresa había comunicado los datos a otros, tiene que avisarles de lo que cambió por una rectificación, supresión u oposición.
Lo que pasa si no se cumple
No responder, responder incompleto o fuera de plazo es infracción leve (artículo 34 bis, letra c). Impedir u obstaculizar el ejercicio de los derechos es grave (artículo 34 ter, letra e), y también lo es no responder o rechazar sin causa una solicitud fundada de bloqueo (letra f). Cómo sigue el reclamo de la persona ante la Agencia está en La Agencia de Protección de Datos.
Lo que conviene armar ahora
- Un correo o formulario para estas solicitudes, publicado en tu política de privacidad.
- Una persona que lo lea, con un calendario de plazos.
- Saber dónde buscar: con la lista de datos de la empresa, responder un acceso es cosa de horas, no de semanas.
La pregunta que viene: ¿pasaron mis datos por una IA?
Si en tu empresa se usa IA, la solicitud de acceso puede incluir esa pregunta. Sin un registro, no hay cómo contestarla. En Plumii, el plan de empresa registra qué dato que identifica a una persona traía cada mensaje —por ejemplo, «Pedro Rojas» o «12.345.678-9»—, cuándo y qué regla se aplicó, sin el texto de la conversación; lo ve sólo quien la empresa designe, y se guarda 24 meses. Lo desarrollamos en Un cliente pregunta si sus datos pasaron por una IA.
Este artículo es información general, no asesoría legal. El texto oficial de la ley está en la Biblioteca del Congreso Nacional.