El 1 de diciembre de 2026 entra en vigencia la Ley 21.719 de protección de datos personales y empieza a funcionar la Agencia de Protección de Datos Personales, que fiscaliza y puede multar. La ley es larga, pero casi todo lo que dice se apoya en tres conceptos. Si entiendes estos tres, entiendes la ley.
1. Un dato personal es cualquier cosa que apunte a una persona
La ley define dato personal como «cualquier información vinculada o referida a una persona natural identificada o identificable». La palabra que importa es identificable: no hace falta el nombre.
- Tu nombre y tu RUT son datos personales. Eso no sorprende a nadie.
- Tu número de celular, tu correo del trabajo o la patente de tu auto también lo son: con ellos se llega a ti.
- «La jefa de la sucursal de Temuco» también, aunque no diga su nombre: en la empresa todos saben quién es.
Ejemplo. En el grupo de WhatsApp de apoderados alguien escribe «el niño del 4° B que se cambió de colegio en marzo». No dice el nombre, pero todos saben de quién se habla. Para la ley, eso es un dato personal.
Dentro de los datos personales hay un grupo que la ley cuida más: los datos sensibles. Son los que revelan, entre otros, la salud, el origen étnico, la afiliación a un sindicato o a un partido, las creencias religiosas, la situación socioeconómica, los datos biométricos —como la huella del reloj control— y la vida sexual, la orientación sexual o la identidad de género. Para tratarlos, la regla general es más exigente: hace falta el consentimiento expreso de la persona, salvo en los casos que la misma ley enumera.
Ejemplo. Que trabajas en una empresa es un dato personal. Que estás con licencia médica por depresión es un dato sensible.
2. Quién es quién: el titular, el responsable y el encargado
La ley reparte papeles. Hay tres que conviene tener claros:
- El titular es la persona a quien se refieren los datos. Tú, cuando se trata de tus datos.
- El responsable es quien decide para qué y cómo se usan. Casi siempre, una empresa.
- El encargado es quien trata los datos por cuenta del responsable, siguiendo sus instrucciones.
Ejemplo. Vas al dentista. Tú eres titular de los datos de tu ficha. La clínica es la responsable: decide qué se anota y para qué. El laboratorio que fabrica tu corona recibe tus datos para hacer ese trabajo y nada más: es un encargado.
Esto importa por dos razones.
El responsable responde, aunque el trabajo lo haga otro. Si tu empresa le pasa las liquidaciones de sueldo a una contadora externa, la responsable sigue siendo tu empresa. La ley pide que esa relación quede en un contrato que diga qué se encarga, por cuánto tiempo, para qué, qué datos y de quiénes. Y si el encargado usa los datos para otra cosa, la ley lo trata como responsable a él también.
El titular tiene derechos, y el responsable tiene que contestarle. Toda persona puede pedirle a una empresa ver sus datos, corregirlos, que los borre, oponerse a un uso, llevárselos a otra empresa o bloquearlos mientras se resuelve su reclamo. La empresa tiene 30 días corridos para responder, que puede alargar una sola vez por otros 30.
Ejemplo. Una tienda en la que compraste una vez te sigue mandando ofertas. Puedes pedirle que te diga qué datos tuyos tiene y de dónde los sacó, y oponerte a que los use para publicidad.
3. Para usar un dato hace falta un permiso y un para qué
Ninguna empresa puede usar datos personales porque sí. La ley pide dos cosas.
Un permiso, que la ley llama base de licitud. El más conocido es el consentimiento: que la persona diga que sí, libremente, sabiendo para qué, antes de que se usen sus datos y de una forma que no deje dudas. Pero no es el único. También se pueden usar datos sin consentimiento cuando hace falta para cumplir un contrato con esa persona, para cumplir una obligación legal, para defender un derecho ante un tribunal, o por un interés legítimo de la empresa que no pase por encima de los derechos de la persona. Y la empresa tiene que poder demostrar cuál usó.
Ejemplo. Cuando compras por internet, la tienda necesita tu dirección para mandarte el pedido. Para eso no tiene que pedirte permiso aparte: es parte de la compra.
Un para qué, y sólo lo necesario. La ley lo llama principios de finalidad y proporcionalidad. Los datos se usan para el fin que se informó al pedirlos, y no para otro distinto salvo en los casos que la ley permite. Y se piden y se guardan sólo los datos que ese fin necesita, por el tiempo que haga falta.
Ejemplo. Le diste tu celular a la farmacia para que te avisen cuando llegue un remedio. Si después lo usan para mandarte promociones, ya no es el para qué que te dijeron. Y si para avisarte te piden también tu estado civil y tu profesión, te están pidiendo más de lo necesario.
¿Y qué tiene que ver esto con la IA?
Los tres conceptos se aplican tal cual cuando alguien de tu empresa pega información en un asistente de IA:
- Si lo que pega nombra o permite identificar a alguien —un cliente, un postulante, un colega—, está tratando datos personales. Si habla de su salud o de su sindicato, son datos sensibles.
- Tu empresa es la responsable de esos datos, y quien los procesa por ella es un encargado: la ley pide un contrato. Con la cuenta personal de un colaborador, ese contrato no existe.
- Para redactar la respuesta a un reclamo casi nunca hace falta el RUT del cliente. Mandar sólo lo necesario es la proporcionalidad aplicada.
Para eso existe Plumii: el chat de IA de tu empresa, con la cuenta de la empresa y una regla para cada dato que identifica a una persona —tu empresa decide si se tapa, se bloquea o pasa—, con registro para poder demostrarlo. Mira cómo funciona. Y para las fechas, las multas y lo que tu empresa debería poder mostrar, lee La Ley 21.719 y la IA.
Este artículo es información general, no asesoría legal. El texto oficial de la ley está en la Biblioteca del Congreso Nacional.