Daniela es la abogada de una cadena de clínicas veterinarias en Puerto Montt. Le pidieron revisar la política de privacidad antes de diciembre, y la encuentra al pie del sitio web: tres párrafos de 2019 que dicen que la empresa «respeta la privacidad de sus clientes» y «no comparte sus datos con terceros sin autorización». No dice qué datos se recogen, ni para qué, ni a quién escribirle. Y la empresa sí comparte datos: con el laboratorio, con la empresa que manda los recordatorios de vacunas por SMS y con el sistema de agenda en la nube.
Desde el 1 de diciembre de 2026, esa política tiene contenido mínimo obligatorio. Está en el artículo 14 ter.
Dónde tiene que estar
La ley pide que la información esté permanentemente a disposición del público, en el sitio web o en otro medio de información equivalente. No basta con tenerla en un cajón para mostrarla si alguien la pide. El principio de transparencia (artículo 3°, letra g) agrega que tiene que ser precisa, clara, inequívoca y gratuita.
Los puntos, uno por uno
a) La política misma, con fecha y versión. Cuando cambie, se nota. Daniela pondrá «Versión 2, vigente desde el 1 de diciembre de 2026».
b) Quién es el responsable. La razón social, su representante legal y, si existe, el encargado de prevención. Aquí la ley habla de quien está a cargo del modelo de prevención de infracciones, no de los proveedores que tratan datos por ti.
c) Cómo escribirle. Un domicilio postal, un correo, un formulario o un medio equivalente, de uso común y fácil acceso, donde las personas manden sus solicitudes. No tenerlo, o tenerlo sin funcionar, es por sí solo una infracción leve (artículo 34 bis, letra b).
d) Qué datos, de quiénes, para qué y con qué base. Las categorías de datos que se tratan; una descripción general de las personas que están en las bases de datos; a quiénes se prevé comunicar o ceder los datos; las finalidades; la base de licitud de cada tratamiento; y, si alguno se basa en el interés legítimo, cuál es. Este es el punto que más cuesta, y el que exige haber hecho la lista de datos de la empresa.
Ejemplo. «Tratamos el nombre, RUT, teléfono y correo de los dueños de mascotas que atendemos, y la ficha clínica de cada mascota, para agendar horas, atender y enviar recordatorios de vacunas. La base es el contrato de atención. Comunicamos datos al laboratorio que procesa los exámenes y al proveedor que envía los SMS».
e) La seguridad. La política y las medidas de seguridad que protegen las bases de datos. No hace falta publicar la configuración de los servidores, pero sí contar qué se hace.
f) Los derechos. Que la persona puede pedir acceso, rectificación, supresión, oposición y portabilidad de sus datos. Y conviene decir cómo; los plazos están en este artículo.
g) La Agencia. Que la persona puede recurrir ante la Agencia de Protección de Datos Personales si la empresa rechaza su solicitud o no responde a tiempo.
h) Si los datos salen de Chile. Si se transfieren a otro país u organización internacional, y si ese destino tiene o no un nivel adecuado de protección; si no lo tiene, qué garantías justifican la transferencia. Más en Cuando los datos salen de Chile.
i) Cuánto tiempo se guardan. El período de conservación.
j) De dónde vienen. La fuente de los datos y si provienen de fuentes de acceso público.
k) Retirar el consentimiento. Cuando la base es el consentimiento, que la persona puede retirarlo en cualquier momento, sin que eso afecte lo hecho antes.
l) Decisiones automatizadas. Si existen, incluida la elaboración de perfiles: información significativa sobre la lógica aplicada y las consecuencias previstas para la persona. Más en Decisiones automatizadas.
Lo que suele faltar
En las políticas antiguas, como la que encontró Daniela, se repiten tres vacíos:
- Los destinatarios. «No compartimos datos» casi nunca es cierto. Los proveedores de software, de envíos y de servicios en la nube son destinatarios.
- El extranjero. Muchos de esos proveedores procesan fuera de Chile, y la letra h pide decirlo.
- La base de cada uso. No una frase general, sino una base por finalidad.
Lo que pasa si no está
Incumplir total o parcialmente el deber de información y transparencia es infracción leve (artículo 34 bis, letra a): amonestación escrita o multa de hasta 5.000 UTM. El artículo 14 septies agrega que la Agencia fijará, por instrucción general, estándares mínimos diferenciados según el tipo de dato, el tamaño de la empresa, su actividad y el volumen de datos. Es decir, lo que se le exige a una pyme no tiene por qué ser lo mismo que a un banco.
Y la IA de los colaboradores
Si tus colaboradores pegan datos de clientes en un asistente de IA, ese proveedor es un destinatario (letra d) y, si procesa fuera de Chile, hay una transferencia internacional (letra h). Con una cuenta personal, ni siquiera sabes cuál es.
Plumii lo dice de frente para que puedas escribirlo: los modelos y el filtro corren fuera de Chile, con un proveedor bajo contrato que no puede usar lo que se escribe para entrenar; en una empresa, Plumii es el encargado y la relación queda en un contrato de encargo. Antes de que el mensaje salga, la regla de la empresa tapa nombres, RUT, correos, teléfonos, direcciones y patentes. Mira cómo funciona o revisa las preguntas frecuentes.
Este artículo es información general, no asesoría legal. El texto oficial de la ley está en la Biblioteca del Congreso Nacional.