Es lunes en la mañana y Carolina, gerenta de administración de una distribuidora de alimentos en Rancagua, abre un correo del directorio con una sola línea: «¿Estamos listos para la ley de datos?». No sabe qué contestar. La empresa tiene clientes, proveedores, ochenta trabajadores y una planilla con todo eso, y nadie ha mirado la ley.
Si estás donde está Carolina, esta es la lista. Cada paso es corto y lleva al artículo que lo explica entero. Si todavía no tienes claros los conceptos de dato personal, responsable y base de licitud, parte por La Ley 21.719 en tres conceptos.
1. Saber qué datos tienes
Antes de cumplir nada, hay que saber de qué se trata. Haz una lista simple: qué datos personales tiene la empresa (de clientes, de trabajadores, de postulantes, de proveedores), dónde están, para qué se usan, quién los ve y cuánto tiempo se guardan.
La ley no usa la palabra «inventario», pero lo necesitas igual: el artículo 14 ter te pide publicar qué tipos de datos tratas, de quiénes, para qué y con qué base. Sin la lista, no puedes escribirlo.
Ejemplo. Carolina descubre que ventas guarda el celular de cada cliente, que RR.HH. tiene las licencias médicas en una carpeta compartida y que nadie borra los CV de postulantes de hace tres años.
2. Un permiso para cada uso
Cada uso de un dato necesita una base de licitud: el consentimiento de la persona (artículo 12) o alguna de las otras que enumera el artículo 13, como la ejecución de un contrato o una obligación legal. Y la empresa tiene que poder acreditar cuál usó. Al lado de cada fila de tu lista, anota la base. Si alguna fila no tiene, ahí hay trabajo.
Los datos sensibles —salud, afiliación sindical, situación socioeconómica, entre otros— tienen reglas más exigentes. Lee El consentimiento y los otros permisos para usar un dato y Qué es un dato sensible.
3. Una política de privacidad publicada
El artículo 14 ter pide tener a disposición del público, en tu sitio web o en un medio equivalente, una lista concreta de información: quién es el responsable, cómo se le escribe, qué datos trata, para qué, con qué base, a quién se los comunica, cuánto los guarda, si salen de Chile y qué derechos tiene cada persona. El detalle está en Qué tiene que decir tu política de privacidad.
4. Contratos con quienes tratan datos por ti
La contadora externa, la empresa que manda tus correos masivos, el software de remuneraciones: todos tratan datos por cuenta de tu empresa. El artículo 15 bis pide que esa relación quede en un contrato que diga el objeto, la duración, la finalidad, el tipo de datos, de quiénes son y los derechos y obligaciones de cada parte. Revisa qué contratos tienes y cuáles faltan: El contrato de encargo.
5. Saber qué datos salen de Chile
Si algún proveedor procesa datos fuera de Chile —un sistema en la nube, un asistente de IA—, eso es una transferencia internacional y el artículo 27 dice cuándo es lícita. Además, tu política tiene que contarlo. Más en Cuando los datos salen de Chile.
6. Seguridad, y un plan para cuando algo falle
El artículo 14 quinquies pide medidas de seguridad acordes al riesgo y poder acreditar que existen y funcionan. El 14 sexies pide reportar a la Agencia las vulneraciones que pongan en riesgo razonable los derechos de las personas, y en algunos casos avisarles a ellas. Decide hoy quién hace qué ese día: Una filtración de datos: qué hacer y a quién avisar.
7. Un canal para responder a las personas
Cualquier persona puede pedirle a tu empresa acceso, rectificación, supresión, oposición, portabilidad o bloqueo de sus datos. El artículo 11 dice que la solicitud llega a un correo, un formulario o un medio equivalente, y que tienes 30 días corridos para responder, prorrogables una sola vez por otros 30. Define el correo, quién lo lee y cómo se busca la información: Los derechos de una persona sobre sus datos.
8. Reglas para el uso de IA
Tus colaboradores ya pegan en asistentes de IA reclamos de clientes, liquidaciones y CV. Para la ley eso es tratar datos personales, con todo lo anterior: base de licitud, sólo lo necesario, contrato con el proveedor y, casi siempre, transferencia internacional. Hace falta una herramienta autorizada y una política de uso que la gente conozca. Lo explicamos en La Ley 21.719 y la IA y en Cómo poner reglas de IA en tu empresa.
9. Lo que depende de tu caso
- Evaluación de impacto. Si un tratamiento puede significar un alto riesgo —por ejemplo, tratamiento masivo o a gran escala, o decisiones automatizadas con efectos jurídicos significativos—, el artículo 15 ter pide evaluarlo antes de empezar.
- Modelo de prevención de infracciones. Es voluntario, lo certifica la Agencia y cuenta como atenuante si algún día hay una sanción: El modelo de prevención de infracciones.
- Si tu empresa es de menor tamaño, lee La Ley 21.719 para una pyme. Y para saber qué está en juego, Las multas de la Ley 21.719.
No hay que tenerlo perfecto el 30 de noviembre
Lo que sí conviene es haber partido: la lista de datos, el canal para responder y las reglas de IA se pueden tener en pocas semanas. Lo demás se ordena encima.
Dónde entra Plumii
En el paso 8. Plumii es un chat de IA con la cuenta de la empresa, con una regla para cada dato que identifica a una persona —se tapa, se bloquea o pasa— y un registro de uso sin las conversaciones, para poder mostrar cómo se usa la IA. La relación queda en un contrato de encargo. No resuelve los otros siete pasos; ayuda en ese. Mira cómo funciona.
Este artículo es información general, no asesoría legal. El texto oficial de la ley está en la Biblioteca del Congreso Nacional.