Se cumple un año de vacancia legal de la nueva Ley de Protección de Datos personales

Bofill Mir - Queda un año para la entrada en vigencia de la Ley N° 21.719, que modifica sustancialmente la Ley N° 19.628, la cual pasa en adelante a denominarse Ley de Protección de Datos Personales ("LPDP").

El nuevo marco normativo representa una transformación profunda del sistema chileno de protección de datos personales, alineándolo con estándares internacionales y elevando significativamente las exigencias aplicables a quienes tratan datos personales. Esto implica replantear la manera en que las organizaciones gestionan, resguardan y documentan sus operaciones de tratamiento.

En virtud de la entrada en vigencia de la LPDP en diciembre de 2026, las empresas que manejan datos personales deberán revisar y ajustar sus procesos internos, contratos, políticas y medidas de seguridad, con el fin de avanzar hacia un cumplimiento integral a los nuevos estándares.

Principales obligaciones para las empresas:

• Identificar su rol en el tratamiento de datos personales, para definir si actúa como responsable o encargado, o cumpliendo ambos roles.
• Asegurar que cada proceso de tratamiento de datos personales cuente con una base de licitud válida.
• Disponer de mecanismos claros y accesibles para que los titulares de los datos personales puedan ejercer los derechos de acceso, rectificación, supresión, oposición, bloqueo y portabilidad.
• Regularizar las relaciones con aquellos mandatarios o encargados a quienes se les ha encomendado el tratamiento de datos personales a nombre del titular.
• Adoptar medidas técnicas y organizativas para la protección desde el diseño y por defecto, asegurando el cumplimiento de los principios y deberes que impone la LPDP.
• Realizar Evaluaciones de Impacto en Protección de Datos en los supuestos establecidos expresamente por la LPDP.
• Regularizar la transferencia internacional de datos a las circunstancias habilitantes y los requisitos establecidos en la LPDP.

Fiscalización y sanciones
Por primera vez en Chile se crea una agencia especializada que velará por el cumplimiento de la normativa sobre protección de datos personales, denominada Agencia de Protección de Datos Personales (la "Agencia").

• La Agencia podrá interpretar administrativamente la LPDP, fiscalizar su cumplimiento e imponer sanciones en caso de infracción.
• La LPDP contempla un catálogo amplio de infracciones clasificadas en leves, graves y gravísimas, pudiendo llegar las multas asociadas a hasta 20.000 UTM (aprox. USD 1,440,000) en caso de infracciones gravísimas.
• En caso de que exista reincidencia (30 meses), la Agencia podrá aplicar una multa de hasta tres veces el monto asignado a la infracción original.
• En caso de empresas de gran tamaño, la multa por reincidencia en casos de infracción de carácter grave o gravísima podrá alcanzar el monto más alto entre: (i) tres veces el monto de la multa originalmente asignada; o (ii) el 2% o 4% de los ingresos anuales del infractor en el último año calendario, respectivamente.

Modelo de prevención de infracciones
Para prevenir la comisión de infracciones, la LPDP contempla la implementación voluntaria de un modelo de prevención de infracciones, que servirá como atenuante de responsabilidad cuando haya sido registrado ante nueva Agencia. Este modelo incluye, entro otros elementos:

• La designación de un delegado de protección de datos (DPO).
• La identificación del tipo de datos personales que la entidad trata.
• La identificación de las actividades o procesos de la entidad.
• El establecimiento de protocolos, reglas y procedimientos específicos para la prevención de infracciones, así como de mecanismos de reporte interno y a la autoridad.
• La existencia de sanciones administrativas internas, así como procedimientos de denuncia paracasos de incumplimiento del sistema de prevención.

Habiendo transcurrido ya la mitad del período de vacancia legal, y quedando solo un año antes de la entrada en vigencia de la LPDP, las organizaciones deben revisar en detalle su nivel de cumplimiento y ajustar sus procesos de tratamiento de datos a las exigencias de la nueva ley.

bofillmir.cl