Haz que tu web cumpla con la normativa de Chile antes de diciembre

El banner de cookies debe seguir un modelo opt-in, es decir, ninguna cookie no esencial puede estar activada por defecto. El usuario debe tomar una acción afirmativa y consciente para aceptarlas. Las opciones aceptar, rechazar y configurar deben ser equivalentes. Se exige un consentimiento informado, granulado y reversible. 

El titular debe presentar su solicitud ante la empresa responsable del tratamiento a través de los canales habilitados (formulario web, correo electrónico u otro medio equivalente). La empresa tiene 30 días naturales para responder, plazo que puede prorrogarse otros 30 días adicionales. Existe una excepción importante: cuando la solicitud incluye una petición de bloqueo temporal, la empresa debe resolverla en solo 2 días hábiles, y mientras no lo haga, no puede seguir tratando los datos afectados. Si la empresa deniega total o parcialmente la solicitud, el usuario puede acudir a la Agencia de Protección de Datos Personales para presentar una reclamación.

La APDP es el nuevo organismo público autónomo creado por la Ley 21.719 para supervisar su cumplimiento. Sus facultades abarcan tres áreas principales: regulatoria (puede emitir normas obligatorias, interpretarlas y proponer nuevas leyes), fiscalizadora (puede exigir documentación a cualquier responsable de datos, citar a declarar a personas con información relevante y auditar los modelos de cumplimiento) y sancionadora (aplica multas, resuelve reclamaciones de titulares y puede ordenar la suspensión temporal de operaciones de tratamiento hasta 30 días en los casos más graves). También gestiona el Registro Nacional de Sanciones y Cumplimiento.

Ante cualquier brecha de seguridad que represente un riesgo para los derechos de los titulares, la empresa está obligada a notificarlo a la Agencia de Protección de Datos Personales. La ley no establece un plazo concreto de horas o días, pero exige que la comunicación se realice "por los medios más expeditos posibles y sin dilaciones indebidas", lo que implica actuar con la mayor celeridad posible. Ocultar o no reportar una brecha se clasifica como infracción gravísima, con multas de hasta 20.000 UTM. 

Las principales obligaciones son:

• Banner de cookies conforme a la ley: con modelo opt-in, sin cookies adicionales activadas por defecto y con información clara sobre su finalidad.
• Consentimiento activo: eliminar casillas premarcadas y habilitar mecanismos gratuitos para retirar el permiso.
• Política de privacidad accesible: publicar en la web información sobre quién trata los datos, con qué finalidad, durante cuánto tiempo, con quién se comparten y cómo ejercer los derechos.
• Canales para ejercer derechos: habilitar vías de contacto para atender solicitudes de acceso, rectificación, supresión, oposición, portabilidad y bloqueo (derechos ARSOPB) y responder en un plazo máximo de 30 días naturales, prorrogables otros 30.
• Seguridad desde el diseño: recoger solo los datos estrictamente necesarios e implementar medidas como el cifrado o la seudonimización desde antes de iniciar el tratamiento.

El consentimiento bajo la Ley 21.719 debe cumplir cuatro condiciones: ser libre (sin presión ni condicionantes), informado (el usuario debe saber exactamente qué datos se recogen, para qué, cuánto tiempo y si se comparten con terceros), específico (para una finalidad concreta) e inequívoco (debe expresarse mediante una acción afirmativa clara). Quedan prohibidas las casillas premarcadas o cualquier mecanismo pasivo. Además, el usuario tiene derecho a revocar su consentimiento en cualquier momento y sin necesidad de justificarlo, por lo que las empresas deben ofrecer mecanismos de retirada igual de sencillos que los de otorgamiento.

La Ley 21.719 reconoce seis derechos para los titulares de datos:

• Bloqueo: suspender el tratamiento de sus datos mientras se resuelve una solicitud de rectificación, supresión u oposición. Durante ese período, la empresa no puede seguir utilizando esa información.
• Acceso: saber si una empresa trata sus datos, qué información tiene, con qué finalidad y con quién la ha compartido.
• Rectificación: corregir datos inexactos, desactualizados o incompletos, como por ejemplo una dirección de envío errónea.
• Supresión: solicitar la eliminación de los datos cuando ya no sean necesarios para la finalidad original o cuando se haya retirado el consentimiento.
• Oposición: negarse a que sus datos se usen para fines de marketing directo, publicidad personalizada o elaboración de perfiles comerciales.
• Portabilidad: recibir una copia de sus datos en formato electrónico estructurado para poder transferirlos a otro proveedor.

La ley aplica a cualquier persona natural o jurídica, pública o privada, que realice tratamiento de datos personales en Chile. Sin embargo, su alcance va más allá de las fronteras: también obliga a organizaciones extranjeras cuando sus operaciones estén dirigidas a ofrecer bienes o servicios a personas ubicadas en Chile, o cuando monitoreen el comportamiento de personas dentro del territorio nacional. Esto incluye, por ejemplo, plataformas digitales internacionales con usuarios chilenos, marketplaces extranjeros que vendan a consumidores en Chile o aplicaciones que rastreen la actividad de usuarios en el país.

La Ley 21.719 fue publicada el 13 de diciembre de 2024, pero entrará en vigor el 1 de diciembre de 2026. 

La Ley 21.719 reemplaza la antigua normativa chilena de protección de datos para adaptarla a los estándares internacionales actuales. Entre sus novedades más importantes destaca la creación de la Agencia de Protección de Datos Personales (APDP), un organismo autónomo con capacidad sancionadora; el reconocimiento de nuevos derechos para los titulares; y la exigencia de un consentimiento explícito y activo para el tratamiento de datos, eliminando prácticas como las casillas premarcadas. Además, introduce un régimen de sanciones escalonado que puede llegar hasta las 20.000 UTM en los casos más graves.