La Ley 21.719 reconoce nuevos derechos sobre los datos personales. Para las empresas, el reto es convertir cada solicitud en un proceso trazable, seguro y oportuno.
Antes de responder, TI y cumplimiento deben saber quién solicita los datos, dónde están, quién puede consultarlos y cómo dejar evidencia de cada decisión, sin confundir seguridad con obstáculos al titular.
¿Qué derechos de los titulares debe poder gestionar una empresa?
La Ley 21.719 reconoce seis derechos principales: acceso, rectificación, supresión, oposición, portabilidad y bloqueo de datos personales. Cada uno requiere un procedimiento capaz de identificar la petición, localizar la información afectada y determinar la respuesta que corresponde según la ley.
Estos derechos no significan que toda solicitud deba resolverse automáticamente a favor del titular. La organización debe analizar el caso, considerar las condiciones legales aplicables y justificar una eventual denegación.
Para evitar confusiones, conviene distinguir qué implica cada derecho:
- Acceso: permite conocer si la empresa trata datos personales de la persona y, cuando corresponda, obtenerlos e informarse sobre su origen, finalidad, destinatarios y período de tratamiento.
- Rectificación: permite corregir o completar información personal inexacta, desactualizada o incompleta.
- Supresión: permite solicitar la eliminación de datos cuando concurre alguna de las causales legales y no resulta aplicable una excepción.
- Oposición: permite solicitar que no se realice determinado tratamiento cuando se cumplen las condiciones previstas por la normativa.
- Portabilidad: permite obtener determinados datos facilitados por el titular en un formato electrónico estructurado y de uso común, cuando el tratamiento es automatizado y se basa en el consentimiento.
- Bloqueo: permite solicitar la suspensión temporal de ciertas operaciones de tratamiento en los supuestos establecidos por la ley, sin que ello implique necesariamente borrar los datos almacenados.
Para comprender el marco general y sus implicaciones empresariales, consulte la guía sobre los cambios que introduce la Ley 21.719 para las empresas en Chile.
¿Cuál es el plazo para responder una solicitud de datos personales?
El artículo 11 de la Ley 21.719 establece que el responsable debe acusar recibo de la solicitud y responder, como máximo, dentro de los 30 días corridos siguientes a su ingreso. Este plazo puede prorrogarse una sola vez, hasta por otros 30 días corridos.
El plazo general no debe confundirse con el aplicable a una solicitud de bloqueo temporal. Cuando se solicita el bloqueo en relación con una petición de rectificación, supresión u oposición, la ley establece un plazo de respuesta de dos días hábiles para esa solicitud específica.
Para administrar correctamente los plazos, la empresa necesita un registro centralizado que permita conocer la fecha de ingreso, el derecho ejercido, la persona responsable de resolver el caso y el estado de cada tarea.
- Registro de entrada: anote la fecha y hora de recepción, el canal utilizado y el número de seguimiento asignado.
- Control de vencimientos: calcule el plazo aplicable y establezca alertas internas para evitar retrasos.
- Prórroga documentada: cuando corresponda, registre la decisión de prorrogar el plazo y asegure que la respuesta se emita dentro del período permitido.
- Bloqueo temporal: identifique estas solicitudes desde el inicio para evitar que se gestionen con el mismo calendario de una petición ordinaria.
- Evidencia de respuesta: conserve los respaldos de envío, la fecha y el contenido íntegro de la comunicación remitida al titular.
El objetivo no es solamente responder dentro del plazo: también es poder demostrar cuándo se recibió la solicitud, qué se hizo para resolverla y cuál fue el resultado.
¿Cómo debe recibir y validar la identidad del solicitante?
La empresa debe habilitar un canal escrito, sencillo y accesible para recibir las solicitudes, y verificar la identidad del titular o la representación invocada mediante los procedimientos que correspondan. La validación debe proteger los datos frente a entregas a personas equivocadas, sin convertirse en una barrera innecesaria para ejercer los derechos.
La ley contempla la identificación del titular y, cuando proceda, de su representante; un medio para comunicar la respuesta; y la identificación de los datos o del tratamiento al que se refiere la petición. En el caso del derecho de acceso, la ley establece que basta con la individualización del titular, sin perjuicio de los procedimientos de autenticación aplicables.
En la práctica, conviene definir un flujo común para las solicitudes que lleguen por formularios web, correo electrónico, atención al cliente u otros canales corporativos.
- Canal definido: publique una dirección de correo, un formulario u otro medio electrónico equivalente para ejercer los derechos.
- Verificación proporcional: aplique controles adecuados al riesgo y a la sensibilidad de los datos, evitando solicitar documentación excesiva sin justificación.
- Representación acreditada: compruebe las facultades de quien actúa en nombre de otra persona cuando corresponda.
- Protección de la respuesta: utilice un canal apropiado para entregar información personal y reduzca el riesgo de enviarla a un destinatario incorrecto.
- Registro del caso: vincule la identidad validada, la solicitud recibida, las actuaciones realizadas y la respuesta final.
La autenticación multifactor puede ayudar a proteger las cuentas y sistemas utilizados por el personal que procesa solicitudes. Sin embargo, no reemplaza la evaluación de identidad que corresponda en cada petición. Para profundizar en el control de accesos, revise cuándo la autenticación multifactor resulta insuficiente por sí sola.
¿Cómo localizar los datos personales distribuidos entre varios sistemas?
Para responder una solicitud de acceso, rectificación o supresión, la organización necesita identificar los sistemas que contienen o utilizan los datos pertinentes. Si la información está distribuida entre aplicaciones SaaS, CRM, correo electrónico, plataformas de recursos humanos, equipos y bases de datos, una búsqueda aislada puede producir una respuesta incompleta.
El primer paso es construir un inventario práctico de los repositorios y procesos que tratan información personal. No siempre es necesario reunir todos los datos en una única plataforma, pero sí saber dónde se encuentran, quién los administra y cómo se puede ejecutar una acción autorizada.
- Inventario de sistemas: identifique las aplicaciones, bases de datos, repositorios y proveedores que intervienen en el tratamiento de datos personales.
- Mapa de responsabilidades: asigne un responsable técnico y un responsable funcional para cada sistema relevante.
- Búsqueda controlada: establezca cómo localizar registros de una persona y cómo comprobar que los resultados corresponden al titular correcto.
- Propagación de cambios: determine cómo comunicar rectificaciones, supresiones u oposiciones a otros destinatarios cuando así lo exige la ley.
- Verificación del resultado: compruebe que la acción se ejecutó en los sistemas afectados y que se conservó la evidencia necesaria.
La supresión no debe tratarse como una orden automática de borrar cualquier registro. La ley contempla excepciones, por ejemplo, cuando el tratamiento es necesario para cumplir una obligación legal o ejecutar un contrato. También es importante distinguir la eliminación de datos del bloqueo temporal del tratamiento.
Un proceso sólido debe coordinar las áreas de privacidad, legal, TI, seguridad y los responsables de cada aplicación. De esta manera se reducen las respuestas incompletas y los cambios no autorizados.
¿Qué evidencias debe conservar la empresa?
La empresa debe conservar respaldos que permitan demostrar la remisión de la respuesta, su fecha y su contenido íntegro. El artículo 11 exige esa evidencia y también establece que las denegaciones totales o parciales deben estar fundamentadas.
Una gestión trazable debería permitir reconstruir el ciclo completo de cada solicitud, desde su recepción hasta el cierre.
- Solicitud original: conserve el mensaje o formulario recibido y la fecha de ingreso.
- Identidad y alcance: documente las verificaciones realizadas y el derecho solicitado, limitando el acceso a esta información.
- Acciones ejecutadas: registre las búsquedas, decisiones, modificaciones, supresiones o bloqueos que se hayan efectuado.
- Decisión fundamentada: si se deniega total o parcialmente la petición, conserve las razones y los antecedentes que justifican la decisión.
- Respuesta remitida: guarde la fecha, el destinatario, el canal de envío y el contenido íntegro de la comunicación.
- Control de permisos: limite el acceso al expediente a las personas que necesitan intervenir y revise periódicamente esos permisos.
La evidencia también debe protegerse. Una carpeta compartida sin controles de acceso o un registro que cualquier usuario puede modificar puede dificultar la reconstrucción de los hechos y exponer información personal adicional.
Para reforzar el gobierno de las credenciales y los permisos de los equipos que intervienen en este proceso, puede consultar cómo gestionar contraseñas empresariales de forma segura.
¿Cómo organizar un procedimiento interno antes de recibir solicitudes?
Un procedimiento eficaz debe especificar quién recibe la petición, quién verifica su alcance, qué área localiza los datos, quién decide y quién comunica la respuesta. La responsabilidad no debería depender de que una persona conozca informalmente dónde buscar la información.
Un flujo inicial puede organizarse en siete etapas:
- Recepción: registrar la solicitud y enviar un acuse de recibo.
- Clasificación: identificar el derecho ejercido y determinar si existe una petición de bloqueo temporal.
- Verificación: comprobar la identidad y la representación cuando corresponda, aplicando los controles adecuados.
- Asignación: derivar las tareas a las áreas que controlan los sistemas o tratamientos afectados.
- Evaluación: revisar los datos localizados, las condiciones legales y las posibles excepciones.
- Ejecución y revisión: realizar las acciones autorizadas, comprobar el resultado y obtener la validación interna que corresponda.
- Respuesta y cierre: comunicar la decisión dentro del plazo aplicable y conservar las evidencias del expediente.
El procedimiento debe probarse antes de depender de él. Una simulación permite comprobar si los equipos localizan los datos, coordinan sus tareas y preparan una respuesta coherente dentro del plazo.
También conviene revisar periódicamente las cuentas que pueden consultar información personal y retirar los permisos que ya no sean necesarios. La gestión de identidades y accesos ayuda a controlar quién puede entrar a las aplicaciones y qué acciones puede realizar, pero no sustituye el procedimiento jurídico y operativo de atención de derechos.
¿Qué ocurre con la propuesta de postergar la Ley 21.719?
A fecha de esta revisión, la fecha establecida en el texto legal es el 1 de diciembre de 2026. El 20 de octubre de 2026, la Comisión de Constitución del Senado aprobó en general una iniciativa que propone trasladar la entrada en vigencia al 1 de diciembre de 2027, pero esa decisión no equivale a que la modificación ya sea ley.
Las empresas deberían verificar el estado legislativo en fuentes oficiales y evitar suspender su preparación basándose únicamente en anuncios o avances de un proyecto. La organización de los datos, los canales de atención, el control de accesos y la conservación de evidencias son mejoras operativas que siguen siendo valiosas aunque cambie el calendario.
Puede revisar el texto oficial de la Ley 21.719 en la Biblioteca del Congreso Nacional de Chile y el estado de la tramitación legislativa antes de tomar decisiones sobre fechas de cumplimiento.
Cómo conectar la gestión de solicitudes con la seguridad de TI
Atender los derechos de los titulares exige coordinar procedimientos de privacidad con controles tecnológicos. Las áreas responsables necesitan saber dónde se encuentran los datos, quién puede consultarlos, cómo se ejecutan los cambios y qué evidencias se conservan.
Sinfopac puede ayudar a las organizaciones a evaluar sus controles tecnológicos y fortalecer la gestión de identidades, accesos y dispositivos mediante JumpCloud, junto con servicios de consultoría y cumplimiento normativo de TI. Estas capacidades contribuyen a proteger los entornos que procesan información personal, sin sustituir la interpretación legal ni un sistema especializado de gestión de solicitudes.
{{fs-button}}