A nova legislação chilena (Lei nº 21.719) impõe obrigações rigorosas para o atendimento aos direitos dos titulares de dados pessoais.
Para empresas brasileiras com atuação regional, o desafio é unificar a governança entre a LGPD e o marco chileno com rastreabilidade técnica e sem gargalos operacionais.
Quais direitos dos titulares a empresa deve processar no ambiente regional?
A Lei nº 21.719 estabelece seis direitos fundamentais: acesso, retificação, exclusão (supresión), oposição, portabilidade e bloqueio de dados pessoais. Enquanto a LGPD brasileira prevê regras gerais de peticionamento, a nova legislação chilena introduziu condições estritas de admissibilidade, exigindo justificativa técnica e jurídica documentada para qualquer recusa.
O atendimento não significa acatar de forma irrestrita todo pedido recebido. A organização deve confrontar a solicitação com as hipóteses de retenção obrigatória, obrigações tributárias e bases legais vigentes.
Para estruturar o atendimento nas equipes de suporte e privacidade, é imprescindível distinguir cada direito:
- Acesso: possibilita confirmar o tratamento de dados do titular, detalhando origem, finalidade, destinatários e prazos de armazenamento.
- Retificação: viabiliza a correção imediata de registros cadastrais incompletos, inexatos ou desatualizados.
- Exclusão: impõe a eliminação dos dados quando a base legal cessar, ressalvadas as obrigações legais de conservação de guarda.
- Oposição: autoriza a paralisação do tratamento para fins específicos caso cessem as justificativas operacionais legítimas.
- Portabilidade: garante o envio das informações em formato estruturado e interoperável de uso comum.
- Bloqueio temporário: consiste na suspensão cautelar do uso dos dados contestados sem a necessidade de eliminação imediata do banco de dados.
Compreender essas exigências em operações transfronteiriças requer alinhar a infraestrutura de TI corporativa aos processos formais de manter o cumprimento normativo.
Quais são os prazos de resposta e como controlar o cronograma de TI?
O artigo 11 da Lei nº 21.719 fixa o prazo geral de até 30 dias corridos para o responsável emitir o parecer formal e atender à requisição do titular, permitindo uma única prorrogação justificada por mais 30 dias corridos.
Diferente do prazo célere de 15 dias da LGPD no Brasil, o modelo chileno exige atenção especial a uma modalidade urgente: quando o titular requer o bloqueio cautelar vinculado a pedidos de retificação ou exclusão, o responsável possui o prazo estrito de dois dias úteis para efetivar a suspensão técnica do tratamento.
O cumprimento tempestivo desses prazos exige uma gestão centralizada que registre cada etapa da solicitação:
- Protocolo automatizado de entrada: registro de data e hora de ingresso com envio imediato de comprovante ao solicitante.
- Painel de vencimentos e alertas: parametrização de prazos operacionais para evitar a incidência de penalidades regulatórias.
- Formalização de prorrogações: arquivamento dos motivos técnicos que justificaram a extensão de prazo comunicada ao titular.
- Roteamento de bloqueio emergencial: identificação imediata de requisições de bloqueio para cumprimento dentro da janela de dois dias úteis.
- Guarda de comprovantes de resposta: armazenamento seguro do teor integral da resposta encaminhada.
Validação da identidade do solicitante e prevenção contra vazamentos
A organização deve disponibilizar canais digitais claros para a recepção dos pedidos, exigindo a identificação do titular sem criar barreiras desproporcionais ao exercício dos seus direitos. A autenticação inadequada expõe o ambiente ao risco de exfiltração de dados por terceiros mal-intencionados (phishing de privacidade).
A legislação chilena determina que a identificação seja razoável em relação à sensibilidade dos dados requeridos. Em contas corporativas ou portais autenticados, a verificação deve ser reforçada por mecanismos modernos de autenticação multifator, assegurando que credenciais comprometidas não sejam utilizadas para extrair históricos confidenciais.
Localização de dados distribuídos em ecossistemas híbridos e SaaS
Para responder a requisições de acesso ou exclusão, a TI precisa localizar registros espalhados por CRMs, e-mails, ferramentas de colaboração e bancos de dados locais. Em companhias brasileiras com subsidiárias no Chile, o trânsito dessas bases em nuvens públicas costuma dificultar a consolidação da resposta.
A visibilidade depende de um inventário contínuo de ativos e da aplicação de controles rígidos para proteger os dados corporativos em nuvem. Além disso, a governança deve garantir que modificações e exclusões aprovadas se propaguem automaticamente por todas as instâncias de armazenamento.
Caso as informações transitem por plataformas colaborativas, a corporação deve proteger dados de serviços SaaS para evitar que cópias residuais e versões desatualizadas permaneçam ativas fora da alçada do compliance.
Evidências exigidas para comprovação perante a autoridade fiscalizadora
A nova legislação chilena exige que a empresa comprove formalmente a entrega da resposta, o prazo de envio e a fundamentação jurídica de eventuais negativas de atendimento.
As trilhas de auditoria devem respaldar o processo de ponta a ponta:
- Registro da requisição inicial: arquivamento do protocolo, data de recepção e canal utilizado.
- Validação de representação: arquivamento de procurações nos casos em que terceiros atuem em nome do titular.
- Histórico técnico de intervenções: relatórios que comprovem buscas em bases, alterações de cadastro ou exclusões lógicas.
- Fundamentação de recusas: justificativa técnica ou legal para a retenção justificada de dados contestados.
- Trilhas de auditoria de acessos: segregação de permissões para que apenas analistas autorizados manipulem os registros do expediente.
Para empresas que já adotam frameworks internacionais, a estruturação dessa governança documental converge naturalmente com os requisitos para gerenciar a privacidade segundo a ISO 27701.
Status da vacatio legis e planejamento para empresas da América Latina
O texto aprovado da Lei nº 21.719 estabelece sua vigência oficial a partir de 1º de dezembro de 2026. Propostas legislativas de prorrogação no Congresso chileno vêm sendo debatidas para postergar essa data para 2027, mas as organizações não devem suspender suas adequações operacionais.
Empresas brasileiras que estruturam fluxos unificados de atendimento aumentam sua maturidade em segurança da informação e eliminam retrabalho entre a LGPD e as normas do Mercosul e da Aliança do Pacífico.
Consultoria em governança de acessos e conformidade regulatória de TI
Atender aos direitos dos titulares requer a integração entre políticas jurídicas e controles de segurança da informação. As equipes precisam identificar onde os dados residem, quem possui autorização para manipulá-los e como registrar evidências auditáveis.
A Sinfopac auxilia empresas com operações no Brasil e na América Latina a desenhar políticas de controle de acesso, inventário de identidades e proteção de dados em nuvem, garantindo a sustentabilidade técnica necessária para responder a auditorias e cumprir legislações de privacidade com segurança.
{{fs-button}}