Se publica Ley de Protección de Datos Personales N° 21.719

1. Nuevas obligaciones

• Las entidades que traten datos deberán ser claras en las bases de licitud de estos, identificando y justificando con claridad los requisitos de cada una.

• Obligaciones de transparencia en el tratamiento de datos personales estableciendo un régimen riguroso de deberes asociados, lo que se significa requisitos específicos en las políticas de privacidad.

• Obligaciones particulares para quienes traten datos especialmente protegidos por la Ley. Se trata de obligaciones para los datos sensibles, datos biométricos, datos de geolocalización, datos de menores de edad, entre otros. 

• Obligación de confidencialidad, seguridad de datos y la notificación de brechas.

• Obligaciones para proveedores de servicios vinculados a tratamiento de datos personales. 

• Obligación de realizar evaluaciones de impacto en protección de datos bajo ciertas hipótesis. 

• Tendrán que implementarse procedimientos a través de los cuales los titulares puedan ejercer sus derechos.

• Se establece un régimen para las transferencias internacionales de datos. 

• Las Pymes tienen un estatuto diferenciado de estándares de seguridad y transparencia como en régimen de sanciones.

2. Régimen de sanciones

El cambio más trascendental es un robusto catálogo de 30 tipos de infracciones y un marco asociado de sanciones que pueden llegar hasta las 20.000 UTM en las hipótesis “gravísimas” aumentadas en casos de reincidencias. Las sanciones leves se asocian a no cumplir deberes de información, las graves a infringir reglas del tratamiento y las gravísimas son hipótesis dolosas de tratamiento de datos por ejemplo cuando este se realiza de manera fraudulenta. 

3. Creación de la Agencia de Protección de Datos Personales

Este organismo compuesto por tres consejeros especializados en la materia fiscalizará el cumplimiento de la nueva Ley, resolviendo y sancionando por la vía administrativa los incumplimientos a la normativa.

4. Modelo de Prevención de Infracciones

Las empresas pueden optar por implementar el modelo de cumplimiento, el cual es voluntario, pero exige desarrollar, entre otras tareas, procesos internos relacionados con la identificación de datos personales que se tratan, las actividades de tratamiento y designar un delegado de protección de datos quien será el responsable de velar por el correcto uso de los datos personales en las empresas. Este modelo de Compliance es ciertamente adecuado para empresas que hacen uso intensivo de datos, pues una vez que está certificado se considera un atenuante de responsabilidad.