Obligaciones principales

Informar con transparencia: política de tratamiento clara, con responsable, finalidades, base de licitud, medidas de seguridad y derechos.
Deber de secreto: confidencialidad de los datos, incluso terminada la relación.
Protección desde el diseño y por defecto: tratar solo los datos estrictamente necesarios.
Registrar las actividades de tratamiento y poder acreditar su licitud.
Contratar por escrito a los encargados (proveedores) que traten datos por cuenta de la empresa.
Evaluación de impacto previa cuando un tratamiento sea de alto riesgo.
Seguridad proporcional al riesgo y notificación de brechas sin dilaciones indebidas.

La designación de un Delegado de Protección de Datos (DPO) es voluntaria. En micro, pequeñas y medianas empresas, el dueño o la máxima autoridad puede asumir ese rol.

1Gobernanza y diagnóstico 0/6 ¿Tienen identificado con precisión qué datos personales recolectan y dónde los almacenan?Mapear el flujo de datos es el primer paso de cualquier programa de cumplimiento.¿Mantienen un inventario de datos personales que se actualiza periódicamente?Permite saber qué información se maneja, con qué finalidad y por cuánto tiempo.¿Realizaron un análisis de brechas comparando sus prácticas actuales con lo que exige la ley?Ayuda a priorizar los ajustes antes de la entrada en vigencia.¿Llevan un Registro de Actividades de Tratamiento (RAT)?Es una de las pruebas centrales de cumplimiento ante la Agencia.¿Han determinado la base de licitud que ampara cada tratamiento que realizan?Todo tratamiento debe apoyarse en una causa legítima clara.¿Designaron un Delegado de Protección de Datos o un responsable interno de la materia?Aunque es voluntario, ayuda a supervisar el cumplimiento y a servir de enlace con la autoridad.

2Consentimiento e información 0/5 ¿Cuentan con una Política de Privacidad clara y de fácil acceso para las personas?La transparencia es un principio central de la ley.¿Obtienen el consentimiento del titular cuando la ley lo requiere, antes de tratar sus datos?El consentimiento informado es una de las bases de licitud más comunes.¿Informan la finalidad concreta para la que se tratarán los datos?El principio de finalidad exige usar los datos solo para los fines comunicados.¿Aplican minimización, recolectando solo los datos estrictamente necesarios?Recolectar de más aumenta el riesgo y contraviene la ley.¿Definen y respetan plazos de conservación, eliminando datos cuando ya no son necesarios?La conservación debe limitarse al tiempo justificado.

3Derechos de los titulares 0/6 ¿Tienen un protocolo para atender solicitudes de acceso a los datos?Las personas pueden pedir saber qué información suya se maneja.¿Pueden rectificar o corregir datos cuando el titular lo solicita?El derecho de rectificación garantiza la exactitud de la información.¿Disponen de un mecanismo para eliminar datos a petición del titular?La ley reconoce el derecho de supresión ("derecho al olvido").¿Permiten que las personas se opongan a determinados tratamientos?El derecho de oposición aplica, por ejemplo, al marketing directo.¿Ofrecen la portabilidad de datos en un formato reutilizable cuando se solicita?Es un derecho moderno alineado con estándares internacionales.¿Su personal está capacitado para reconocer y tramitar estas solicitudes dentro de plazo?Los procedimientos solo funcionan si el equipo sabe aplicarlos.

4Seguridad de la información 0/5 ¿Aplican cifrado y/o seudonimización sobre la información sensible?Reduce el impacto de una eventual filtración.¿Tienen controles de acceso que limiten quién puede ver cada dato?Restringir el acceso protege la confidencialidad y la integridad.¿Realizan copias de seguridad periódicas y cuentan con un plan de recuperación?La disponibilidad y recuperación son parte de una seguridad adecuada.¿Protegen los dispositivos corporativos frente a pérdida o robo?Los equipos extraviados son una vía frecuente de exposición de datos.¿Implementaron medidas de ciberseguridad para prevenir ataques y filtraciones?Prevenir intrusiones es una obligación de medios fiscalizable.

5Gestión de brechas 0/4 ¿Disponen de un protocolo formal de respuesta ante incidentes de seguridad?Reaccionar de forma ordenada reduce el impacto y demuestra diligencia.¿Saben cómo y en qué condiciones deben notificar una brecha a la Agencia?La ley obliga a comunicar las brechas sin dilaciones indebidas cuando hay riesgo.¿Tienen un plan para avisar a los usuarios afectados por un incidente?Es obligatorio cuando la brecha afecta datos sensibles, de menores de 14 o económico-financieros.¿Realizan pruebas o simulacros periódicos de su plan de respuesta?Ensayar el protocolo revela debilidades antes de un incidente real.

6Encargados y terceros 0/3 ¿Identificaron a todos los proveedores que tratan datos por cuenta de la empresa?La responsabilidad no desaparece al delegar el tratamiento.¿Firman contratos de tratamiento de datos con esos proveedores?El acuerdo fija las obligaciones de seguridad y confidencialidad del tercero.¿Verifican que sus proveedores apliquen medidas de seguridad equivalentes a las suyas?Un encargado con controles débiles es el eslabón vulnerable de la cadena.

7Transferencias internacionales 0/2 ¿Comprobaron que sus transferencias de datos al extranjero cumplen los requisitos legales?La ley regula el envío de datos fuera de Chile.¿Saben si los países de destino ofrecen un nivel de protección adecuado o si requieren salvaguardas?Cuando el destino no garantiza protección suficiente, se necesitan garantías adicionales.

8Datos sensibles y compliance 0/4 ¿Identifican y dan un tratamiento reforzado a las categorías de datos sensibles?Los datos sensibles exigen mayores resguardos por su potencial de daño.¿Realizan una Evaluación de Impacto cuando el tratamiento es de alto riesgo?Los tratamientos de alto riesgo requieren una evaluación previa.¿Implementaron un programa interno de prevención de infracciones (compliance)?Ayuda a demostrar diligencia y puede atenuar responsabilidades.¿Alinean sus prácticas con estándares internacionales como el RGPD o la ISO 27001?Cumplir de forma proactiva reduce el riesgo de sanciones y refuerza la confianza.

Líderes en implementación de protección de datos personales

Aliado especialista en cumplimiento

Certifica tu empresa y haz todo el onboarding de la Ley 21.719 con Gobierna Tus Datos

Esta guía y la app te ayudan a entender la ley. Para llevarla a la práctica, Gobierna Tus Datos —líderes en implementación de protección de datos personales en Chile— acompaña a tu organización de principio a fin: diagnóstico, implementación, certificación y seguimiento.

1DiagnósticoBrechas y nivel de madurez de tu organización.
2ImplementaciónPolíticas, registro de tratamientos, contratos y seguridad.
3CertificaciónModelo de prevención y evidencia de cumplimiento.
4SeguimientoAcompañamiento continuo, capacitación y auditoría.

Hablar con Gobierna Tus Datos

Gobierna Tus Datos es una empresa independiente de valladares.org. valladares.org no certifica ni presta asesoría legal. Consulta siempre el texto oficial en la Biblioteca del Congreso Nacional (BCN). bcn.cl

Obligaciones de las empresas: checklist Ley 21.719

Obligaciones principales

Certifica tu empresa y haz todo el onboarding de la Ley 21.719 con Gobierna Tus Datos