Ley N° 21.719: Protección de Datos Personales

Se aplica a todo tratamiento de datos personales realizado por personas naturales, entidades públicas o del sector privado, independientemente del soporte de los datos. Se exceptúa el tratamiento doméstico/personal y el ejercicio de las libertades de opinión e información. Su ámbito territorial cubre a responsables o encargados establecidos en Chile, a quienes traten datos a nombre de un responsable chileno, y a quienes ofrezcan bienes o servicios a titulares en Chile aunque no estén establecidos en el país.

Dato personal: información vinculada a una persona natural identificada o identificable. Dato sensible: revela origen étnico, afiliación política/sindical, situación socioeconómica, convicciones, salud, biometría, vida y orientación sexual. Responsable: decide los fines y medios del tratamiento. Encargado: trata datos por cuenta del responsable.

Licitud y lealtad, finalidad, proporcionalidad, calidad, responsabilidad, seguridad, transparencia e información, y confidencialidad — este último subsiste incluso concluida la relación con el titular.

Como regla general se requiere el consentimiento del titular, que debe ser libre, previo, expreso e inequívoco, e informado (identidad del responsable, finalidad, plazo de conservación, destinatarios, transferencias, existencia de decisiones automatizadas y mecanismos para ejercer derechos). Existen otras fuentes de licitud: obligación legal, ejecución de contrato, interés legítimo, o defensa de derechos ante tribunales.

Los datos sensibles requieren consentimiento expreso salvo excepciones tasadas por la ley. Niños y niñas (menores de 14) requieren consentimiento de sus padres o representantes; datos sensibles de menores de 16 también. Los datos de salud, perfil biológico y biométricos tienen reglas reforzadas de información y consentimiento expreso.

Reportar incidentes de seguridad a la Agencia sin dilaciones indebidas y, en ciertos casos, comunicarlos a los titulares afectados. Realizar evaluaciones de impacto cuando el tratamiento implique alto riesgo (decisiones automatizadas, tratamiento masivo, monitorización sistemática, datos sensibles). Evaluar la designación de un Delegado de Protección de Datos. Implementar medidas de seguridad física, de gestión de acceso, de riesgos, con terceros, de redes y de operaciones.

Acceso, rectificación, supresión u olvido, oposición, portabilidad y bloqueo. El responsable debe responder en un plazo de 30 días naturales (prorrogable una vez por otros 30), y resolver solicitudes de bloqueo en 2 días hábiles. Rectificación, supresión y oposición son siempre gratuitas.

Infracciones leves: multa hasta 5.000 UTM. Infracciones graves: de 5.000 a 10.000 UTM. Infracciones gravísimas: de 10.000 a 20.000 UTM (hasta aproximadamente $1.433 millones). Además del riesgo económico, el incumplimiento puede implicar el cierre definitivo de la actividad en casos extremos.

Aqui incorporar multas