¿Qué son los datos personales según la nueva ley de protección de datos 21.719?
En este artículo
- Los datos no son el «nuevo petróleo»
- ¿Dueño de sus datos o titular de su identidad?
- El Dato de Schrödinger: la identidad depende de quién observa
- El mito de los datos públicos
- Datos inferidos, IA y deepfakes
- La particularidad chilena que nadie debería pasar por alto
- Qué hacer antes del 1 de diciembre de 2026
- Preguntas frecuentes
FEl 1 de diciembre de 2026 Chile deja atrás una normativa de 1999 que sobrevivió a la era del algoritmo y entra a operar bajo un estándar comparable al europeo: una Agencia de Protección de Datos con potestad fiscalizadora y sancionatoria, derechos ARCO reforzados, notificación obligatoria de brechas y multas que van de 5.000 a 20.000 UTM, con agravantes que pueden alcanzar el 2% o 4% de los ingresos anuales por ventas y servicios en Chile.
Frente a ese escenario hay un concepto clave: saber determinar, con criterio técnico, qué es y qué no es un dato personal.
Porque toda la ley cuelga de esa definición. Si el dato es personal, aplica el estatuto completo: base de licitud, deber de información, derechos del titular, medidas de seguridad, evaluaciones de impacto. Si no lo es, usted queda fuera del control de la ley. Y esa frontera es mucho menos estable de lo que la mayoría de las organizaciones cree.
Los datos no son el «nuevo petróleo»
Muchas personas suelene equiparar el dato al nuevo petróleo pero no es del todo correcto. La analogía es tentadora por el valor económico y el peso geopolítico, pero es técnicamente errónea. Y las metáforas erróneas producen políticas de datos erróneas. Tres diferencias cualitativas:
1. No son bienes rivales
Si usted consume un barril de petróleo, ese barril desaparece. Un dato puede ser utilizado por miles de agentes simultáneamente sin agotarse ni perder valor. Esto significa que el control sobre un dato no se pierde al cederlo: se multiplica el número de personas que lo tratan. De ahí la importancia de los contratos de encargo.
2. El costo marginal de reproducción es cero
Copiar y almacenar una base de datos no cuesta prácticamente nada. Por eso el impulso natural de toda organización es acumular «por si acaso», y por eso el principio de minimización resulta contraintuitivo: exige resistir un incentivo económico real.
3. El valor reside en la inferencia, no en el dato crudo
Lo valioso no es el correo electrónico que el usuario entrega, sino lo que la organización deduce de él. Mediante perfilamiento, una plataforma puede concluir que un sujeto tiene un 96% de probabilidad de no comprar ropa deportiva —o, más delicado, de no pagar un crédito—. Ese juicio también es dato personal, aunque el titular jamás lo haya declarado.
Más que petróleo, los datos personales son un ecosistema de confianza. Solo es posible innovar si los titulares confían en que su información no será vendida ni vulnerada. Las industrias que optan por tratamientos abusivos terminan por matar a la gallina de los huevos de oro.
¿Dueño de sus datos o titular de su identidad?
En el debate comparado conviven dos visiones, y la diferencia no es semántica: define qué puede hacer usted con la información de sus clientes.
El modelo anglosajón habla de data ownership, propiedad. Suena empoderador, pero tiene una consecuencia incómoda: si usted es dueño de sus datos, podría venderlos de manera definitiva e irrevocable, podrían ser embargados por sus deudas e incluso expropiados por causa de utilidad pública.
Chile abrazó el modelo continental europeo de titularidad. Aquí el dato es un atributo de la personalidad, como el nombre: inalienable, irrenunciable, intransferible. El titular nunca se desprende del vínculo con su información, aunque haya consentido en su tratamiento.
De ahí deriva el bien jurídico protegido: la autodeterminación informativa, el derecho a controlar qué se hace con la información que me concierne, sea íntima o no. Consecuencia práctica para su empresa: el consentimiento es revocable en cualquier momento y ninguna cláusula contractual puede limitar los derechos del titular.
El «Dato de Schrödinger»: la identidad depende de quién observa
Aquí está el concepto que más errores de asesoría genera: la naturaleza de un dato no es absoluta, sino relativa al agente que lo trata. Una misma información puede ser personal para una empresa y anónima para otra, al mismo tiempo.
Estado A · Dato personal
El agente posee la llave o los medios legales razonables para llegar a la persona. Aplica el estatuto completo de la ley.
Estado B · Dato anónimo
El agente carece de la llave y de facultades para obtenerla. Para él, y solo para él, el titular no es identificable.
El estándar legal es que una persona resulta identificable cuando su identidad puede determinarse mediante medios razonables y factores objetivos. La pregunta, entonces, no es «¿este dato tiene nombre?», sino «¿quién tiene la llave y qué esfuerzo razonable requeriría usarla?».
La jurisprudencia europea —fuente material directa de nuestra ley— ofrece tres casos de estudio imprescindibles.
TJUE, C-582/14 Caso Breyer: sobre las direcciones IP
Una dirección IP dinámica es dato personal para un Proveedor de Internet, porque dispone de los medios legales para vincularla a un cliente. Pero podría no serlo para el titular de un sitio web que carece de facultades legales para obtener esa identidad solo con la IP.
Aplicación prácticaSu servidor de logs no queda automáticamente fuera de la ley. Depende de si usted puede, por vías lícitas y razonables, llegar a la persona.
TJUE, C-319/22Doctrina Scania: el número VIN
El número de chasis de un vehículo es dato personal para un organismo con acceso a los registros que lo asocian a un propietario, pero funciona como dato meramente técnico o estadístico para un actor que no posee esa información adicional.
Aplicación práctica Un identificador aparentemente neutro —VIN, patente, código de cliente, ID de dispositivo— cambia de naturaleza jurídica según quién lo tenga en sus manos.
TJUE, C-413/23 PCaso EDPS v. SRB / Deloitte: el matiz que muchos citan mal
Este es el caso donde conviene actualizar el análisis, porque en Chile todavía circula la versión incompleta.
Los hechos. La Junta Única de Resolución (SRB) recopiló comentarios de accionistas y acreedores del Banco Popular Español, los seudonimizó bajo códigos alfanuméricos y los entregó a Deloitte como valorador independiente, sin mencionar esa transferencia en su declaración de privacidad.
Primera instancia (Tribunal General, T-557/20, 2023). Se acogió el criterio relativo: como Deloitte no tenía la llave ni medios razonables para reidentificar, para Deloitte el dato era anónimo, aunque para la SRB —que conservaba la llave— siguiera siendo dato seudonimizado y, por tanto, personal.
Apelación (Tribunal de Justicia, 4 de septiembre de 2025). El TJUE anuló parcialmente esa sentencia y precisó tres cosas de enorme valor práctico:
- El enfoque relativo sobrevive. La seudonimización no convierte automáticamente el dato en personal para todo receptor; puede, según las circunstancias, impedir efectivamente la identificación por terceros.
- Las opiniones y juicios personales son, por su propia naturaleza, datos personales, sin necesidad de analizar contenido, finalidad o efecto: están inherentemente vinculados a quien las emite.
- Para el deber de información, la identificabilidad se evalúa al momento de la recolección y desde la perspectiva del responsable, no del receptor.
Aplicación práctica: Usted puede tener razón en que su proveedor recibe datos anónimos desde su perspectiva y, aun así, incumplir el deber de informar por no haber declarado nunca esa transferencia al titular. Ganar el argumento técnico y perder el caso por transparencia es un desenlace perfectamente posible.
El mito de la privacidad: los datos públicos también son personales
Existe una falsa creencia extendida en el mercado chileno: que un dato deja de estar protegido si es público. No es así. Para asesorar correctamente conviene distinguir tres niveles:
| Nivel | Definición | Ejemplo |
|---|---|---|
| Dato | La unidad básica, sin contexto | «1,90» |
| Información | El dato con contexto cognitivo | «El profesor mide 1,90 m» |
| Inteligencia | La elaboración superior a partir de la información | «Su perfil sugiere X para efectos de Y» |
Bajo este estándar, la información del boletín comercial, la patente de un vehículo o un dato inscrito en un registro público siguen siendo datos personales. Que usted pueda consultarlos lícitamente no significa que el titular haya renunciado a sus derechos de acceso, rectificación, supresión, oposición, portabilidad y bloqueo.
Más aún: la ley se aplica incluso si el dato es irrelevante o erróneo. Lo determinante no es la calidad del dato ni su carácter íntimo, sino el vínculo con una persona natural identificada o identificable.
Datos inferidos, IA y deepfakes: el dato falso también es dato personal
Con el despliegue de la inteligencia artificial reaparece la pregunta: ¿son datos personales las predicciones de un algoritmo? La respuesta que regirá en Chile es afirmativa. El dato inferido es dato personal.
Si una plataforma «opina» —vía scoring o perfilamiento— que usted es un deudor riesgoso a partir de sus interacciones, ese juicio nace de su rastro digital y usted debe poder conocerlo, cuestionarlo y oponerse a él. El criterio del TJUE de 2025 lo refuerza: las opiniones están inherentemente vinculadas a la persona.
El caso límite lo confirma: en un deepfake el contenido es falso, pero sigue siendo dato personal, porque el vínculo con la identidad del retratado persiste. La protección no depende de la veracidad, sino de la vinculación.
La particularidad chilena que nadie debería pasar por alto
1. Categorías especiales ≠ datos sensibles
En el GDPR europeo, «categorías especiales» es prácticamente sinónimo de datos sensibles. En la ley chilena son conceptos distintos. Las categorías especiales incorporan reglas específicas para el tratamiento de datos de niños, niñas y adolescentes, datos de geolocalización y datos biológicos, con exigencias que van más allá de la simple sensibilidad.
2. La situación socioeconómica es dato sensible
Este es, a mi juicio, el punto de mayor impacto práctico y el menos internalizado por el mercado. El artículo 2 letra g) incluye expresamente la situación socioeconómica dentro de los datos personales sensibles. No existe equivalente en el GDPR.
La consecuencia es profunda para bancos, retail financiero, fintech, cobranzas y prácticamente cualquier empresa que evalúe capacidad de pago: el estándar de tratamiento se eleva. La propia ley intenta destrabar el nudo en su artículo 13 letra a), al declarar lícito —sin consentimiento— el tratamiento de datos relativos a obligaciones económicas, financieras, bancarias o comerciales conforme al Título III, incluidos los referidos a la situación socioeconómica del titular.
La articulación entre ambas normas es hoy uno de los debates doctrinarios más vivos en Chile, con proyectos de ley en trámite que buscan corregir la redacción. Mientras eso no ocurra, la lectura conservadora es la única defendible ante una Agencia recién instalada: si usted trata información socioeconómica fuera del cauce del Título III, asuma que está tratando datos sensibles.
Qué hacer antes del 1 de diciembre de 2026
El cumplimiento no se improvisa en noviembre. Una hoja de ruta mínima y realista:
- Inventario y mapa de datos. Qué datos trata, dónde viven, quién accede, cuánto tiempo los conserva y por qué. Sin esto, ningún otro control es verificable.
- Clasificación por sensibilidad. Identifique especialmente datos de salud, biométricos, de menores y de situación socioeconómica.
- Base de licitud por cada tratamiento. Consentimiento, contrato, obligación legal o interés legítimo. Una por finalidad, documentada.
- Deber de información. Actualice su política de privacidad y —lección del caso SRB— declare a sus encargados y destinatarios, aunque los datos les lleguen seudonimizados.
- Contratos de encargo. Todo proveedor que trate datos por su cuenta necesita cláusulas de encargo, no un anexo genérico.
- Procedimiento de derechos ARCO, portabilidad y bloqueo. El plazo de respuesta es acotado; sin flujo interno definido, el incumplimiento es cuestión de tiempo.
- Protocolo de brechas. Detección, evaluación, notificación a la Agencia y, cuando corresponda, a los titulares.
- Evalúe designar un Delegado de Protección de Datos. Obligatorio en ciertos supuestos de riesgo o volumen; recomendable en muchos más. El DPO externo con dedicación parcial es una alternativa costo-eficiente para pymes.
- Modelo de Prevención de Infracciones (MPI). Su certificación opera como atenuante formal ante la Agencia. Es el equivalente en datos al modelo de la Ley 20.393.
Nota sobre pymes: durante los primeros 12 meses de vigencia, las empresas de menor tamaño según la Ley 20.416 pueden recibir amonestación escrita en lugar de multa. Es una ventana de aterrizaje, no una exención: la amonestación queda registrada y pesa en fiscalizaciones futuras.
Preguntas frecuentes sobre la Ley 21.719
¿La Ley 21.719 reemplaza a la Ley 19.628?
No la deroga: la reforma profundamente. Técnicamente el cuerpo legal sigue siendo la Ley 19.628 con las modificaciones introducidas por la Ley 21.719, aunque en la práctica se hable indistintamente de «la nueva ley de datos».
¿Aplica a empresas pequeñas y a personas naturales con giro?
Sí. Aplica a toda persona natural o jurídica, pública o privada, que trate datos personales. No hay umbral de tamaño para la obligación; sí hay diferencias en el régimen de sanciones y en la exigibilidad del DPO.
¿El RUT es un dato sensible?
No. Es un dato identificador y requiere base de licitud, pero no está en el catálogo de datos sensibles del artículo 2 letra g).
¿Los datos de empresas (B2B) están cubiertos?
Los datos de una persona jurídica no son datos personales. Pero el nombre, correo corporativo y cargo de un contacto sí lo son: identifican a una persona natural. Casi toda base B2B contiene datos personales.
¿Anonimizar me saca de la ley?
Solo si la anonimización es irreversible. La seudonimización no es anonimización: si algún agente conserva la llave, para ese agente el dato sigue siendo personal.
¿Cuáles son las multas de la Ley 21.719?
Infracciones leves hasta 5.000 UTM, graves hasta 10.000 UTM y gravísimas hasta 20.000 UTM. En caso de reincidencia, las empresas que no califican como de menor tamaño pueden enfrentar multas equivalentes al 2% o 4% de sus ingresos anuales por ventas y servicios en Chile.
Conclusión: la titularidad es un vínculo, no una licencia
A partir del 1 de diciembre de 2026, Chile opera bajo el estándar de oro global. Con una Agencia dedicada, un Registro Nacional de Sanciones y multas que dejan de ser simbólicas, las reglas del juego cambian de manera irreversible.
Pero reducir esto a una cuestión de multas es perder el punto. La pregunta de fondo para directorios y gerencias no es cómo evito la sanción, sino si mi organización está preparada para administrar un ecosistema de confianza.
¿Seguirá tratando los datos como un recurso extractivo, o entenderá que la titularidad es un vínculo inquebrantable con la persona? El riesgo de no adaptarse no es solo jurídico: es el riesgo de quedar fuera de la nueva economía digital chilena.
¿Dónde está parada su organización frente a la Ley 21.719?
Diagnósticos de cumplimiento, diseño de modelos de prevención de infracciones y servicios de DPO externo para empresas en Chile.Agendar una evaluación inicial
Aviso legal: este artículo tiene fines informativos y no constituye asesoría jurídica para un caso concreto. La aplicación de la Ley 21.719 depende de las circunstancias particulares de cada tratamiento.
