Autorización de Tratamiento de Datos Personales Chile

La Autorización de Tratamiento de Datos Personales en Chile es el documento por el cual una persona otorga su consentimiento formal para el acto o gestión que en él se especifica. Se rige por Ley 19.628 Art. 4.

La Ley 19.628, promulgada en 1999, estableció el primer régimen integral de protección de datos personales de Chile — exigiendo consentimiento escrito expreso para el tratamiento de datos personales, estableciendo derechos de acceso, rectificación y cancelación (habeas data), y creando el Consejo para la Transparencia (CPLT) como autoridad de supervisión para datos del sector público. La definición de 'datos personales' del Artículo 2 de la ley abarca cualquier información relativa a personas naturales que identifique o haga identificable a la persona en cuestión — incluidos nombres, números de RUT, domicilios, números de teléfono, direcciones de correo electrónico, datos de salud, información financiera, datos biométricos e imágenes.

La Ley 21.719, promulgada en 2024, moderniza sustancialmente el marco de protección de datos de Chile: creando una nueva autoridad de supervisión independiente — la Agencia de Protección de Datos Personales (APDP) — con poderes de investigación, sanción y regulación comparables a las Autoridades Europeas de Protección de Datos; introduciendo principios alineados con el GDPR que incluyen licitud, lealtad, transparencia, limitación de la finalidad, minimización de datos, exactitud, limitación del almacenamiento, integridad y responsabilidad proactiva; estableciendo un marco integral para datos sensibles (salud, biométricos, genéticos, religiosos, políticos, orientación sexual y otras categorías) que requieren protección reforzada; creando nuevos derechos para los titulares de datos incluidos portabilidad, supresión y limitación del tratamiento; e imponiendo sanciones económicas significativas por infracciones.

Para que el consentimiento sea válido bajo la Ley 21.719, debe ser: específico — no agrupado con términos de servicio o acuerdos generales; informado — el titular debe recibir todas las divulgaciones requeridas sobre finalidades, categorías de datos, destinatarios, plazos de retención y sus derechos antes de firmar; libre — no condicionado a la prestación de un servicio cuando el consentimiento no es necesario para ese servicio; inequívoco — expresado mediante una acción afirmativa clara (no silencio ni casillas premarcadas); y verificable — el responsable del tratamiento debe poder demostrar que se obtuvo y retuvo un consentimiento válido. Este documento de Autorización de Tratamiento de Datos Personales está diseñado para cumplir todos estos requisitos.

La Agencia de Protección de Datos Personales, una vez plenamente operativa bajo la Ley 21.719, tendrá autoridad para realizar investigaciones, emitir órdenes vinculantes e imponer sanciones administrativas de hasta 5.000 Unidades Tributarias Mensuales (UTM) por infracciones graves. La APDP también registrará a los encargados del tratamiento y mantendrá un registro público de Encargados de Protección de Datos para las entidades obligadas a designarlos bajo la ley.

Una Autorización de Tratamiento de Datos Personales en Chile bajo la Ley 19.628 y la Ley 21.719 es necesaria cada vez que un responsable del tratamiento recopila y trata datos personales de personas en Chile sin apoyarse en otra base legal lícita (como obligación legal, ejecución de contrato, intereses vitales o interés legítimo).

Comercio electrónico y servicios digitales: Los minoristas en línea, servicios por suscripción, aplicaciones y plataformas digitales que operan en Chile deben obtener consentimiento para tratar datos personales que van más allá del mínimo necesario para ejecutar el servicio contratado — especialmente para comunicaciones de marketing, análisis de comportamiento, remarketing y compartición de datos con terceros o redes publicitarias. La Agencia de Protección de Datos Personales bajo la Ley 21.719 está habilitada para investigar y sancionar a las plataformas digitales.

Marketing y CRM: Las empresas que envían correos electrónicos de marketing, campañas de SMS o realizan telemarketing a personas en Chile deben tener consentimiento previo documentado bajo el Artículo 4 de la Ley 19.628 y la Ley 21.719. El Servicio Nacional del Consumidor (SERNAC) también tiene jurisdicción sobre las prácticas de comunicación comercial bajo la Ley 19.496 (Ley del Consumidor), requiriendo consentimiento claro de opt-in para comunicaciones comerciales.

Datos de empleados en el lugar de trabajo: Los empleadores que recopilan datos de empleados más allá de lo estrictamente necesario para la relación laboral — como datos de salud, rastreo GPS, sistemas biométricos de control de asistencia o monitoreo de redes sociales — deben obtener consentimiento escrito explícito de los empleados bajo la Ley 19.628 y la orientación de la Dirección del Trabajo (DT) sobre derechos de privacidad de los empleados. La DT ha emitido el ORD N.° 260 y circulares posteriores que abordan las obligaciones de recopilación de datos por parte del empleador.

Atención médica e investigación: Los hospitales, clínicas, instituciones de investigación y operadores de ensayos clínicos que tratan datos de salud personales (datos sensibles bajo el Artículo 2 de la Ley 19.628 y la Ley 21.719) deben obtener consentimiento escrito específico para cada propósito de tratamiento distinto más allá de la atención directa al paciente — investigación, docencia, participación en registros o uso comercial. Las políticas de gobernanza de datos del MINSAL y del Fondo Nacional de Salud (FONASA) requieren consentimiento documentado para usos secundarios de datos de salud.

Servicios financieros y burós de crédito: Los bancos regulados por la CMF (Comisión para el Mercado Financiero), las aseguradoras y las agencias de información crediticia como DICOM (parte de Equifax Chile) que tratan datos financieros personales deben cumplir con la Ley 19.628 y las disposiciones específicas de protección de datos de la legislación de servicios financieros, incluida la autorización para compartir datos con burós de crédito y proveedores de servicios financieros de terceros.

Una Autorización de Tratamiento de Datos Personales legalmente válida en Chile bajo el Artículo 4 de la Ley 19.628 y la Ley 21.719 de 2024 debe incluir los siguientes elementos esenciales para satisfacer los requisitos de la Agencia de Protección de Datos Personales y los estándares alineados con el GDPR ahora aplicables en Chile:

Identificación del titular: Nombre completo, RUT e información de contacto de la persona cuyos datos personales serán tratados. El titular debe ser una persona natural con capacidad legal — para menores, el padre, madre o tutor legal otorga el consentimiento conforme a las disposiciones de protección de datos de menores de la Ley 21.719.

Identificación del responsable del tratamiento: Nombre legal completo, RUT, domicilio legal y nombre e información de contacto del representante de la entidad o persona que tratará los datos personales. Bajo la Ley 21.719, el responsable del tratamiento debe proporcionar los datos de contacto de su Encargado de Protección de Datos (DPO) designado si se requiere uno. El responsable asume plena responsabilidad legal por el cumplimiento.

Categorías de datos personales: Enumeración específica de los tipos de datos personales que se recopilarán y tratarán — nombre completo, RUT, domicilio, teléfono, correo electrónico, fecha de nacimiento, información laboral, datos financieros, datos de salud, datos biométricos, comportamiento de navegación, datos de ubicación u otros. La Ley 21.719 exige la minimización de datos — solo se pueden recopilar los datos necesarios para el propósito declarado.

Finalidad del tratamiento: Declaración precisa y específica de los fines para los cuales se tratarán los datos — marketing directo, gestión de relación con clientes, prestación de servicios, investigación, análisis estadístico, evaluación crediticia, administración de empleados u otros. Bajo el principio de limitación de la finalidad de la Ley 21.719, los datos no pueden usarse para fines incompatibles con los declarados en la autorización sin obtener nuevo consentimiento.

Base legal del tratamiento: Confirmación de que la autorización es la base legal para esta actividad específica de tratamiento. Bajo la Ley 21.719, los responsables deben identificar la base legal aplicable para cada actividad de tratamiento — consentimiento (Artículo 12 y siguientes), ejecución de contrato, obligación legal, intereses vitales, tarea pública o interés legítimo. Para datos tratados sobre la base del consentimiento, este documento de autorización es la base legal.

Destinatarios y transferencias de datos: Divulgación clara de si los datos personales serán compartidos con terceros — empresas afiliadas, proveedores de servicios (encargados del tratamiento), intermediarios de datos, plataformas de marketing, organismos gubernamentales o destinatarios en el extranjero. Para transferencias internacionales, la Ley 21.719 exige divulgar el país de destino y las garantías implementadas (decisión de adecuación, cláusulas contractuales tipo, normas corporativas vinculantes u otros mecanismos).

Plazo de retención: El período por el cual se conservarán los datos personales, o los criterios utilizados para determinar ese período. Bajo el principio de limitación del almacenamiento de la Ley 21.719, los datos deben eliminarse o anonimizarse cuando ya no sean necesarios para el propósito declarado. El período de retención específico debe revelarse al titular.

Derechos del titular: Notificación de los derechos del titular bajo la Ley 21.719 — acceso, rectificación, supresión/cancelación, limitación del tratamiento, portabilidad, oposición y revocación del consentimiento. Debe proporcionarse información de contacto para ejercer estos derechos — una dirección de correo electrónico, dirección postal o formulario en línea. Bajo la Ley 21.719, los responsables deben responder a las solicitudes de acceso y eliminación en un plazo de 30 días hábiles.

Contacto de la Agencia de Protección de Datos Personales (APDP): Bajo la Ley 21.719, los titulares deben ser informados de su derecho a presentar una reclamación ante la Agencia de Protección de Datos Personales (www.agenciaprivacidad.cl) si creen que sus derechos de protección de datos han sido vulnerados.

Forms-legal.com ofrece este modelo de Autorización de Tratamiento de Datos Personales Chile como punto de partida de referencia para responsables del tratamiento e individuos. Dado los significativos cambios regulatorios introducidos por la Ley 21.719 de 2024 y el régimen de sanciones administrado por la Agencia de Protección de Datos Personales, las organizaciones que tratan datos personales en Chile deben tener sus formularios de consentimiento y prácticas de tratamiento de datos revisados por un abogado especializado en derecho digital y cumplimiento de protección de datos. Los usuarios de forms-legal.com pueden descargar este documento de forma gratuita en formato PDF o DOCX, completar los campos del formulario guiado y obtener un documento listo para firma.