Una nueva etapa que no parte desde cero
El documento “Tres décadas de doctrina” revisa 1.563 informes jurídicos publicados entre 1999 y 2026 por la Agencia Española de Protección de Datos. El objetivo no es copiar respuestas extranjeras, sino reconocer preguntas, tensiones y aprendizajes que ya fueron abordados por otra autoridad.
Chile puede aprender de la experiencia comparada sin renunciar a construir criterios propios para su contexto nacional.
Las tecnologías cambian, pero las preguntas permanecen
En los primeros años, las consultas se concentraban en formularios, cámaras de seguridad, registros administrativos y bases de datos internas. Hoy incluyen servicios en la nube, reconocimiento facial, inteligencia artificial, decisiones automatizadas y transferencias internacionales.
Sin embargo, las preguntas centrales siguen siendo similares:
Preguntas que toda organización debería anticipar
- ¿Qué datos utiliza la organización?
- ¿Para qué los utiliza?
- ¿Quién toma las decisiones?
- ¿Cómo pueden las personas ejercer sus derechos?
- ¿Qué evidencia puede demostrar la organización?
La experiencia comparada permite anticipar estas preguntas y preparar respuestas antes de que aparezcan reclamaciones o fiscalizaciones.
Consentimiento: una autorización debe poder demostrarse
Durante la primera década analizada, una de las consultas más frecuentes fue si una organización necesitaba consentimiento para utilizar determinados datos.
La doctrina desarrollada en ese período cuestionó el llamado consentimiento tácito: considerar que una persona aceptó el tratamiento solo porque utilizó un servicio.
Para Chile, el aprendizaje es claro. El consentimiento debe ser informado, específico y demostrable. Además, no es la única base que puede justificar un tratamiento. Cada organización deberá identificar qué fundamento corresponde en cada caso.
Compartir datos implica responsabilidades diferentes
No es lo mismo entregar información a una empresa que la utilizará para sus propios fines que contratar a un proveedor para procesarla siguiendo instrucciones.
Esta distinción será especialmente relevante en servicios de nube, plataformas de marketing, medios de pago, sistemas de recursos humanos y herramientas de inteligencia artificial.
La contratación de un proveedor no elimina la responsabilidad de la organización. Es necesario saber qué datos recibirá, para qué los utilizará, dónde se almacenarán y qué ocurrirá cuando finalice el servicio.
Los datos sensibles también dependen del contexto
Un dato aparentemente común puede revelar información delicada según el contexto en que se utilice. Un número telefónico, por ejemplo, podría revelar información sobre la salud de una persona si corresponde a una clínica especializada.
Esta mirada será importante para tratamientos relacionados con salud, biometría, infancia, situación financiera, relaciones laborales, religión o ideología.
Derechos que necesitan procesos
Reconocer los derechos de las personas no es suficiente. Las organizaciones deben contar con canales visibles, responsables definidos y procedimientos para recibir, revisar y responder solicitudes.
También deben conservar evidencia de las decisiones adoptadas. Un derecho sin un proceso operativo puede convertirse en una promesa difícil de cumplir.
Brechas e incidentes: contener no basta
La experiencia comparada muestra que una brecha de seguridad debe quedar documentada, incluso cuando no corresponda notificarla.
Qué debería permitir comprender el registro
- Qué ocurrió.
- Qué datos fueron afectados.
- Cuántas personas podrían estar involucradas.
- Qué consecuencias son posibles.
- Qué medidas fueron adoptadas.
La capacidad de demostrar cómo se respondió será tan importante como la velocidad de reacción.
Inteligencia artificial: las obligaciones siguen vigentes
El uso de ChatGPT, Copilot, Gemini, Claude y otras herramientas plantea preguntas sobre datos de entrenamiento, información ingresada en prompts, errores sobre personas identificables y decisiones automatizadas.
La inteligencia artificial no elimina las obligaciones de privacidad. Las vuelve más difíciles de identificar, gestionar y demostrar.
Antes de utilizar estas herramientas, las organizaciones deberían definir qué información puede ingresarse, quién puede hacerlo y qué proveedores participan en el tratamiento.
Cinco preguntas para comenzar
La preparación frente a la Ley 21.719 puede comenzar con cinco preguntas:
- ¿Sabemos qué datos personales utiliza la organización?
- ¿Podemos explicar para qué los utilizamos?
- ¿Están definidas las responsabilidades?
- ¿Tenemos procesos para atender derechos?
- ¿Podemos demostrar nuestras decisiones y controles?
Responderlas no garantiza el cumplimiento, pero permite identificar brechas y ordenar prioridades.
Chile puede aprender sin copiar
Los criterios desarrollados en Europa no son vinculantes para Chile. La futura Agencia deberá interpretar la Ley 21.719 de acuerdo con el contexto nacional.
Sin embargo, la experiencia acumulada entrega una ventaja: muchas de las preguntas que llegarán a Chile ya fueron discutidas en otros mercados.
Prepararse significa utilizar esa memoria comparada para reconocer riesgos, fortalecer procesos y evitar comenzar desde una página completamente en blanco.
Descarga gratis la guía completa
La guía “Tres décadas de doctrina iberoamericana en una sola lectura” reúne el análisis completo, los principales casos revisados y recomendaciones para los primeros años de aplicación de la nueva institucionalidad chilena.
Los criterios mencionados se presentan como referencias comparadas. No son vinculantes en Chile y deben contrastarse con la legislación vigente. Este contenido es informativo y no constituye asesoría legal.
Chile Protege Sus Datos