Protección de Datos Chile

Protección de Datos Chile

Última verificación jurídica: 2026-08-14.

Convierte la normativa chilena de protección de datos en decisiones, controles y evidencia verificable. No declares cumplimiento por la existencia de una política: exige evidencia de diseño y operación.

Esta skill apoya análisis y cumplimiento. Para decisiones jurídicas de alto impacto, litigios, sanciones o interpretaciones dudosas, identifica la incertidumbre y solicita revisión profesional; no inventes una conclusión para cerrar el análisis.

0. Router temporal obligatorio

Antes de aplicar una obligación, fija la fecha relevante del tratamiento, incidente, contrato o auditoría.

• Hasta 30-NOV-2026: la Ley 19.628 vigente sigue siendo el régimen exigible. La Ley 21.719 se usa como readiness / transición, no como si todas sus obligaciones ya fueran exigibles.
• Desde 01-DIC-2026: aplica la Ley 19.628 modificada por la Ley 21.719 y sus modificaciones vigentes.
• Si el caso cruza ambas fechas, separa el análisis en periodos.
• Si la consulta depende de normativa posterior a la última verificación, revisa primero fuentes oficiales. Lee references/marco-y-vigencia.md.

Flujo de trabajo

1. Define alcance y rol. Identifica responsable, tercero mandatario/encargado, cesionario, órgano público, proveedor extranjero y titulares afectados. Determina si hay alcance territorial chileno.
2. Modela el tratamiento. Recorre: qué datos, por qué, dónde, quién accede/recibe, cuánto tiempo, cómo se protegen. Añade origen, base de licitud, transferencias, automatización y categorías especiales.
3. Aplica norma artículo-primero. Para cada hallazgo: artículo/regla → aplicabilidad → excepción → evidencia → brecha → acción. Nunca empieces por un control extranjero y luego fuerces la ley chilena a encajar.
4. Exige evidencia. Distingue obligación legal, control recomendado y evidencia observada. Una afirmación sin evidencia queda como NO VERIFICADO.
5. Prioriza riesgo. Usa CRÍTICO / ALTO / MEDIO / BAJO, justificando impacto en titulares, sensibilidad, escala, automatización, exposición y sanción potencial; no calcules una multa cierta sin procedimiento y hechos suficientes.
6. Remedia con dueño y prueba. Cada acción debe indicar responsable, plazo, evidencia de cierre y prueba de efectividad.
7. Verifica vigencia. En asuntos regulatorios actuales, confirma LeyChile/BCN, Diario Oficial y, cuando corresponda, instrucciones de la Agencia antes de cerrar.

Salidas soportadas

Respuesta jurídica-operativa

Entrega, en este orden:

1. régimen temporal aplicable;
2. regla y artículo;
3. por qué aplica o no aplica;
4. excepciones/condiciones;
5. evidencia que falta revisar;
6. acción práctica;
7. incertidumbres o normas complementarias pendientes.

Gap analysis / auditoría

Usa esta matriz mínima:

Estados: CUMPLE, PARCIAL, NO CUMPLE, NO APLICA, NO VERIFICADO.

Para obligaciones y derechos, lee references/obligaciones-y-derechos.md.

Revisión de software, arquitectura o IA

No revises sólo la política de privacidad. Inspecciona al menos:

• puntos de recolección y campos;
• base de licitud por finalidad;
• minimización y retención;
• permisos, secretos, logs, backups y ambientes;
• APIs, exportaciones, analítica, trackers y terceros;
• ubicación y transferencias internacionales;
• mecanismos para derechos del titular;
• perfilamiento y decisiones automatizadas;
• datos sensibles, biométricos y de niños, niñas o adolescentes;
• trazabilidad de incidentes y evidencia de controles.

Para seguridad, incidentes, DPIA e IA, lee references/seguridad-incidentes-dpia-ia.md.

Terceros y gobernanza

Para contratos de encargados, cesiones, transferencias internacionales, sanciones y modelo de prevención, lee references/terceros-transferencias-sanciones.md.

Guardrails Chile-específicos

• Brechas: no asumas un plazo general de 72 horas por analogía con GDPR; la Ley 21.719 usa el estándar de reporte a la Agencia sin dilaciones indebidas cuando concurre el umbral legal. Verifica además normativa sectorial aplicable.
• RoPA: un RoPA / inventario de tratamientos es útil como control y evidencia, pero no lo presentes como obligación legal universal de la Ley 21.719 si no existe una norma específica aplicable al caso.
• DPO: el DPO/delegado es parte del modelo voluntario de prevención de infracciones; no lo presentes como obligación universal para todo responsable sin una fuente adicional que lo exija para ese caso.
• GDPR/ISO: GDPR, ISO/IEC 27001, ISO/IEC 27701, NIST u otros marcos pueden mejorar controles o servir de crosswalk, pero no sustituyen el texto chileno ni crean por sí solos una obligación legal local.
• Fuentes públicas: bajo el nuevo régimen, que un dato provenga de una fuente de acceso público no lo deja fuera de la ley.
• Datos reales: para ejemplos, pruebas y documentación, minimiza o anonimiza datos personales. No copies RUT, salud, biometría, credenciales u otros datos reales si no son imprescindibles.
• Norma pendiente: si la ley remite a reglamento, instrucción general, lista o criterio de la Agencia y no has verificado su versión vigente, marca PENDIENTE DE VERIFICACIÓN REGULATORIA.

Disciplina de fuentes

Prioridad: (1) LeyChile/BCN y Diario Oficial; (2) Agencia de Protección de Datos Personales cuando sus actos sean vigentes; (3) regulador sectorial competente; (4) jurisprudencia/Contraloría según materia; (5) fuentes secundarias sólo como contexto.

No cites de memoria un número de artículo, plazo o sanción cuando la precisión pueda cambiar el resultado. Reabre la fuente oficial y verifica.