La nueva Ley de Protección de Datos Personales (Ley 21.719) otorga a las personas mayor control sobre sus datos y sobre cómo las organizaciones los recopilan, usan y comparten. Protege desde la información que las identifica hasta aspectos de su vida privada, su salud o su situación financiera, y les da derecho a saber qué se hace con sus datos y a pedir, según corresponda, que se corrijan, se eliminen, se transfieran a otra organización o se suspenda su uso.

Para las organizaciones, esto representa un desafío de gestión: requiere políticas claras, responsables definidos, procesos y herramientas tecnológicas para proteger la información, y canales accesibles para que las personas ejerzan sus derechos y reciban una respuesta oportuna. Todo ello exige una gestión coordinada entre las distintas áreas de la organización.

Su cumplimiento será supervisado por la nueva Agencia de Protección de Datos Personales, que podrá fiscalizar, atender reclamos y aplicar sanciones.

La fecha legal vigente es el 1 de diciembre de 2026. Está en trámite una postergación al 15 de octubre de 2027, aprobada por el Senado y pendiente en la Cámara de Diputados. Desde la entrada en vigencia, la Agencia de Protección de Datos Personales puede fiscalizar y sancionar, y los titulares pueden exigir sus derechos con los plazos y multas de la nueva ley.

• Hasta hoy rige la ley 19.628, que casi no tiene consecuencias para quien la incumple. La Ley 21.719 la reemplaza con obligaciones nuevas para las empresas y con sanciones reales.
• El cambio central: tratar datos pasa a exigir una base legal clara, un inventario de lo que se hace con los datos, respuestas a los titulares en plazo y medidas de seguridad demostrables.
• La ley no da un período de gracia general. Solo existe una protección transitoria para las empresas de menor tamaño: durante los primeros 12 meses la Agencia puede limitarse a una amonestación por escrito en lugar de una multa.

Seis derechos: acceso, rectificación, supresión, oposición, portabilidad y bloqueo. Además, el derecho a no ser objeto de decisiones tomadas solo por un sistema automático.

• Acceso: saber qué datos suyos trata la empresa, de dónde los obtuvo, para qué y a quién los comunicó.
• Rectificación: corregir datos inexactos o incompletos.
• Supresión: pedir que se eliminen en los casos que la ley permite, por ejemplo cuando ya no son necesarios o retiró su consentimiento.
• Oposición: pedir que la empresa deje de tratar sus datos en ciertos casos.
• Portabilidad: recibir sus datos en un formato estructurado para llevarlos a otro proveedor.
• Bloqueo: pedir que se suspenda temporalmente el tratamiento mientras se resuelve una solicitud de rectificación, supresión u oposición.
• Son derechos personales, intransferibles e irrenunciables, y no pueden limitarse por ningún acto o convención. Si el titular fallece, sus herederos pueden ejercerlos, salvo que el fallecido lo haya prohibido expresamente.

Tiene 30 días corridos desde que ingresa la solicitud, prorrogables una sola vez por otros 30. Si no responde, el titular puede ir directo a la Agencia, y eso abre la puerta a sanciones.

• El plazo corre desde la fecha de ingreso, no desde que alguien la lee. Son días corridos (incluye sábados, domingos y festivos).
• La prórroga es única, hasta 30 días más.
• Debe acusar recibo de la solicitud y responder por escrito.
• Debe guardar respaldo de que envió la respuesta, su fecha y su contenido íntegro. Si no puede probar que respondió, es como si no hubiera respondido.
• Responder fuera de plazo, incompleto o no responder es una infracción leve; obstaculizar el ejercicio de los derechos es una infracción grave.

Cuando existe una base legal: el consentimiento del titular, o alguna de las otras cinco fuentes de licitud que la ley permite sin consentimiento. Sin base legal, el tratamiento es una infracción grave.

• Regla general: el consentimiento del titular.
• Sin consentimiento, es lícito tratar datos cuando: (a) son datos económicos, financieros, bancarios o comerciales, bajo las reglas del Título III; (b) lo exige o lo dispone la ley; (c) es necesario para celebrar o ejecutar un contrato con el titular; (d) hay un interés legítimo del responsable o de un tercero que no afecta los derechos del titular; (e) es necesario para ejercer o defender un derecho ante tribunales u órganos públicos.
• Es la empresa la que debe poder demostrar que el tratamiento era lícito.

Debe ser libre, informado, específico, previo e inequívoco, y es la empresa quien debe probar que lo obtuvo.

• Libre: no se puede condicionar un servicio a un consentimiento que no es necesario para prestarlo.
• Informado y específico: el titular debe saber para qué finalidades se da.
• Previo e inequívoco: antes de tratar los datos, por un acto afirmativo (escrito, verbal o electrónico).
• Revocable en cualquier momento, sin explicar la causa y por medios tan fáciles como los usados para otorgarlo; la revocación no es retroactiva.
• El responsable debe conservar la prueba del consentimiento.

Medidas técnicas y organizativas adecuadas al riesgo, que aseguren la confidencialidad, integridad, disponibilidad y resiliencia de los datos. No hay una lista cerrada: depende del tipo de dato y del tamaño de la empresa.

• La ley da ejemplos: seudonimización y cifrado, capacidad de restaurar los datos rápido tras un incidente y revisión periódica de la eficacia de las medidas.
• El estándar exigible se calibra según el tamaño de la empresa y el tipo de datos; la Agencia lo precisará mediante instrucciones generales.
• Ante un incidente, la empresa debe poder demostrar que tenía medidas razonables. No tener medidas o tenerlas insuficientes es una infracción grave.

Sí. Debe reportarla a la Agencia sin dilaciones indebidas cuando exista un riesgo razonable para los derechos de las personas, y también a los titulares si se trata de datos sensibles, de niños menores de 14 años o de datos económicos.

• Una vulneración es la destrucción, filtración, pérdida o alteración de datos, o un acceso no autorizado a ellos.
• Debe registrar cada vulneración: qué pasó, sus efectos, qué datos y cuántas personas afectó, y qué medidas adoptó.
• Si afecta datos sensibles, de menores de 14 años o económicos, también debe avisar a los afectados en lenguaje claro, indicando qué datos y qué consecuencias pueden tener.
• Omitir el aviso es una infracción grave; omitirlo deliberadamente, gravísima.

Hasta 5.000 UTM por infracciones leves, hasta 10.000 UTM por graves y hasta 20.000 UTM por gravísimas. Si hay reincidencia, hasta 3 veces el monto, y para empresas no pequeñas puede llegar al 2% o 4% de los ingresos anuales.

• Leves: amonestación escrita o multa hasta 5.000 UTM. Por ejemplo, no informar en el sitio web o responder tarde a un titular.
• Graves: multa hasta 10.000 UTM. Por ejemplo, tratar datos sin base legal, no proteger los datos o transferirlos sin cumplir las reglas.
• Gravísimas: multa hasta 20.000 UTM. Por ejemplo, tratamiento fraudulento o violar el secreto de datos sensibles.
• La Agencia fijará medidas para corregir la causa, que deben cumplirse en 60 días; si no, la multa sube un 50%.
• Reincidencia (dos o más sanciones firmes en 30 meses): hasta 3 veces la multa; para empresas que no son de menor tamaño y reinciden en infracciones graves o gravísimas, hasta el 2% o 4% de sus ingresos anuales.
• Para empresas de menor tamaño, durante los primeros 12 meses la Agencia puede limitarse a una amonestación escrita.

La ley no obliga a designarlo, pero es la pieza central del modelo de prevención, que es voluntario y, si la Agencia lo certifica, atenúa la sanción.

• El delegado debe ser designado por la máxima autoridad de la empresa y tener autonomía. En micro, pequeñas y medianas empresas, el dueño puede asumir el rol.
• Puede cumplir otras funciones, mientras no haya conflicto de intereses.
• El modelo de prevención incluye: delegado, medios y facultades, identificación de los datos que se tratan, actividades de riesgo, protocolos, mecanismos de reporte y sanciones internas.
• La regulación interna debe incorporarse en los contratos de trabajo o en el reglamento interno.
• La Agencia certifica el modelo (vigencia de tres años) y lo incorpora al Registro Nacional de Sanciones y Cumplimiento.