Guía completa sobre la nueva Ley de Protección de Datos Personales en Chile: obligaciones, estándares técnicos, riesgos del negocio y estrategias de mitigación
Publicada el 13 de diciembre de 2024, esta ley moderniza la protección de datos en Chile
La Ley Nº 21.719 regula la protección y tratamiento de los datos personales y crea la Agencia de Protección de Datos Personales. Esta normativa reemplaza la antigua Ley 19.628 de 1999, alineando a Chile con estándares internacionales como el GDPR europeo. La ley establece obligaciones estrictas para quienes tratan datos personales, con sanciones significativas por incumplimiento.
Los estudios jurídicos manejan datos especialmente sensibles: información judicial, datos financieros, antecedentes familiares, información médica en casos de daño, etc. Esto los somete a un nivel de escrutinio y obligación particularmente alto bajo la nueva ley.
Diferentes obligaciones según el rol en el tratamiento de datos
Como proveedor de servicios (Encargado del Tratamiento)
Firmar contrato con cada cliente especificando alcance, duración, medidas de seguridad y confidencialidad
Implementar cifrado AES-256, control de accesos, firewalls, monitoreo 24/7 y respaldos encriptados
Mantener registro interno detallado de todas las actividades de procesamiento de datos
Notificar al cliente y a la Agencia en máximo 3 días ante cualquier brecha de seguridad
Prohibir acceso a datos de clientes salvo para soporte técnico autorizado y documentado
Garantizar que servidores y respaldos estén en Chile o jurisdicciones con adecuación reconocida
Entrenamiento obligatorio en protección de datos y ética legal para todo el equipo
Eliminar datos de clientes cuando finalice el servicio o sea solicitado por el responsable
Como estudio jurídico (Responsable del Tratamiento)
Prohibición absoluta de vender, arrendar o comercializar datos personales de clientes con terceros
Usar datos solo para los fines específicos informados al cliente al momento de la recolección
Obtener consentimiento explícito, libre e informado del titular antes de tratar sus datos
Implementar medidas adicionales para datos de salud, creencias religiosas, antecedentes penales, etc.
Publicar política de privacidad clara y accesible en sitio web y formularios de contacto
Firmar DPA con todos los proveedores que accedan a datos personales (incluido LegalTech Chile)
Responder solicitudes de Acceso, Rectificación, Cancelación y Oposición en plazo máximo de 15 días
Realizar evaluación de impacto cuando el tratamiento implique riesgos altos para los titulares
Designar DPO si manejan grandes volúmenes de datos sensibles o son organismos públicos
Medidas técnicas y organizativas que debemos implementar
Protección criptográfica en reposo y tránsito
Autenticación y autorización robusta
Continuidad del negocio garantizada
Defensa contra amenazas externas
Trazabilidad completa de operaciones
Separación lógica y física
Identificación y remediación proactiva
Respuesta rápida y efectiva
Identificación de riesgos y su impacto potencial en nuestra operación
La Agencia puede imponer multas de hasta 50.000 UTM (~$3.500 millones CLP) por infracciones graves. Como encargados del tratamiento, somos solidariamente responsables con nuestros clientes.
La Agencia puede ordenar la suspensión temporal o definitiva del tratamiento de datos, lo que paralizaría nuestra operación y afectaría a todos los clientes.
Los titulares de datos pueden demandar por daños y perjuicios. Los estudios jurídicos podrían redirigir estas demandas hacia nosotros como proveedores.
En casos de violación del secreto profesional o uso indebido de datos, podrían aplicarse sanciones penales a los responsables directos.
Acceso no autorizado a datos de clientes de estudios jurídicos. Esto activaría obligación de notificación en 3 días, con daño reputacional severo y posible pérdida masiva de clientes.
Interrupción prolongada del servicio que impida a estudios acceder a correos, archivos o sistemas. Podría generar demandas por daños si afecta plazos procesales.
Falla en sistema de respaldos que resulte en pérdida permanente de datos de clientes. Generaría responsabilidad contractual y regulatoria simultánea.
Empleados propios accediendo a datos sensibles sin autorización. Viola política de cero conocimiento y podría constituir delito de violación de secreto.
Cualquier incidente de seguridad o incumplimiento sería ampliamente publicitado en el sector legal, donde la confianza es fundamental. Podría destruir la marca.
Estudios jurídicos podrían migrar masivamente a competidores ante cualquier indicio de inseguridad o incumplimiento normativo.
Los contratos con clientes incluyen cláusulas de cumplimiento normativo. Cualquier incumplimiento activaría penalidades contractuales.
Estudios grandes pueden exigir certificaciones ISO 27001 o auditorías externas antes de contratar, lo que requiere inversión adicional.
Medidas concretas para reducir riesgos a niveles aceptables
Herramientas y servicios para que los estudios jurídicos cumplan con la Ley 21.719
No solo ofrecemos infraestructura tecnológica. Entregamos tranquilidad normativa. Nuestros clientes pueden enfocarse en ejercer el derecho mientras nosotros nos aseguramos de que su infraestructura digital cumpla con todos los requisitos de la Ley 21.719.
Cumplimiento garantizado
Monitoreo continuo
Respuesta ante brechas