¿Qué es la Base de Licitud? La «Llave Maestra» para usar Datos Personales

En el mundo de los negocios, solíamos pensar que si teníamos un dato, podíamos usarlo. Bajo la Ley 21.719, esa lógica se acabó. Entiende las reglas del juego.

la Base de Licitud (o legitimación) es la justificación jurídica que te autoriza a «tocar» un dato personal. Imagínala como una llave: sin la llave correcta, entrar a la base de datos es un allanamiento ilegal.

El Artículo 13 de la nueva Ley establece que todo tratamiento de datos debe tener una causa legal que lo habilite. Si no tienes una de estas bases identificadas, estás cometiendo una infracción grave.

Conceptos Clave

Las 4 Bases + 1 Alerta Crítica

A continuación, las bases más importantes que tu empresa podrá usar y cómo identificarlas:

Qué son realmente los Datos Personales bajo la nueva Ley 21.719

Muchos empresarios creen que «dato personal» es solo el Nombre y el RUT. Error. La nueva ley transforma el dato de un recurso comercial a un Derecho Humano.

Cuando preguntas a un gerente qué datos personales maneja su empresa, la respuesta suele ser rápida: «Solo tenemos nombres, correos y RUTs de clientes». Bajo la antigua normativa, esa respuesta podría haber sido aceptable.

Pero con la Ley 21.719, el universo de lo que se considera un dato personal se ha expandido radicalmente, y con ello, tus obligaciones legales. Para cumplir, primero debes entender que el «chip» mental debe cambiar. Antes, los datos se veían como un recurso libre, como el aire o el agua en tiempos antiguos. Hoy, la ley viene a proteger eso con dientes afilados.

1. El Cambio Cultural: De «Activo» a Derecho Constitucional

Lo primero que debes saber es que un dato personal ya no es «cualquier cosa» que puedas guardar en un Excel. Ahora está anclado en el núcleo de la Constitución (Art. 19 N° 4). ¿Qué significa esto para tu negocio?
Autodeterminación Informativa

El dato pertenece al titular (la persona), no a la empresa. El titular tiene el poder de controlar quién tiene su información, para qué la usa y cuándo debe dejar de usarla.
Dignidad Humana

Cuando manipulas un RUT o una huella, tocas un derecho fundamental. Si no respetas esto, no cometes una falta administrativa, estás vulnerando un derecho constitucional.

2. No es solo quién eres, es quién «podrías ser»

La ley define Dato Personal como cualquier información vinculada a una persona natural identificada o identificable. Aquí está la trampa para muchas empresas.

Ya no se trata solo de tener el nombre. Si tienes un dato que por sí solo no dice nada (ej: una dirección IP, datos de geolocalización o un perfil de compra), pero que al cruzarlo con otra información te permite saber quién es esa persona, eso ES un dato personal.

💡 Para tu negocio digital: Si usas cookies para rastrear comportamiento o identificadores de dispositivos móviles (IDFA/AAID), estás tratando datos personales, aunque técnicamente no tengas el «nombre» del usuario en tu base de datos.

3. Los «Datos Sensibles»: Un Campo Minado

La ley ha ampliado la categoría de Datos Sensibles. Estos requieren un cuidado extremo (ciberseguridad reforzada y consentimiento expreso). Tratarlos sin las bases legales correctas es una infracción gravísima. La nueva lista incluye:

Datos Biométricos: Huella digital, reconocimiento facial, iris o voz. Ojo: Si usas huelleros para asistencia o cámaras inteligentes, estás tratando datos sensibles.
Situación Socioeconómica: Datos que revelen el estado económico real. Crítico para empresas de riesgo comercial o marketing segmentado.
Salud y Perfil Biológico: Información médica, genética o psíquica (incluyendo licencias médicas en RRHH).

Zonas Grises reguladas: La ley también pone lupa sobre la Geolocalización (debes informar para qué rastreas) y los datos de Niños, Niñas y Adolescentes, cuyo estándar de protección es superior.

4. El Fin de las Fuentes de «Acceso Público»

Esta es quizás la modificación más disruptiva para los modelos de negocios basados en marketing y ventas B2B. Bajo la antigua ley, se creía que si un dato estaba en internet (Google, LinkedIn, Diario Oficial), era de «libre uso». Eso se acabó.
🚫Prohibición de facto al «Scraping»

Que el dato sea público no te da derecho a tomarlo y guardarlo. Las empresas que «raspan» webs para armar bases de datos quedan en ilegalidad si no tienen un interés legítimo probado.
📢Nueva Regla de Transparencia

Aunque el dato sea público, ahora debes informar al titular: «Señor usuario, obtuve sus datos de tal fuente pública y los estoy usando para X fin». Ya no se puede recopilar a escondidas.

5. ¿Por qué importa para tu bolsillo?

La ley se basa en el Principio de Responsabilidad. Las consecuencias financieras son reales y severas:

Uso de fuentes públicas sin base legal: Infracción grave (hasta 10.000 UTM).
Tratamiento indebido de datos sensibles (huellas/salud): Infracción gravísima (hasta 20.000 UTM).

La Regla de Oro

«Antes de recolectar un dato, pregúntate: ¿Realmente necesito saber esto? Si la respuesta es no, aplica el principio de minimización y no lo pidas. Menos datos, menos riesgo.»

Conoce al nuevo «Árbitro» de tus datos: La Agencia de Protección de Datos

Se acabó la letra muerta: Chile estrena un organismo fiscalizador con dientes. Descubre las facultades que impactarán tu negocio.

Entendiendo los Derechos ARCOP: El nuevo poder de tus clientes y trabajadores

Esto no es un simple juego de siglas. Representa el control real que tiene cualquier persona sobre la información que tu empresa maneja. Bajo la Ley 21.719, estos derechos son irrenunciables.

Como empresario, seguramente has escuchado hablar de los «Derechos ARCO». Sin embargo, con la nueva Ley 21.719, este concepto ha evolucionado y se ha ampliado. Ahora hablamos de ARCOP.

Estos derechos son irrenunciables, intransferibles y gratuitos. A continuación, te explicamos didácticamente qué significa cada letra y qué obligación genera para tu empresa.
A  Acceso (El derecho a saber)

Es la puerta de entrada. Cualquier persona tiene derecho a preguntarle a tu empresa: «¿Tienen datos míos? ¿Cuáles son? ¿Para qué los usan? ¿De dónde los sacaron?».
Tu obligación: Si un titular te lo pide, debes confirmar si procesas sus datos y entregarle una copia de ellos, explicando la finalidad, el tiempo de retención y a quién se los has enviado. Ojo: No basta con decir «sí»; debes dar detalles.
R Rectificación (El derecho a corregir)

Si los datos que tienes están mal, la persona puede exigir que los arregles. Esto aplica cuando la información es inexacta, desactualizada o incompleta.
Tu obligación: Si tienes un cliente con una deuda ya pagada que sigue apareciendo como moroso, o un trabajador con una dirección antigua, debes corregir ese dato en tus sistemas de inmediato al recibir la solicitud.
C Supresión (El derecho al olvido)

Tradicionalmente llamado «Cancelación». Es la facultad de pedir que elimines sus datos cuando ya no son necesarios, cuando se retira el consentimiento o cuando están caducos.
Importante para la empresa: No es un derecho absoluto. Si tienes un contrato vigente o una obligación legal (ej: guardar facturas para el SII), no estás obligado a borrarlos, pero debes bloquearlos para otros usos.
O Oposición (El derecho a decir «No»)

Es el derecho a exigir que no se realice un tratamiento específico, aunque tengas los datos legítimamente. El caso clásico es el Marketing.
Tu obligación: Debes tener sistemas capaces de segregar los datos. Si un cliente dice: «Úsalos para facturarme, pero no para publicidad», debes sacarlo de la lista de envíos inmediatamente.
P Portabilidad (La gran novedad)

Esta es la «P» que moderniza nuestra normativa al estándar europeo. Es el derecho del titular a pedirte una copia de sus datos en un formato electrónico estructurado y de uso común (como Excel o CSV).
Tu obligación: El objetivo es que el cliente pueda llevarse su «historia» a la competencia. Si el tratamiento es automatizado, no puedes retener la data como un rehén.

¿Qué pasa si no respondo?

La ley establece plazos estrictos. Tienes 30 días corridos (prorrogables por otros 30) para responder a estas solicitudes.

Si no respondes, o deniegas sin razón legal, el titular puede denunciarte ante la Agencia. Esto inicia un procedimiento de Tutela de Derechos que puede derivar en multas millonarias.

¿Qué es el «Tratamiento de Datos»? (Y por qué lo haces todo el tiempo)

Existe una confusión habitual: creer que esto es solo para empresas tecnológicas. Si guardas un CV o pagas un sueldo, ya estás bajo la lupa de la Ley 21.719.

Existe una confusión habitual en el mundo empresarial: creer que el tratamiento de datos es algo complejo, reservado para empresas de tecnología o big data. La realidad es mucho más simple y abarcadora.

Si tu empresa guarda el currículum de un postulante en un cajón, envía un correo a un cliente o paga la nómina de sueldos, estás realizando tratamiento de datos personales.

1. La Definición Legal: Todo cuenta

• Bajo la Ley 21.719, el concepto de tratamiento es sumamente amplio. Se define como cualquier operación, automatizada o no, que permita:
  Recolectar
  Procesar
  Almacenar (guardar)
  Comunicar o transmitir
  Utilizar
  Suprimir (borrar)

La implicancia práctica: No importa si usas un software avanzado o una planilla Excel. Desde el momento en que un dato entra a tu organización hasta que lo eliminas, estás «tratando» datos y la ley te aplica por completo.

2. Tu Nuevo Rol: «Responsable de Datos»

Al realizar estas acciones, la ley te asigna automáticamente el rol de Responsable de Datos. Esto significa que eres quien decide los fines (para qué) y los medios (cómo) del tratamiento.
La responsabilidad no se delega

Aunque contrates a una empresa externa para procesar los sueldos o gestionar el marketing (quienes serían «Encargados»), tú sigues siendo el responsable legal ante la Agencia de Protección de Datos y ante los titulares.

3. Tus Responsabilidades Críticas (Accountability)

La nueva normativa se basa en el Principio de Responsabilidad Proactiva. Ya no basta con ser cuidadoso; debes demostrar que cumples la ley.

• Acreditar la Licitud: No puedes tratar datos «por si acaso». Debes probar una base legal (consentimiento, contrato o ley).
• Deber de Seguridad: Debes adoptar medidas técnicas (ciberseguridad) para evitar fugas o accesos no autorizados.
• Deber de Confidencialidad: Obligación de secreto que subsiste incluso después de terminada la relación laboral.
• Responder a Derechos ARCOP: Debes tener canales para Acceso, Rectificación, Supresión, Oposición y Portabilidad.

4. Las Implicancias del Incumplimiento

El tratamiento de datos indebido ha dejado de ser una falta menor para convertirse en un riesgo financiero y operacional crítico.

Multas Millonarias

Una infracción gravísima puede ser sancionada con hasta 20.000 UTM.

Reincidencia (Grandes Empresas)

La multa puede calcularse como un porcentaje de tus ingresos anuales (hasta el 4%), elevando el castigo a cifras estratosféricas.

Suspensión de Actividades
La Agencia tiene la facultad de suspender tus operaciones de tratamiento de datos, lo que podría paralizar tu negocio.