Cesión de datos personales en Chile: cuándo puedes compartir datos con otra empresa según el artículo 15 de la Ley 21.719

Casi todas las empresas comparten datos personales con alguien más. Un banco vende una cartera de créditos. Una aseguradora arma una alianza con un retailer y ambos usan la misma base. Un holding centraliza la información de sus filiales. Un socio comercial pide el listado de clientes para una campaña conjunta. Todas esas operaciones cambian de reglas el 1 de diciembre de 2026, cuando entre en vigencia la Ley 21.719 y el artículo 15 fije con detalle cuándo y cómo una empresa puede ceder datos personales a otra en Chile. Si quieres el panorama completo, parte por nuestra guía sobre la ley de protección de datos en Chile.

La confusión más costosa que vemos en la práctica es tratar como lo mismo dos figuras que la ley separa con cuidado: la cesión del artículo 15 y el tratamiento a través de un tercero mandatario o encargado del artículo 15 bis. No es un detalle de abogados. Si calificas mal la operación, firmas el documento equivocado, informas mal al titular y puedes terminar con dos responsables donde creías tener uno, o con un proveedor que ni siquiera sabe que la ley lo considera responsable de datos.

Esta guía explica esa distinción primero, porque sin ella el resto no se entiende, y luego recorre lo que necesitas revisar antes de firmar: las cuatro vías que habilitan una cesión, la regla del consentimiento previo, qué debe decir el contrato, quién responde después y qué ocurre cuando la cesión se hace sin la habilitación que correspondía.

¿Cuál es la diferencia entre ceder datos y encargar su tratamiento?

La diferencia está en quién decide para qué se usan los datos. En la cesión del artículo 15 de la Ley 21.719, una vez perfeccionada la cesión el cesionario adquiere la condición de responsable de datos para todos los efectos legales. En el artículo 15 bis, un tercero mandatario o encargado trata los datos por cuenta del responsable, y este conserva el control de la operación.

Puesto en lenguaje de negocio: cuando contratas un proveedor de correo masivo, un call center, un servicio de nube o una empresa de cobranza que ejecuta tus instrucciones, lo habitual es que estés frente a un encargo. Ese proveedor no define finalidades propias, no debería reutilizar la base para sus campañas y no se convierte en dueño informacional de nada. Tu empresa sigue siendo la responsable ante el titular y ante la Agencia de Protección de Datos Personales.

Cuando en cambio entregas datos a un socio para que los use en su propio negocio —una alianza en la que ambos hacen campañas por separado, la venta de una cartera, la migración de una base al comprador de una unidad de negocio— la operación se aproxima a una cesión. El receptor deja de ser un ejecutor y pasa a ser un responsable con obligaciones propias: deber de información y transparencia del artículo 14 ter, deber de secreto o confidencialidad del artículo 14 bis, medidas de seguridad del artículo 14 quinquies, atención de derechos en los plazos del artículo 11 y reporte de brechas conforme al artículo 14 sexies.

Tres preguntas resuelven la mayoría de los casos dudosos. Si las tres respuestas apuntan al tercero, lo más probable es que estés cediendo y no encargando; cuando la operación es mixta o el reparto de decisiones no es claro, conviene revisarla con asesoría antes de firmar.

• ¿Quién definió la finalidad del uso? Si la definió el tercero, apunta a cesión.
• ¿El tercero puede usar los datos para su propio negocio, más allá de tus instrucciones? Si puede, apunta a cesión.
• ¿Si el titular reclama, el tercero debe responder por decisiones propias? Si debe, apunta a cesión.

¿Cuándo puedo ceder datos personales a otra empresa en Chile?

El artículo 15 de la Ley 21.719 contempla cuatro vías. Los datos podrán ser cedidos con el consentimiento del titular y para el cumplimiento de los fines del tratamiento; cuando la cesión sea necesaria para el cumplimiento y ejecución de un contrato en que es parte el titular; cuando exista un interés legítimo del cedente o del cesionario en los términos de la letra d) del artículo 13; y cuando lo disponga la ley.

Vale la pena leer la primera vía con lupa, porque enuncia dos exigencias y no una. No basta el consentimiento: la cesión debe además servir al cumplimiento de los fines del tratamiento. Un consentimiento amplio, redactado como cheque en blanco, difícilmente habilita cualquier destino posterior si ese destino no guarda relación con la finalidad informada al titular.

La segunda vía es más estrecha de lo que suele invocarse. Exige necesidad para el cumplimiento y ejecución de un contrato en que el titular es parte, no simple conveniencia comercial. Entregar el domicilio del cliente a quien realizará la entrega de su pedido puede encuadrar en esa lógica de ejecución contractual —aunque en muchos casos ese operador actuará como encargado del artículo 15 bis y no como cesionario—, mientras que compartir la base completa de clientes con un socio que hará ofertas propias difícilmente encuadra, porque el titular no es parte de ese acuerdo entre empresas.

La tercera vía, el interés legítimo, es la que más análisis exige. Remite a la letra d) del artículo 13, y su uso serio supone dejar por escrito cuál es el interés invocado, por qué la cesión es necesaria para satisfacerlo y cómo se ponderaron los derechos y expectativas razonables del titular. La evaluación de impacto del artículo 15 ter es un apoyo natural cuando la cesión es masiva o involucra datos sensibles. Y la cuarta vía, la disposición legal, no se presume: hay que identificar la norma concreta que ordena o autoriza la comunicación.

Dos advertencias antes de avanzar. Los datos sensibles del artículo 16 y siguientes —salud y perfil biológico humano, datos biométricos, afiliación política o sindical, creencias o convicciones, geolocalización, vida sexual y orientación sexual, datos de niños, niñas y adolescentes y, distintivo de Chile, la situación socioeconómica— tienen un régimen más estricto y no se ceden con la misma ligereza. Y los datos relativos a infracciones penales, civiles, administrativas y disciplinarias, conforme al artículo 25, solo pueden ser tratados por los organismos públicos para el cumplimiento de sus funciones legales, dentro del ámbito de sus competencias y en los casos expresamente previstos en la ley, lo que tensiona buena parte de las prácticas privadas de filtro de antecedentes y aconseja revisarlas caso a caso con asesoría legal antes de incorporarlas a una cesión.

¿Qué pasa si el consentimiento original no contemplaba la cesión?

Hay que recabarlo antes de que la cesión se produzca. El artículo 15 de la Ley 21.719 lo dice con claridad: si el consentimiento otorgado al momento de la recolección no consideraba la cesión, debe recabarse antes de que esta se produzca, y se considera para todos los efectos legales como una nueva operación de tratamiento.

Esa calificación —nueva operación de tratamiento— tiene consecuencias concretas que suelen pasarse por alto. Significa que la cesión necesita su propia base de licitud, su propia finalidad declarada y su propio cumplimiento del deber de información y transparencia del artículo 14 ter. También significa que conviene registrarla como una operación distinta en tu inventario de actividades de tratamiento, y que el titular puede ejercer respecto de ella los derechos reconocidos en los artículos 10 y 11, incluido el de oposición.

En términos operativos, el orden importa y no se puede invertir. Primero se identifica la vía habilitante, después se recaba el consentimiento cuando corresponde, luego se documenta la cesión y solo entonces se transfieren los datos. Regularizar después no soluciona el problema de fondo: la consecuencia del artículo 15 recae sobre la cesión ya verificada sin el consentimiento necesario, no sobre la falta de papeles.

Y esa consecuencia es la más severa de todo el artículo. Si se verifica una cesión sin el consentimiento del titular siendo este necesario, la cesión será nula, debiendo el cesionario suprimir todos los datos recibidos, sin perjuicio de las responsabilidades legales que correspondan. Traducido al lenguaje de una transacción: el comprador de la cartera se queda sin el activo, el cedente queda expuesto y el negocio se deshace por un vicio de origen que era evitable con una revisión previa.

¿Qué debe decir el contrato de cesión de datos personales?

La cesión deberá constar por escrito o a través de cualquier medio electrónico idóneo, y en ella se deberá individualizar a las partes, los datos objeto de la cesión, las finalidades previstas para el tratamiento y los demás antecedentes o estipulaciones que acuerden cedente y cesionario. Así lo exige el artículo 15 de la Ley 21.719 en Chile.

El contenido mínimo legal es corto, pero su cumplimiento real exige precisión. "Datos de clientes" no individualiza nada. Lo que resiste una fiscalización es un anexo con las categorías de titulares y los campos concretos que se ceden, y una cláusula de finalidad redactada de forma que se pueda auditar. El propio artículo 15 añade una restricción que a veces se olvida: el tratamiento por el cesionario debe realizarse conforme a las finalidades establecidas en el contrato de cesión. Lo que no está en el contrato, el cesionario no debería hacerlo.

Sobre el mínimo legal conviene construir un poco más, no por formalismo, sino porque después nadie recuerda quién debía hacer qué. Estos son los elementos que en la práctica evitan discusiones, y que conviene ajustar con asesoría al tipo de operación:

• Individualización completa de las partes, con la calidad en que actúan (cedente y cesionario, ambos responsables).
• Anexo de datos cedidos: categorías de titulares, campos específicos, volumen y si incluye datos sensibles.
• Finalidades previstas, redactadas de forma verificable, y prohibición expresa de usos no contemplados en el contrato de cesión.
• Vía habilitante invocada del artículo 15 y, cuando corresponde, evidencia del consentimiento recabado antes de que se produzca la cesión.
• Medidas de seguridad acordadas para la transferencia y el almacenamiento posterior, en línea con el deber del artículo 14 quinquies.
• Deber de secreto o confidencialidad del artículo 14 bis extendido al personal de ambas partes.
• Protocolo de brechas: cómo se avisan mutuamente para que cada parte pueda cumplir el artículo 14 sexies, que exige reportar a la Agencia por los medios más expeditos posibles y sin dilaciones indebidas, sin fijar un plazo en horas.
• Canal de atención de derechos: quién responde cada solicitud del artículo 11 y cómo se derivan entre las partes dentro de los 30 días corridos de que dispone el responsable.
• Reglas de conservación y supresión al término del contrato, incluidas copias y respaldos.
• Auditoría y acreditación de cumplimiento, con la evidencia que cada parte puede exigir a la otra.

¿Quién responde ante el titular después de la cesión?

Responden los dos, cada uno por lo suyo. El artículo 15 de la Ley 21.719 establece que, una vez perfeccionada la cesión, el cesionario adquiere la condición de responsable de datos para todos los efectos legales, y que el cedente también mantiene la calidad de responsable respecto de las operaciones que continúe realizando.

Esa regla desarma un mito frecuente: ceder no es transferir el problema. Si tu empresa cede una base pero sigue tratando esos mismos datos para su facturación, su cobranza o su analítica, sigue siendo responsable de esas operaciones, con los deberes de los artículos 14 y siguientes. Lo que la cesión hace es sumar un responsable, no restar uno.

Para el cesionario, la consecuencia es igual de concreta. Desde el momento en que recibe los datos debe cumplir el deber de información y transparencia del artículo 14 ter frente a titulares con los que quizá nunca ha hablado, atender solicitudes de acceso, rectificación, supresión, oposición y portabilidad pronunciándose a más tardar dentro de los 30 días corridos del artículo 11 —prorrogables por una sola vez hasta por 30 días corridos más—, y responder la solicitud de bloqueo temporal en 2 días hábiles, sin poder tratar esos datos mientras no resuelva.

El circuito de consecuencias también está descrito en la ley. Si el responsable deniega una solicitud del artículo 11 o no responde dentro del plazo legal, el titular puede reclamar ante la Agencia por escrito, en formato físico o electrónico, dentro de 30 días hábiles contados desde que recibe la respuesta negativa o desde que venció el plazo del responsable, conforme al artículo 41. En ese procedimiento la Agencia cuenta con 10 días hábiles para determinar si el reclamo cumple los requisitos para ser acogido a tramitación —y se entiende acogido si no se pronuncia en ese término—, tras lo cual el responsable dispone de 30 días corridos, prorrogables hasta por el mismo plazo, para responder. En paralelo, el artículo 47 obliga al responsable a indemnizar el daño patrimonial y extrapatrimonial que cause al titular cuando en sus operaciones de tratamiento infrinja los principios del artículo 3, los derechos y obligaciones de la ley y le cause perjuicio; la acción indemnizatoria podrá interponerse una vez ejecutoriada la resolución que resolvió favorablemente el reclamo ante la Agencia, o firme y ejecutoriada la sentencia en caso de reclamo de ilegalidad, y las acciones civiles prescriben en cinco años contados desde que quede ejecutoriada la resolución administrativa o la sentencia judicial que imponga la multa respectiva. Y el artículo 39 crea un Registro Nacional de Sanciones y Cumplimiento, público, gratuito y electrónico, cuyas anotaciones permanecen accesibles por cinco años.

¿Cómo se aplica esto a una venta de cartera, una alianza o un grupo empresarial?

Los cuatro casos que más aparecen se abordan con la misma secuencia: calificar la operación, identificar la vía del artículo 15, verificar el consentimiento cuando es necesario y documentar la cesión. En Chile, bajo la Ley 21.719, ninguno de ellos se resuelve invocando la costumbre del mercado, y cada uno merece una revisión legal propia.

Venta de cartera. Es una cesión de manual, y suele ser la más sensible, porque involucra volumen y datos de obligaciones económicas, financieras, bancarias o comerciales. Lo que hay que revisar antes de la firma es si el consentimiento con el que se recogieron esos datos contemplaba la cesión a un tercero adquirente, o si existe otra vía habilitante del artículo 15. Si el consentimiento era necesario y no se recabó antes, la cesión será nula y el cesionario deberá suprimir todo lo recibido. Conviene incorporar esa verificación al due diligence y no dejarla como un anexo legal de última hora.

Alianza comercial. La pregunta decisiva es si el socio usará los datos para su propio negocio. Si tu empresa envía la campaña conjunta con su propia plataforma y el socio nunca accede a la base, la operación se parece a un encargo. Si el socio recibe la base y hace sus propias ofertas, se parece a una cesión, y el titular debía haber sido informado de que su información llegaría a ese tipo de destinatario.

Grupo empresarial. El artículo 15 no contempla una excepción especial para grupos empresariales. La matriz y cada filial son personas jurídicas distintas y, cuando una entrega datos a otra para finalidades propias, la operación se estructura como cesión. Muchos holdings tendrán que documentar internamente lo que hoy funciona por confianza y por acceso compartido a sistemas.

Base de datos compartida con un socio. Es el escenario donde más se confunden las figuras, porque el acceso simultáneo no dice nada por sí solo sobre la calidad de cada parte. Hay que definir si el socio decide finalidades —cesión— o solo trata los datos por cuenta de tu empresa —encargo del artículo 15 bis—, y dejarlo escrito antes de abrir el acceso.

Un cierre honesto sobre lo que aún no está definido: el artículo 14 septies dispone que los estándares o condiciones mínimas que se impongan al responsable para cumplir los deberes de información (artículo 14 ter) y de seguridad (artículo 14 quinquies) se determinarán considerando el tipo de dato, si el responsable es persona natural o jurídica, el tamaño de la entidad o empresa según las categorías del artículo segundo de la ley N° 20.416, la actividad que desarrolla y el volumen, naturaleza y finalidades de los datos que trata, y que serán fijados por la Agencia mediante instrucción general. A julio de 2026 esa instrucción general todavía no se ha dictado, así que el detalle concreto de los estándares está pendiente. Importante: esa diferenciación graduará la exigencia según el caso, pero no vuelve opcionales las obligaciones ni exime a nadie de cumplirlas. Lo que sí puedes hacer ahora es levantar el inventario de cesiones y encargos, decidir la calificación de cada flujo, revisar los consentimientos vigentes y ordenar los contratos, porque nada de eso depende de la instrucción que falta.

Preguntas frecuentes

¿La cesión de datos personales siempre requiere el consentimiento del titular?

No siempre. En Chile, el artículo 15 de la Ley 21.719 permite ceder datos con el consentimiento del titular y para el cumplimiento de los fines del tratamiento, pero también cuando la cesión sea necesaria para el cumplimiento y ejecución de un contrato en que el titular es parte, cuando exista un interés legítimo del cedente o del cesionario en los términos de la letra d) del artículo 13, o cuando lo disponga la ley.

¿Qué ocurre si cedo datos sin el consentimiento necesario?

El artículo 15 de la Ley 21.719 es explícito: si se verifica una cesión sin el consentimiento del titular siendo este necesario, la cesión será nula, debiendo el cesionario suprimir todos los datos recibidos, sin perjuicio de las responsabilidades legales que correspondan. En la práctica, tu contraparte se queda sin el activo que creía haber adquirido.

¿Mi proveedor de software es cesionario o encargado de tratamiento?

Lo habitual es que sea encargado. Si el proveedor trata los datos por cuenta de tu empresa, siguiendo sus instrucciones y sin definir finalidades propias, estás en el terreno del artículo 15 bis de la Ley 21.719 y tu empresa conserva el control de la operación como responsable. Hay cesión cuando el tercero pasa a tratar los datos para sus propios fines. Si el reparto de decisiones no es claro, conviene revisar el contrato con asesoría.

¿Puedo ceder datos entre empresas de mi mismo grupo sin más trámite?

No conviene asumirlo. El artículo 15 de la Ley 21.719 no contempla una excepción especial para grupos empresariales: cada persona jurídica es un responsable distinto, de modo que la matriz, la filial o la relacionada que recibe los datos para finalidades propias actúa como cesionaria. Necesitas una vía habilitante del artículo 15 y una cesión documentada con las finalidades individualizadas.

¿Sirve un contrato de cesión firmado por medios electrónicos?

Sí. El artículo 15 de la Ley 21.719 exige que la cesión conste por escrito o a través de cualquier medio electrónico idóneo. Lo relevante no es solo el soporte, sino que el documento individualice a las partes, los datos objeto de la cesión, las finalidades previstas para el tratamiento y los demás antecedentes o estipulaciones que acuerden cedente y cesionario.

¿Puedo vender mi base de datos de clientes a otra empresa en Chile?

Solo si una de las vías del artículo 15 de la Ley 21.719 habilita esa cesión. Si el consentimiento otorgado en la recolección no la consideraba, debe recabarse antes de que la cesión se produzca, porque la ley la considera para todos los efectos legales una nueva operación de tratamiento, con su propia base de licitud, su propia finalidad y su propio deber de información.

¿Qué pasa con los derechos del titular después de la cesión?

Se ejercen frente a ambas empresas. El cesionario adquiere la condición de responsable para todos los efectos legales y el cedente la mantiene respecto de las operaciones que continúe realizando. Los plazos del artículo 11 de la Ley 21.719 aplican a los dos: pronunciarse a más tardar dentro de 30 días corridos desde el ingreso de la solicitud, prorrogables por una sola vez hasta por 30 días corridos más.

¿Puedo ceder a un socio datos sobre infracciones o antecedentes penales?

Aquí hay que ser especialmente prudente. El artículo 25 de la Ley 21.719 dispone que los datos relativos a infracciones penales, civiles, administrativas y disciplinarias solo pueden ser tratados por los organismos públicos para el cumplimiento de sus funciones legales, dentro del ámbito de sus competencias y en los casos expresamente previstos en la ley. Las prácticas privadas de filtro de antecedentes deben revisarse caso a caso con asesoría legal; este artículo no reemplaza ese análisis.

¿Desde cuándo se aplican estas reglas de cesión en Chile?

La Ley 21.719 fue publicada en el Diario Oficial el 13 de diciembre de 2024 y entra en vigencia el 1 de diciembre de 2026, según su artículo primero transitorio. A julio de 2026 el régimen del artículo 15 aún no rige, pero los contratos de cesión que firmes hoy seguirán vigentes cuando la Agencia de Protección de Datos Personales comience a ejercer sus funciones.

¿El interés legítimo me permite ceder datos para el marketing de un tercero?

No de forma automática. El interés legítimo del cedente o del cesionario habilita la cesión en los términos de la letra d) del artículo 13 de la Ley 21.719, lo que exige un análisis documentado del interés invocado, de la necesidad de la cesión y de los derechos y expectativas del titular. Además, el titular conserva sus derechos de los artículos 10 y 11, incluido el de oposición.

Fuentes oficiales

• Ley 21.719, que regula la protección y el tratamiento de los datos personales y crea la Agencia de Protección de Datos Personales — texto oficial, Biblioteca del Congreso Nacional

Este artículo tiene fines informativos y no constituye asesoría legal para un caso particular.