Datos biométricos y Ley 21.719: cómo cumplir al usar huella digital o reconocimiento facial en tu empresa

En Chile, el reloj control con huella digital es probablemente el tratamiento de datos sensibles más extendido y, al mismo tiempo, el menos documentado. Casi cualquier empresa mediana tiene uno en la entrada; muy pocas tienen un texto que explique qué sistema es, para qué se usa, por cuánto tiempo y cómo un trabajador puede pedir que se eliminen sus datos. Cuando la Ley 21.719 entre en vigencia, el 1 de diciembre de 2026, ese vacío dejará de ser un detalle administrativo y pasará a ser un incumplimiento identificable. Si quieres el panorama completo, parte por nuestra guía sobre la ley de protección de datos en Chile.

La ley chilena hizo algo poco común: además de incluir los datos biométricos entre los datos sensibles, les dedicó una regla propia, el artículo 16 ter, con cuatro deberes de información concretos. No son principios abstractos, son cuatro cosas que hay que decirle al titular. Hoy muchas empresas no los cumplen, no por mala fe, sino porque el reloj control se compró como un tema de operaciones y nunca pasó por una revisión de privacidad.

Esta guía está escrita para RR.HH., TI, seguridad y operaciones. Revisa la definición legal, por qué el estándar es más alto, los cuatro deberes del artículo 16 ter, el problema real del consentimiento en una relación laboral, qué hacer con las plantillas biométricas y en qué se diferencia todo esto de la videovigilancia común.

¿Qué son los datos biométricos según la Ley 21.719?

Según el artículo 16 ter de la Ley 21.719, los datos biométricos son aquellos obtenidos a partir de un tratamiento técnico específico, relativos a características físicas, fisiológicas o conductuales de una persona, que permitan o confirmen su identificación única. La propia norma da ejemplos: la huella digital, el iris, los rasgos de la mano o faciales y la voz.

Hay dos elementos que conviene leer con calma en esa definición. El primero es el «tratamiento técnico específico»: en una lectura razonable de la norma, no basta con tener una imagen o una grabación, ya que lo que convierte ese material en dato biométrico es procesarlo para extraer patrones. El segundo es la «identificación única»: el sistema debe servir para identificar o confirmar quién es esa persona en concreto, no simplemente para describirla.

Por eso, en la práctica, el reloj control que convierte la huella del trabajador en una plantilla matemática y el lector facial de la puerta que compara un rostro contra una base de registrados quedan comprendidos en el artículo 16 ter. También los sistemas de verificación por voz que algunas empresas usan en mesas de ayuda o call centers internos.

• Huella digital: el caso masivo en Chile (reloj control de asistencia y acceso a bodegas o áreas restringidas).
• Rasgos faciales: torniquetes y puertas con reconocimiento facial en oficinas, plantas y edificios corporativos.
• Iris: menos frecuente, usado en instalaciones de alta seguridad.
• Rasgos de la mano: lectores de geometría de mano, todavía presentes en industria y minería.
• Voz: verificación de identidad telefónica o en sistemas internos de soporte.

¿Por qué la huella y el rostro son datos sensibles y qué estándar más alto implica?

Lo son porque la Ley 21.719 los incluye en el catálogo de datos sensibles que regula en el artículo 16 y siguientes, junto con la salud y el perfil biológico humano, las creencias o convicciones, la afiliación política o sindical, la vida sexual y la orientación sexual y —de forma distintiva en Chile— la situación socioeconómica. A los datos biométricos, además, la ley les dedica una regla propia en el artículo 16 ter, y la consecuencia práctica es que el régimen de tratamiento se endurece en varios frentes a la vez.

El artículo 16 ter establece que los datos biométricos solo podrán tratarse cuando se cumpla lo dispuesto en el inciso primero del artículo 16 y, además, siempre que el responsable proporcione al titular la información específica que detallan sus letras a) a d). Es decir, se suma un requisito adicional que no existe para un dato personal común. La ley admite tratarlos sin consentimiento solo en los casos del inciso segundo del artículo 16 bis, que son situaciones acotadas y no pensadas para el control de asistencia de una oficina.

El estándar más alto también aparece en las brechas de seguridad. El artículo 14 sexies obliga al responsable a reportar a la Agencia, por los medios más expeditos posibles y sin dilaciones indebidas, las vulneraciones que ocasionen destrucción, filtración, pérdida o alteración de los datos, o el acceso no autorizado a ellos, cuando exista un riesgo razonable para los derechos y libertades de los titulares. Cuando la brecha afecta datos sensibles, como los biométricos, además hay que comunicarla a cada titular en lenguaje claro y sencillo y, si eso no es posible, mediante un aviso en un medio de comunicación social masivo de alcance nacional. El mismo artículo obliga a registrar esas comunicaciones. Conviene despejar una confusión frecuente: la ley chilena no fija un plazo de 72 horas, ese plazo pertenece al reglamento europeo.

A esto se agrega un argumento que no es jurídico pero pesa: una contraseña filtrada se cambia; una huella filtrada, no. Esa irreversibilidad ayuda a entender por qué el legislador chileno subió la vara.

• Requisito extra de información específica (artículo 16 ter, letras a) a d)), que no aplica a los datos comunes.
• Fuentes de licitud más estrictas: sin consentimiento solo en los casos del inciso segundo del artículo 16 bis.
• Brechas con riesgo razonable: reporte a la Agencia y, por tratarse de datos sensibles, comunicación a los titulares afectados (artículo 14 sexies).
• Riesgo sancionatorio real: según el artículo 35, amonestación escrita o multa de hasta 5.000 UTM en las leves, hasta 10.000 UTM en las graves y hasta 20.000 UTM en las gravísimas.

¿Qué información exige el artículo 16 ter antes de activar el reloj control?

El artículo 16 ter exige informar cuatro cosas concretas: a) la identificación del sistema biométrico usado; b) la finalidad específica para la cual serán utilizados los datos recolectados por el sistema; c) el período durante el cual los datos biométricos serán utilizados; y d) la forma en que el titular puede ejercer sus derechos. Los cuatro, no tres.

Este es el punto donde más empresas quedan al descubierto. Lo habitual es un párrafo genérico en el contrato que dice que «la empresa podrá utilizar sistemas de control de asistencia». Eso no identifica el sistema, no define una finalidad específica, no fija un período y no explica cómo ejercer derechos. Es, básicamente, cero de cuatro.

La buena noticia es que cumplir estos cuatro deberes es barato y rápido comparado con casi cualquier otra obligación de la Ley 21.719. Se resuelve con un anexo al contrato de trabajo, un cartel visible junto al dispositivo y una política interna publicada, todo con el mismo texto. Lo que no funciona es esconderlo en la letra chica: el artículo 14 ter, sobre deber de información y transparencia, y el principio de transparencia e información del artículo 3 apuntan a información comprensible, no meramente disponible.

Un criterio operativo razonable: entregar la información antes de que la persona ponga el dedo o la cara por primera vez, no después. Y actualizarla si cambias de proveedor, de tecnología o de finalidad.

• El texto informativo debe cubrir las cuatro letras del artículo 16 ter, sin omitir el período de uso, que es el que más se olvida.
• El mismo contenido debe estar en el anexo de contrato, en el cartel del dispositivo y en la política interna.
• La información se entrega antes del primer enrolamiento y se actualiza ante cualquier cambio de sistema o finalidad.

¿Basta con el consentimiento del trabajador para usar huella digital?

El consentimiento es la regla general del tratamiento en el artículo 12 de la Ley 21.719, pero en el contexto laboral chileno es una base frágil. Quien firma está en una relación de subordinación y dependencia, y difícilmente puede negarse sin costo. Si tu única defensa frente a la Agencia es «todos firmaron», estás apoyando un sistema biométrico completo sobre el eslabón más débil.

La recomendación práctica es no descansar solo en la firma, sino documentar un análisis serio de necesidad y proporcionalidad. El artículo 3 de la ley consagra, entre otros, los principios de licitud y lealtad, finalidad y proporcionalidad, y el artículo 14 quater impone un deber —no una recomendación— de protección desde el diseño y por defecto: aplicar medidas técnicas y organizativas adecuadas con anterioridad y durante el tratamiento, y garantizar que solo se traten los datos específicos y estrictamente necesarios, considerando el número de datos recogidos, la extensión del tratamiento, el plazo de conservación y su accesibilidad.

Ese análisis obliga a hacerse una pregunta incómoda: ¿el objetivo se puede lograr con algo menos intrusivo? Para marcar asistencia existen credenciales, códigos PIN, aplicaciones con validación en el equipo del trabajador o registro por supervisor. Si una de esas alternativas cumple razonablemente el mismo fin, sostener la huella se vuelve más difícil. Ten presente que si evalúas una aplicación con seguimiento de ubicación entras en el artículo 16 sexies: la geolocalización se trata bajo las mismas fuentes de licitud de los artículos 12 y 13, e informando de manera clara, suficiente y oportuna el tipo de datos, la finalidad y duración del tratamiento y si se comunicarán o cederán a un tercero para prestar un servicio con valor añadido.

Cuando el tratamiento es masivo, afecta a todo el personal y recae sobre datos sensibles, es prudente evaluar además una evaluación de impacto, figura que la ley contempla en el artículo 15 ter. Aunque decidas seguir adelante con el sistema biométrico, tener ese análisis por escrito es lo que convierte una decisión operativa en una decisión defendible.

• 1. Define el objetivo real (control de jornada, seguridad perimetral, trazabilidad de accesos críticos): no mezcles finalidades.
• 2. Lista al menos dos alternativas menos intrusivas y evalúa cada una con criterios verificables.
• 3. Explica por escrito por qué esas alternativas no son suficientes en tu contexto específico.
• 4. Reduce el alcance: aplica biometría solo a las áreas o funciones donde sea indispensable, no a toda la empresa por defecto.
• 5. Documenta la decisión, la fecha, quién la tomó y con qué antecedentes, y considera una evaluación de impacto (artículo 15 ter) cuando el tratamiento sea masivo.

¿Cómo se protegen, conservan y eliminan las plantillas biométricas?

Con tres decisiones técnicas y una operativa. El artículo 14 quinquies establece el deber de adoptar medidas de seguridad, y el artículo 14 quater exige que, por defecto, solo se traten los datos estrictamente necesarios, considerando expresamente el plazo de conservación y la accesibilidad. Conviene saber, además, que el artículo 14 septies permite diferenciar los estándares mínimos de información y de seguridad según el tipo de dato, la actividad y el tamaño de la entidad conforme a la ley N° 20.416, estándares que la Agencia determinará mediante instrucción general.

Primero, no guardes imágenes cuando basta la plantilla. La mayoría de los lectores modernos generan un vector matemático a partir del rasgo y no necesitan conservar la fotografía del dedo o del rostro; si tu equipo sí las guarda, esa es la primera configuración a revisar. Segundo, cifra la base y restringe quién puede consultarla: en muchas empresas el software del reloj control tiene una sola clave de administrador compartida entre TI y portería. Tercero, define dónde viven los datos. Si el proveedor los aloja en su nube, actúa como tercero encargado y la relación debe regularse conforme al artículo 15 bis, con instrucciones y responsabilidades por escrito.

La parte operativa es la supresión. El período que informaste conforme a la letra c) del artículo 16 ter tiene que cumplirse de verdad: cuando alguien deja la empresa, su plantilla debe eliminarse del dispositivo y de todos los respaldos, no solo marcarse como inactiva. Conviene incorporar ese paso a la checklist de desvinculación de RR.HH., junto con la devolución del notebook y la credencial.

Además, prepárate para responder solicitudes. El artículo 11 exige acusar recibo y pronunciarse a más tardar dentro de treinta días corridos —corridos, no hábiles— desde el ingreso de la solicitud, prorrogables por una sola vez hasta por treinta días corridos más. La respuesta va por escrito al domicilio o correo fijado, y debes almacenar respaldos que acrediten la remisión, su fecha y el contenido íntegro. Si deniegas, la decisión debe fundarse e informar al titular que tiene 30 días hábiles para reclamar ante la Agencia conforme al artículo 41. Para una solicitud de bloqueo temporal el plazo es más corto: dos días hábiles, y mientras no resuelvas no puedes tratar esos datos.

• Almacenar plantillas cifradas, no imágenes, cuando el equipo lo permita.
• Limitar el acceso a la base biométrica a personas identificadas, con cuentas individuales.
• Regular por escrito al proveedor que aloja o administra los datos (artículo 15 bis).
• Eliminar la plantilla al término de la relación laboral, incluidos respaldos.
• Tener un procedimiento de brechas que contemple el reporte a la Agencia y la comunicación a los titulares afectados (artículo 14 sexies).

¿Es lo mismo que la videovigilancia? Checklist de cumplimiento

No es lo mismo. Una cámara que graba un pasillo trata datos personales, pero no necesariamente datos biométricos: mientras solo capture y almacene imágenes, no hay un tratamiento técnico específico destinado a permitir o confirmar la identificación única de una persona, que es lo que describe el artículo 16 ter de la Ley 21.719. La grabación sigue sujeta a los principios del artículo 3, a los deberes de información y seguridad y a los derechos del titular, pero no al requisito reforzado de información del artículo 16 ter.

La línea se cruza en el momento en que agregas analítica de reconocimiento facial sobre ese mismo video: ahí el sistema empieza a extraer patrones faciales para identificar personas y pasa a ser tratamiento biométrico, con todo lo que implica. Es un cambio de configuración que muchas veces se activa como una «mejora» del proveedor y nadie en la empresa lo evalúa jurídicamente. Si tienes cámaras, pregunta explícitamente si hay o habrá reconocimiento facial habilitado.

Sobre los plazos: la Ley 21.719 entrará en vigencia el 1 de diciembre de 2026 y, durante los primeros doce meses, cuando proceda alguna sanción, la Agencia podrá aplicar una amonestación por escrito a las empresas calificadas como de menor tamaño según el artículo segundo de la ley N° 20.416. Conviene leer bien esa regla del artículo sexto transitorio: es una facultad, no una inmunidad automática; solo alcanza a esas empresas; la amonestación igual queda sujeta al deber de registro del artículo 39, cuyas anotaciones son públicas por cinco años; y no exime del cumplimiento sustantivo. No es un año de gracia. Para quienes quieran ir más allá, la ley contempla además un modelo de prevención de infracciones de adopción voluntaria (artículo 49), que la Agencia certifica y supervisa (artículo 51).

Termina con este checklist. Si puedes marcar los diez puntos con evidencia documental, tu sistema biométrico está en una posición razonable frente a la ley.

• 1. Inventario: qué dispositivos biométricos hay, dónde, de qué marca y quién los administra.
• 2. Definición escrita de la finalidad específica de cada sistema, sin usos accesorios.
• 3. Análisis documentado de necesidad y proporcionalidad, con alternativas menos intrusivas evaluadas.
• 4. Evaluación de impacto (artículo 15 ter) cuando el tratamiento sea masivo o de alto riesgo.
• 5. Texto informativo que cubra las cuatro letras del artículo 16 ter, entregado antes del primer enrolamiento.
• 6. Anexo de contrato, cartel junto al dispositivo y política interna con el mismo contenido.
• 7. Configuración verificada: plantilla cifrada en vez de imagen, accesos individuales, registro de consultas.
• 8. Contrato con el proveedor que aloja o administra los datos, conforme al artículo 15 bis.
• 9. Regla de eliminación al término de la relación laboral, incorporada a la checklist de desvinculación.
• 10. Canal y procedimiento para responder derechos en 30 días corridos, con respaldo de la remisión y del contenido.

Preguntas frecuentes

¿Puedo seguir usando el reloj control con huella después del 1 de diciembre de 2026?

Sí. La Ley 21.719 no prohibirá la biometría en Chile: exigirá cumplir el artículo 16 ter, informando el sistema utilizado, la finalidad específica, el período de uso y la forma de ejercer los derechos. Además, conviene justificar por escrito que el tratamiento es necesario y proporcional frente a alternativas menos intrusivas.

¿Necesito el consentimiento escrito de cada trabajador para tomar su huella?

El consentimiento es la regla general del artículo 12, pero en una relación laboral es una base frágil por la subordinación existente. La recomendación práctica en Chile es no descansar solo en la firma y respaldarla con un análisis documentado de necesidad y proporcionalidad, más el cumplimiento completo del artículo 16 ter.

¿Dónde debo entregar la información que exige el artículo 16 ter?

En los lugares donde efectivamente la persona la vea antes de enrolarse: un anexo al contrato de trabajo, un cartel visible junto al dispositivo y una política interna publicada. El contenido debe ser idéntico en los tres soportes y cubrir las cuatro letras del artículo 16 ter, en lenguaje comprensible.

¿El reconocimiento facial en la puerta es lo mismo que una cámara de seguridad?

No. Una cámara que solo graba imágenes trata datos personales, pero no biométricos. Cuando el sistema procesa el rostro para identificar o confirmar de forma única a una persona, se aplica el artículo 16 ter de la Ley 21.719 y su exigencia reforzada de información, propia de los datos sensibles.

¿Qué pasa si un trabajador se niega a registrar su huella?

La Ley 21.719 no resuelve por sí sola ese conflicto laboral, pero sí lo hace más probable si tu única base es el consentimiento. Lo prudente en Chile es tener un método alternativo de marcaje disponible, como credencial o registro por supervisor, y dejarlo documentado en la política interna.

¿Cuánto tiempo puedo conservar las plantillas biométricas?

El período que hayas informado conforme a la letra c) del artículo 16 ter, y ese plazo debe ser real. El artículo 14 quater exige que por defecto solo se traten los datos estrictamente necesarios, considerando el plazo de conservación. Lo razonable es eliminar la plantilla al término de la relación laboral, incluidos respaldos.

¿En qué plazo debo responder si alguien pide eliminar sus datos biométricos?

El artículo 11 de la Ley 21.719 obliga a acusar recibo y pronunciarse dentro de treinta días corridos desde el ingreso de la solicitud, prorrogables por una sola vez hasta por treinta días corridos más. Son días corridos, no hábiles, y debes guardar respaldo de la remisión, su fecha y el contenido íntegro.

¿Necesito hacer una evaluación de impacto para el control de asistencia biométrico?

La Ley 21.719 contempla la evaluación de impacto en su artículo 15 ter y, en un tratamiento que afecta a todo el personal y recae sobre datos sensibles, es altamente recomendable realizarla. Aunque decidas mantener el sistema, tener ese análisis por escrito convierte una decisión operativa en una decisión defendible ante la Agencia.

¿Qué pasa si el proveedor del reloj control guarda los datos en su nube?

Ese proveedor actúa como tercero encargado del tratamiento y la relación debe regularse conforme al artículo 15 bis de la Ley 21.719, con instrucciones y responsabilidades por escrito. Tu empresa sigue siendo responsable frente a los titulares, incluida la comunicación de brechas del artículo 14 sexies si hay una filtración.

¿Qué riesgo real corre una empresa pequeña que no cumple?

Según el artículo 35, las infracciones leves se sancionan con amonestación escrita o multa de hasta 5.000 UTM, las graves con hasta 10.000 UTM y las gravísimas con hasta 20.000 UTM. Durante los primeros doce meses la Agencia podrá amonestar por escrito a empresas de menor tamaño de la ley N° 20.416: es una facultad, la amonestación se registra y no exime de cumplir.

Fuentes oficiales

• Ley 21.719, texto oficial — Biblioteca del Congreso Nacional (Ley Chile)

Este artículo tiene fines informativos y no constituye asesoría legal para un caso particular.