Datos de trabajadores bajo la Ley 21.719: guía práctica para Recursos Humanos

Cada vez que tu empresa publica una vacante, revisa un currículum, contrata a alguien o registra una licencia médica, está tratando datos personales. Recursos Humanos concentra probablemente el mayor volumen de datos sensibles de toda la organización, y con la entrada en vigencia plena de la Ley 21.719 en diciembre de 2026, ese tratamiento pasa a estar bajo un marco mucho más exigente y fiscalizado por la nueva Agencia de Protección de Datos Personales. Si quieres el panorama completo, parte por nuestra guía sobre la ley de protección de datos en Chile.

La Ley 21.719 actualiza el marco chileno que hasta ahora regía la Ley 19.628 e introduce principios claros: licitud y lealtad, finalidad, proporcionalidad, calidad, responsabilidad proactiva, seguridad, transparencia e información, y confidencialidad. Para RR.HH. esto significa dejar atrás la idea de que basta con que el trabajador 'firme una autorización' al ingresar. El consentimiento es solo una de varias bases de licitud, y en el contexto laboral muchas veces no es ni la más adecuada ni la más sólida.

En esta guía revisamos las bases de licitud que suelen aplicar al empleo, cómo tratar datos sensibles como salud o situación socioeconómica, hasta dónde puede llegar el monitoreo, qué hacer con los datos cuando termina la relación y cómo responder cuando un trabajador ejerce sus derechos. El objetivo es práctico: que tu área de personas trate datos con orden y respaldo, no que acumule miedo.

Por qué RR.HH. es un área crítica en protección de datos

Recursos Humanos trata datos durante todo el ciclo de vida del vínculo: recepción de postulaciones, procesos de selección, contratación, administración de remuneraciones, control de asistencia, gestión de licencias médicas, evaluaciones de desempeño, capacitaciones y, finalmente, el término del contrato. En cada etapa hay información personal y, con frecuencia, datos sensibles.

La diferencia respecto de otras áreas es la asimetría de poder. Un trabajador rara vez está en condiciones reales de negarse a entregar sus datos o de oponerse a un tratamiento sin temer consecuencias en su empleo. Por eso el consentimiento tiende a perder fuerza como base en el empleo: difícilmente puede considerarse libre. Lo prudente es apoyarse en bases más adecuadas y aplicar los principios de finalidad y proporcionalidad con especial rigor.

El principio de responsabilidad proactiva (accountability) cierra el círculo: no basta con cumplir, hay que poder demostrarlo. Esto se traduce en registros de las actividades de tratamiento, políticas internas, cláusulas de confidencialidad, control de accesos a las carpetas de personal y contratos adecuados con proveedores como empresas de nómina, prevención de riesgos o plataformas de reclutamiento.

Bases de licitud más allá del consentimiento

El error más común en RR.HH. es pedir una autorización genérica de datos al momento de contratar y asumir que eso cubre todo. La Ley 21.719 reconoce el consentimiento como una base, pero no como la única ni necesariamente la principal en el empleo. Existen otras bases que suelen encajar mejor con la realidad laboral.

En la práctica, buena parte del tratamiento que hace RR.HH. puede apoyarse en la ejecución de la relación en que el titular es parte y en el cumplimiento de obligaciones legales del empleador. Pagar remuneraciones, enterar cotizaciones, emitir contratos, llevar el registro de asistencia o reportar a organismos previsionales no requiere, en general, pedir permiso: son parte del contrato o mandatos legales. También puede invocarse el interés legítimo del responsable, pero exige una ponderación honesta frente a los derechos del trabajador y no sirve como comodín para cualquier finalidad.

La recomendación práctica es mapear cada tratamiento y asignarle su base correcta, en lugar de forzar todo al consentimiento. Conviene reservar el consentimiento para usos verdaderamente opcionales, como publicar la foto del trabajador en redes sociales de la empresa o incorporarlo a beneficios no obligatorios, donde negarse no debe traer consecuencia alguna.

• Ejecución de la relación laboral: contrato, remuneraciones, funciones, control de asistencia.
• Cumplimiento de obligaciones legales: cotizaciones, reportes a organismos, prevención de riesgos, obligaciones tributarias.
• Interés legítimo ponderado: usos razonables y esperables, siempre evaluados frente a los derechos del trabajador.
• Consentimiento: reservado para finalidades opcionales donde el trabajador pueda negarse sin represalias.

Datos sensibles en el empleo: salud y situación socioeconómica

En el ámbito laboral aparecen con naturalidad datos que la Ley 21.719 clasifica como sensibles: datos de salud (licencias médicas, exámenes preocupacionales, adecuaciones por discapacidad), afiliación sindical, datos biométricos (huella o reconocimiento facial para control de acceso o asistencia) y, de forma distintiva en Chile, la situación socioeconómica. Estos datos requieren un estándar de protección más alto y una justificación clara.

El principio de minimización es clave. RR.HH. debe tratar el dato de salud estrictamente necesario para la finalidad legal, no el diagnóstico completo. Para gestionar una licencia médica basta la información que exige el sistema previsional; no corresponde exigir ni almacenar detalles clínicos que no aportan a la gestión. Lo mismo aplica a la afiliación sindical, que la empresa conoce por razones como el descuento de cuotas, pero que no puede usarse para segmentar, evaluar ni discriminar.

El uso de biometría merece atención especial. Instalar reconocimiento facial o huella para marcar asistencia significa tratar datos biométricos sensibles, y conviene evaluar si existe una alternativa menos intrusiva que cumpla la misma finalidad. Cuando se opta por biometría, corresponde documentar la necesidad, informar al trabajador y aplicar medidas de seguridad reforzadas.

• Trata solo el dato sensible necesario para la finalidad, no el expediente completo.
• Separa el dato de salud de la carpeta general y restringe quién accede a él.
• Evalúa alternativas menos intrusivas antes de implementar biometría.
• Nunca uses afiliación sindical, salud o situación socioeconómica para decisiones de desempeño o desvinculación.

Monitoreo y control laboral proporcional

Cámaras, revisión de correo corporativo, control de navegación, geolocalización de vehículos o software de productividad son formas de monitoreo que tratan datos personales del trabajador. La Ley 21.719 no las prohíbe, pero las somete a los principios de finalidad, proporcionalidad y transparencia. El monitoreo debe responder a una finalidad legítima y concreta, y usar el medio menos invasivo que la logre.

Proporcionalidad significa que la intensidad de la vigilancia debe guardar relación con el objetivo. Una cámara en una bodega por seguridad es razonable; una cámara apuntando de forma permanente al puesto de una persona para medir su ritmo suele ser excesiva. Revisar el correo corporativo puede justificarse ante un incidente concreto, pero no como monitoreo masivo y rutinario de todas las comunicaciones. La clave es preguntarse si existe una forma de lograr lo mismo con menor afectación.

La transparencia es innegociable: el trabajador debe saber que es monitoreado, con qué finalidad, por qué medios y por cuánto tiempo se conservan los registros. El monitoreo oculto o desproporcionado no solo puede vulnerar la normativa de protección de datos, sino que suele chocar con la normativa laboral y con el respeto a la dignidad del trabajador.

• Define la finalidad concreta antes de implementar cualquier control (seguridad, cumplimiento, evidencia ante incidentes).
• Elige el medio menos invasivo que cumpla esa finalidad.
• Informa por escrito y de forma clara: qué se monitorea, cómo y por cuánto tiempo.
• Limita el acceso a las grabaciones o registros y define plazos de conservación acotados.

Conservación y supresión al terminar el vínculo

Un problema frecuente es que las carpetas de personal se conservan de forma indefinida 'por si acaso'. La Ley 21.719 apunta en sentido contrario: los datos deben conservarse solo mientras sean necesarios para la finalidad que justificó su tratamiento. Al terminar la relación laboral, esa necesidad cambia y hay que revisar qué se guarda, por qué y por cuánto tiempo.

Parte de la información debe mantenerse por obligaciones legales del empleador, por ejemplo respaldos de remuneraciones, cotizaciones o documentos con plazos de conservación tributaria y previsional. Para esos casos, la base de conservación es el cumplimiento de una obligación legal, y corresponde guardarlos por el plazo que la normativa aplicable exige, no más. El resto de los datos que ya no cumplen ninguna finalidad deben suprimirse o anonimizarse.

La práctica recomendada es tener una política de conservación documentada que fije plazos por tipo de dato y un procedimiento de depuración periódica. Esto no solo se alinea con los principios de calidad y minimización, sino que reduce la superficie de riesgo: menos datos almacenados significa menos datos expuestos ante una eventual vulneración de seguridad.

• Clasifica los datos del ex trabajador según si hay obligación legal de conservarlos.
• Fija plazos de conservación por tipo de documento y respétalos.
• Suprime o anonimiza lo que ya no tiene finalidad ni obligación asociada.
• Documenta la política de conservación: es evidencia de responsabilidad proactiva ante la Agencia.

Los trabajadores como titulares: sus derechos

El trabajador no pierde la calidad de titular de sus datos por estar contratado. La Ley 21.719 reconoce los derechos de acceso, rectificación, supresión, oposición y portabilidad, además del bloqueo. Esto significa que un trabajador o incluso un ex trabajador puede solicitar saber qué datos suyos tratas, pedir que corrijas información errónea o que elimines datos que ya no correspondan.

RR.HH. debe estar preparado para recibir y responder estas solicitudes dentro de plazos razonables y por un canal claro. Conviene definir quién las gestiona, cómo se verifica la identidad del solicitante y cómo se documenta la respuesta. Frente a un derecho de supresión, hay que distinguir lo que se puede eliminar de lo que debe conservarse por obligación legal, y explicarlo con transparencia al trabajador.

Cuando ocurre una vulneración a las medidas de seguridad que afecta datos de trabajadores, por ejemplo una filtración de la base de nómina o de datos de salud, el responsable debe notificar a la Agencia las vulneraciones que ocasionen la destrucción, filtración, pérdida o alteración de datos, y comunicar a los afectados cuando el incidente pueda afectar sus derechos, con especial cuidado si involucra datos sensibles. La ley exige actuar sin dilaciones indebidas y por el medio más expedito posible, por lo que RR.HH. debe tener un procedimiento de respuesta ante incidentes preparado de antemano.

• Define un canal único y conocido para que trabajadores ejerzan sus derechos.
• Verifica la identidad del solicitante antes de entregar información.
• Responde en plazos razonables y deja registro documentado de cada solicitud.
• Ten listo un procedimiento de notificación de brechas antes de que ocurra un incidente.

Preguntas frecuentes

¿Necesito que cada trabajador firme una autorización para tratar sus datos?

No para todo. Gran parte del tratamiento de RR.HH. puede apoyarse en la ejecución de la relación laboral y en el cumplimiento de obligaciones legales del empleador, que no requieren consentimiento. Reserva la firma de autorización para usos opcionales, como publicar la foto del trabajador o sumarlo a beneficios no obligatorios, donde negarse no debe tener consecuencias.

¿Puedo instalar reconocimiento facial o huella para el control de asistencia?

Puedes, pero se trata de datos biométricos sensibles y exige más cuidado. Antes de implementarlo, evalúa si hay una alternativa menos intrusiva que cumpla la misma finalidad. Si igual optas por biometría, documenta la necesidad, informa al trabajador y aplica medidas de seguridad reforzadas.

¿Qué hago con la carpeta de personal cuando la persona deja de trabajar con nosotros?

Revisa qué datos deben conservarse por obligación legal, por ejemplo respaldos de remuneraciones y cotizaciones, y guárdalos solo por el plazo que la normativa exige. El resto de la información que ya no cumple ninguna finalidad debe suprimirse o anonimizarse. Conservar todo de forma indefinida va en contra del principio de conservación limitada.

¿Cuánto puedo monitorear a mis trabajadores?

El monitoreo debe tener una finalidad legítima y concreta, usar el medio menos invasivo posible y ser proporcional al objetivo. Además, el trabajador debe estar informado de qué se monitorea, cómo y por cuánto tiempo se guardan los registros. La vigilancia oculta o masiva sin justificación no se ajusta a la ley.

¿En cuánto tiempo debo notificar una brecha que afecte datos de trabajadores?

La ley chilena no fija un plazo en horas como el modelo europeo. Exige notificar a la Agencia de Protección de Datos Personales sin dilaciones indebidas y por el medio más expedito posible, y comunicar a los afectados cuando el incidente pueda afectar sus derechos, con especial atención si involucra datos sensibles como salud.

¿Desde cuándo debo cumplir con estas obligaciones?

La Ley 21.719 fue publicada en diciembre de 2024 y su entrada en vigencia plena ocurre tras un periodo de transición, en diciembre de 2026. Conviene usar ese tiempo para ordenar los tratamientos de RR.HH., definir bases de licitud, políticas de conservación y procedimientos de respuesta, en lugar de dejarlo para el último momento.