Datos de geolocalización y Ley 21.719: qué exige el artículo 16 sexies en apps y flotas

Casi ninguna empresa chilena piensa que trata datos de geolocalización, y casi todas lo hacen. La app que muestra la sucursal más cercana, el GPS instalado en la flota, el repartidor cuya posición se comparte con el cliente en tiempo real, el sensor que mide el flujo de personas en la tienda, el celular corporativo del técnico en terreno. Todos esos flujos quedarán cubiertos por un artículo breve de la Ley 21.719 que hasta ahora casi nadie ha explicado en detalle. Si quieres el panorama completo, parte por nuestra guía sobre la ley de protección de datos en Chile.

El artículo 16 sexies no prohíbe nada. Tampoco incluye la ubicación en el catálogo de datos sensibles ni obliga a pedir consentimiento explícito en cada caso. Lo que hace es más incómodo y más útil: exige decir con precisión qué recoges, para qué, por cuánto tiempo y con quién lo compartes. Ese nivel de detalle es justamente lo que la mayoría de los avisos de privacidad chilenos no tiene hoy.

En esta guía revisamos el texto del artículo, las fuentes de licitud que habilitarán el tratamiento, los tres deberes de información específicos, cómo aplicar proporcionalidad cuando el rastreo es continuo, el caso laboral del trabajador en terreno y qué hacer con los historiales acumulados. Al final hay un checklist para ejecutarlo antes del 1 de diciembre de 2026.

¿Qué dice exactamente el artículo 16 sexies sobre datos de geolocalización?

El artículo 16 sexies de la Ley 21.719 dice dos cosas. Primero, que el tratamiento de los datos personales de geolocalización del titular se podrá realizar bajo las mismas fuentes de licitud de los artículos 12 y 13. Segundo, que el titular deberá ser informado de manera clara, suficiente y oportuna sobre tres puntos concretos. Eso es todo, y su brevedad engaña. Conviene tener presente que la norma regirá desde el 1 de diciembre de 2026: hoy es tiempo de preparación, no todavía de fiscalización.

La norma está ubicada en el bloque de la ley que fija reglas especiales para ciertas categorías de datos, junto a los datos sensibles, los biométricos del artículo 16 ter y los de niños, niñas y adolescentes del artículo 16 quater. A diferencia de esos casos, la ley no incorporó la geolocalización al catálogo de datos sensibles ni la sometió a un régimen de consentimiento reforzado: le añadió una capa específica de información. Una lectura razonable es que la ubicación no fue tratada como intrínsecamente sensible, aunque sí es peculiarmente reveladora: dónde estás dice dónde vives, dónde trabajas, a qué médico vas y con quién te reúnes.

La consecuencia práctica es que en Chile la ubicación se tratará con las reglas generales de licitud más una capa informativa propia. Y esa capa no se cumple con una línea genérica del tipo "usamos tu ubicación para mejorar el servicio". Hay que ser específico, y la especificidad es verificable.

Los sectores afectados son más amplios de lo que parece:

• Apps móviles que usan ubicación para búsqueda, entrega, seguridad, publicidad o analítica de uso.
• Flotas de vehículos con telemetría y GPS: transporte, distribución, servicios técnicos, arriendo.
• Reparto a domicilio y última milla, donde la posición del repartidor se comparte con el cliente final.
• Retail con analítica de tráfico en tienda, conteo de personas o mapas de calor de recorrido.
• Seguimiento de trabajadores en terreno mediante teléfono corporativo, tablet o aplicación de ruta.

¿Necesitas el consentimiento del usuario para tratar su ubicación?

No necesariamente. El artículo 16 sexies de la Ley 21.719 remite expresamente a las fuentes de licitud de los artículos 12 y 13, lo que significa que el consentimiento es una vía, pero no la única. Este es el punto que más confusión genera, porque muchos equipos asumen que toda geolocalización exigirá un "acepto" explícito.

El artículo 12 contiene la regla general del tratamiento, construida sobre el consentimiento del titular. El artículo 13 contempla otras fuentes de licitud distintas del consentimiento. Para geolocalización, la elección entre una y otra no es cosmética: define cómo se pide, qué ocurre si el titular se opone y qué tan sólida es tu posición si la Agencia pregunta.

La regla de oro es que la fuente de licitud se decide antes de escribir la primera línea de código, no después de que el producto está en producción. Y se deja por escrito. Si tu aplicación mezcla varios usos de la ubicación —por ejemplo, mostrar tiendas cercanas y además alimentar un modelo de segmentación publicitaria— es probable que cada uso tenga una fuente de licitud distinta y deba poder activarse o desactivarse por separado.

Tres reglas prácticas que conviene fijar desde el inicio:

• Una finalidad, una fuente de licitud, un registro escrito. Si no puedes nombrar cuál invocas, todavía no estás listo para recoger el dato.
• Si eliges el consentimiento, procura que retirarlo sea tan simple como otorgarlo y que el retiro apague realmente la captura: es la forma más limpia de sostener los principios de licitud y lealtad y de responsabilidad del artículo 3.
• No reutilices para una finalidad nueva la ubicación recogida para otra sin revisar antes la licitud y la información entregada al titular.

¿Qué información específica exige el artículo 16 sexies antes de activar la ubicación?

El artículo 16 sexies de la Ley 21.719 exige informar de manera clara, suficiente y oportuna tres cosas: el tipo de datos de geolocalización que serán tratados, la finalidad y la duración del tratamiento, y si los datos se comunicarán o cederán a un tercero para la prestación de un servicio con valor añadido. Los tres, no dos.

Desglosado, esto obliga a un nivel de precisión que la mayoría de los avisos actuales no alcanza. "Tipo de dato" no es "ubicación": es si hablas de posición puntual, de trayecto completo, de precisión fina por GPS o aproximada por antena, de ubicación en primer plano o también en segundo plano. "Duración" no es "mientras usted use el servicio": es un plazo o un criterio objetivo de terminación. Y la cesión a terceros no admite ambigüedad: si el trayecto pasa por un proveedor de mapas, de ruteo o de analítica que agrega valor al servicio, hay que decirlo.

Estos deberes conviven con el deber general de información y transparencia del artículo 14 ter. El 16 sexies no lo reemplaza; lo complementa con exigencias propias de la ubicación. Ten presente además que, conforme al artículo 14 septies, la Agencia determinará mediante instrucción general los estándares o condiciones mínimas del deber de información, considerando entre otros factores el tamaño de la entidad según la ley N° 20.416.

Dónde se materializa esto en la práctica:

• En apps: una pantalla propia previa al diálogo de permiso del sistema operativo. El permiso nativo de iOS o Android autoriza el acceso técnico del dispositivo; por sí solo no satisface el deber de información del artículo 16 sexies.
• En flotas: un anexo informativo entregado a conductores y responsables, con el detalle del dispositivo, la frecuencia y el plazo de conservación.
• En reparto: información al repartidor sobre el seguimiento y, por separado, información al cliente sobre qué ve y por cuánto tiempo.
• En retail: señalética visible en el acceso a la tienda cuando exista analítica de tráfico, con enlace o QR al detalle completo.
• En trabajadores: información escrita e incorporada a la documentación de la relación laboral, no un correo interno suelto.

¿Cómo aplicar proporcionalidad y protección por defecto cuando el rastreo es continuo?

La ubicación continua es el escenario más intrusivo posible y casi nunca es necesaria. La Ley 21.719 recoge el principio de proporcionalidad en su artículo 3 y lo convierte en deber operativo en el artículo 14 quater, que exige aplicar medidas técnicas y organizativas adecuadas desde el diseño, con anterioridad y durante el tratamiento, y garantizar por defecto que solo se traten los datos específicos y estrictamente necesarios.

El artículo 14 quater es explícito sobre las variables que hay que controlar por defecto: el número de datos recogidos, la extensión del tratamiento, el plazo de conservación y su accesibilidad. Traducido a un sistema de geolocalización, esas cuatro variables tienen palancas concretas y medibles.

La frecuencia de muestreo es la primera. Un registro cada 30 segundos y uno cada 10 minutos cumplen la misma finalidad logística en muchos casos, y el segundo genera bastante menos superficie de riesgo. La precisión es la segunda: si tu finalidad es saber en qué comuna está el vehículo, no necesitas coordenadas de máxima exactitud. La tercera es la geocerca: en vez de rastrear el trayecto completo, registrar solo el evento de entrada y salida de zonas relevantes reduce el dato tratado sin perder valor operativo. La cuarta es el apagado: fuera de la jornada, fuera del turno, fuera del pedido activo, la captura se suspende.

A eso se suma la accesibilidad. Que el dato exista no significa que todo el equipo deba verlo. Restringir el historial detallado a un rol específico, y dejar al resto de la organización con vistas agregadas o seudonimizadas, es una medida coherente con la protección desde el diseño y por defecto, y además reduce el impacto de una eventual brecha.

Una advertencia honesta: no existe una configuración que garantice cumplimiento. Lo que existe es una decisión documentada. Si registras por qué elegiste esa frecuencia, qué alternativa menos intrusiva descartaste y por qué, tienes una defensa. Si no lo registras, tienes una opinión.

• Muestreo: define el intervalo mínimo que sostiene la finalidad y justifícalo por escrito.
• Precisión: usa el nivel más grueso que sirva (comuna, zona, radio) antes de recurrir a coordenadas finas.
• Geocercas: prefiere eventos de entrada y salida al trayecto continuo siempre que sea viable.
• Ventana horaria: apaga la captura fuera de jornada, turno o pedido activo.
• Accesos: limita quién ve el historial detallado y registra esos accesos.

¿Puedes hacer seguimiento por GPS a trabajadores en terreno?

Sí, con límites claros y con información previa. La Ley 21.719 no prohíbe el seguimiento de trabajadores en terreno, pero el artículo 16 sexies obligará a informarles el tipo de dato, la finalidad, la duración y las eventuales cesiones, y el artículo 14 quater exige que el sistema esté diseñado para tratar por defecto solo los datos estrictamente necesarios. La geolocalización laboral no es un permiso abierto de vigilancia.

La distinción operativa más útil es entre controlar un recurso y controlar a una persona. Un GPS que reporta dónde está el vehículo de la empresa persigue una finalidad razonable de seguridad y logística. El mismo GPS usado para reconstruir el día completo de un trabajador, incluidas sus pausas y su ruta de regreso a casa, persigue otra cosa. La primera finalidad es defendible; la segunda difícilmente supera un examen de proporcionalidad bajo el artículo 3 de la ley.

Tres límites que conviene fijar por escrito antes de instalar cualquier sistema: el seguimiento opera solo dentro de la jornada; los datos no se usan para fines distintos de los declarados; y el acceso al historial está restringido a roles definidos, con registro de quién consultó qué.

La formalización importa. La Ley 21.719 no reemplaza las reglas laborales chilenas, así que el sistema debe quedar reflejado en la documentación de la relación de trabajo y comunicado con la publicidad interna que corresponda. Un dato útil: el artículo 48 obliga a los responsables a adoptar acciones destinadas a prevenir infracciones, y el artículo 49 permite además adoptar voluntariamente un modelo de prevención cuya regulación interna debe incorporarse expresamente como obligación en los contratos de trabajo o de prestación de servicios, o bien en el reglamento interno regulado en los artículos 153 y siguientes del Código del Trabajo, con las medidas de publicidad de su artículo 156. Ese es el vehículo natural para dejar asentadas las reglas de geolocalización.

Para tratamientos de rastreo sistemático de personas, apoyarte en la evaluación de impacto que contempla el artículo 15 ter es una decisión sensata: es el documento que demuestra que pensaste antes de instalar.

¿Cuánto tiempo puedes conservar los historiales de ubicación?

La Ley 21.719 no fija un plazo específico para los historiales de geolocalización. Fija algo más exigente: el artículo 16 sexies obliga a informar la duración del tratamiento, y el artículo 14 quater obliga a limitar por defecto el plazo de conservación y la accesibilidad de los datos. Es decir, tú defines el plazo, lo declaras y luego tienes que cumplirlo.

El problema real de las empresas chilenas no es el plazo, es que nunca hubo uno. Bases de datos de flotas con cuatro años de trayectos, tablas de eventos de app que nunca se purgan, respaldos que nadie sabe dónde están. Un historial de ubicación de varios años es un pasivo, no un activo: aporta poco valor operativo y multiplica el daño de cualquier incidente.

El criterio práctico es escalonar. El detalle fino sirve para operación inmediata y puede vivir semanas; el agregado sirve para análisis y puede vivir más tiempo sin identificar a nadie. Cuando el plazo se cumple, la supresión tiene que ser efectiva y alcanzar también los respaldos y las copias en sistemas de terceros.

Sobre derechos: si un titular pide la supresión de su historial de ubicación, el artículo 11 te da treinta días corridos desde el ingreso de la solicitud para acusar recibo y pronunciarte, prorrogables por una sola vez hasta por treinta días corridos más. Son días corridos, no hábiles, y debes almacenar respaldos que demuestren la remisión, su fecha y el contenido íntegro de la respuesta. Si deniegas la solicitud, la negativa debe fundarse e informar que el titular tiene treinta días hábiles para reclamar ante la Agencia.

Sobre incidentes: si se filtra una base de historiales de ubicación, el artículo 14 sexies obliga a reportar a la Agencia por los medios más expeditos posibles y sin dilaciones indebidas cuando exista un riesgo razonable para los derechos y libertades de los titulares, y a registrar esas comunicaciones. La comunicación directa a los titulares es exigible en los casos que ese mismo artículo enumera, entre ellos los datos sensibles; si tu historial de ubicación permite inferir información de esa naturaleza, ponte en el escenario más exigente.

Checklist para aplicar antes del 1 de diciembre de 2026:

• Levanta un inventario de todos los puntos donde tu organización captura ubicación: apps, dispositivos, sensores, integraciones y proveedores.
• Define y documenta la fuente de licitud de cada finalidad, según los artículos 12 y 13.
• Redacta el bloque informativo del artículo 16 sexies: tipo de dato, finalidad, duración y cesiones a terceros.
• Separa las finalidades para que el titular pueda aceptar una y rechazar otra.
• Fija la frecuencia de muestreo y la precisión mínimas que sostienen cada finalidad, y justifícalas por escrito.
• Evalúa reemplazar el rastreo continuo por geocercas o eventos discretos.
• Programa el apagado automático fuera de jornada, turno o pedido activo.
• Define plazos de conservación diferenciados para el detalle fino y el agregado, y automatiza la purga.
• Restringe quién accede al historial detallado y registra esos accesos.
• Formaliza las reglas de geolocalización laboral en la documentación de la relación de trabajo.
• Prepara el procedimiento de respuesta a solicitudes ARSOP en treinta días corridos, con respaldo de cada respuesta.
• Incluye los historiales de ubicación en tu procedimiento de gestión de brechas del artículo 14 sexies.

Preguntas frecuentes

¿Los datos de geolocalización son datos sensibles según la Ley 21.719?

No. La Ley 21.719 no incluye la geolocalización en el catálogo de datos sensibles, pero le dedica un artículo propio, el 16 sexies, con deberes de información específicos. En la práctica, si la ubicación permite inferir salud, creencias o afiliación sindical, ese resultado podría quedar bajo el régimen de datos sensibles.

¿Desde cuándo debo cumplir el artículo 16 sexies?

La Ley 21.719 entrará en vigencia el 1 de diciembre de 2026, según su artículo primero transitorio. A julio de 2026 todavía no rige, así que aún tienes margen para inventariar tus flujos de ubicación, ajustar los avisos y recortar los plazos de conservación antes de que la Agencia pueda fiscalizar.

¿Basta con el permiso de ubicación de iOS o Android para cumplir?

No basta. El permiso del sistema operativo autoriza el acceso técnico del dispositivo, pero el artículo 16 sexies exige informar el tipo de dato de geolocalización, la finalidad, la duración y si habrá cesión a terceros. Eso se cumple con una capa propia de información previa, no solo con el diálogo nativo del teléfono.

¿Qué pasa si comparto la ubicación con un proveedor de mapas o de ruteo?

Debes informarlo. El artículo 16 sexies obliga a señalar si los datos se comunicarán o cederán a un tercero para la prestación de un servicio con valor añadido. Además, si ese proveedor trata datos por cuenta tuya, corresponde encuadrarlo como encargado conforme al artículo 15 bis, con instrucciones y obligaciones por escrito.

¿Puedo rastrear el vehículo de la empresa fuera del horario laboral?

Solo si tienes una finalidad legítima y declarada para ese periodo, algo difícil de sostener cuando el vehículo está detenido y la jornada terminó. El principio de proporcionalidad del artículo 3 y el deber de protección desde el diseño y por defecto del artículo 14 quater empujan a suspender la captura fuera de la jornada.

¿Cuánto tiempo puedo guardar el historial de ubicación?

La Ley 21.719 no fija un plazo específico para historiales de geolocalización. Tú defines uno, lo informas al titular como exige el artículo 16 sexies y luego lo cumples. El artículo 14 quater obliga además a limitar por defecto el plazo de conservación y la accesibilidad de esos datos.

¿Qué hago si un usuario pide borrar su historial de ubicación?

Debes acusar recibo y pronunciarte dentro de treinta días corridos desde el ingreso de la solicitud, prorrogables por una sola vez hasta por treinta días corridos más, según el artículo 11. Son días corridos, no hábiles. Guarda respaldo de la remisión, su fecha y el contenido íntegro de la respuesta.

¿Necesito una evaluación de impacto para tratar geolocalización?

La Ley 21.719 contempla la evaluación de impacto en su artículo 15 ter. Para rastreo continuo de personas, seguimiento de trabajadores o analítica de tráfico en tienda, hacerla es una decisión razonable: documenta la necesidad, las alternativas menos intrusivas que descartaste y las medidas de mitigación que finalmente adoptaste.

¿Qué arriesga mi empresa si no cumple estos deberes?

El artículo 35 fija multas de hasta 5.000 UTM en infracciones leves, 10.000 UTM en graves y 20.000 UTM en gravísimas, más medidas para subsanar en un plazo no mayor a sesenta días. Durante los primeros doce meses, la Agencia podrá aplicar una amonestación escrita a empresas de menor tamaño, que igualmente se registra.

¿Sirve un modelo de prevención de infracciones para ordenar la geolocalización?

Ayuda. El artículo 49 permite adoptar voluntariamente un modelo de prevención con delegado de protección de datos, identificación de riesgos y protocolos internos. Para geolocalización, ese modelo es el lugar natural donde fijar reglas de muestreo, conservación y accesos, y dejarlas incorporadas en los contratos o en el reglamento interno.

Fuentes oficiales

• Ley 21.719 — texto oficial, Biblioteca del Congreso Nacional de Chile

Este artículo tiene fines informativos y no constituye asesoría legal para un caso particular.