La Ley 21.719 de Chile establece ocho principios en su artículo 3: licitud y lealtad, finalidad, proporcionalidad, calidad, responsabilidad, seguridad, transparencia e información, y confidencialidad. Están en las letras a) a h) y son la base directa del régimen sancionatorio de la Agencia.
Lo esencial en 30 segundos
- Son ocho, no seis ni siete: las letras a) a h) del artículo 3.
- El principio de licitud impone una carga probatoria al responsable, no solo un deber.
- El de proporcionalidad incluye el límite temporal: los datos se conservan solo lo necesario.
- El de confidencialidad subsiste después de terminada la relación con el titular.
- El artículo 42 permite sancionar por vulneración directa de estos principios.
En Chile circulan varias listas de “los principios de la ley de datos” que en realidad reproducen los del Reglamento General de Protección de Datos europeo. Se parecen, pero no coinciden: el artículo 3 de la Ley 21.719 tiene su propia redacción, su propio orden y su propio número. Si quieres el panorama completo, parte por nuestra guía sobre la ley de protección de datos en Chile.
La precisión importa porque estos principios no son doctrina. El artículo 42 de la ley define el procedimiento administrativo por infracción de ley como aquel que determina las infracciones “por incumplimiento o vulneración de los principios establecidos en el artículo 3°”. Son la puerta de entrada al régimen de multas.
A continuación va cada principio con lo que exige literalmente y lo que significa en la operación de una empresa chilena.
Licitud y lealtad: ¿por qué es el principio que más cuesta?
La letra a) del artículo 3 dice que los datos personales sólo pueden tratarse de manera lícita y leal, y agrega una frase que cambia todo: “El responsable deberá ser capaz de acreditar la licitud del tratamiento de datos personales que realiza”.
Esa segunda oración invierte la carga de la prueba. No basta con tratar los datos correctamente: hay que poder demostrarlo ante la Agencia, con documentación, en el momento en que lo pidan. Una empresa puede estar cumpliendo de hecho y quedar expuesta simplemente por no tener cómo acreditarlo.
En la práctica esto es lo que convierte al registro de actividades de tratamiento en el primer entregable de cualquier implementación en Chile. Sin ese inventario, la acreditación de licitud no existe.
Finalidad: ¿puedo usar los datos para algo distinto de lo que informé?
La letra b) exige que los datos se recolecten con fines específicos, explícitos y lícitos, y que el tratamiento se limite al cumplimiento de esos fines. La regla general es que no se pueden tratar los datos con fines distintos a los informados al momento de la recolección.
La propia ley abre cuatro excepciones tasadas, y conviene conocerlas porque son más generosas de lo que suele asumirse: que el tratamiento sea para fines compatibles con los autorizados originalmente; que exista una relación contractual o precontractual entre el titular y el responsable que justifique el tratamiento con una finalidad distinta, siempre que se enmarque en los fines del contrato o sea coherente con las tratativas previas; que el titular otorgue nuevamente su consentimiento; y cuando lo disponga la ley.
La segunda excepción es la más útil en operaciones reales, y también la más fácil de estirar de más. El límite está en que el nuevo uso siga dentro de los fines del contrato o de las negociaciones previas.
- Fines compatibles con los autorizados originalmente.
- Relación contractual o precontractual que justifique la finalidad distinta.
- Nuevo consentimiento del titular.
- Cuando lo disponga la ley.
Proporcionalidad: ¿cuánto tiempo puedo conservar los datos?
La letra c) tiene dos capas que suelen leerse como una sola. La primera es de cantidad: los datos tratados deben limitarse estrictamente a los que resulten necesarios, adecuados y pertinentes en relación con los fines del tratamiento.
La segunda es de tiempo, y es la que más impacta en sistemas heredados. Los datos “pueden ser conservados sólo por el período de tiempo que sea necesario para cumplir con los fines del tratamiento, luego de lo cual deben ser suprimidos o anonimizados”. Un período mayor requiere autorización legal o consentimiento del titular.
Esto convierte la política de retención en una obligación derivada de un principio, no en una buena práctica opcional. Guardar todo indefinidamente “por si acaso” es incumplimiento del artículo 3 letra c).
Calidad y responsabilidad: ¿qué agregan estos dos?
La letra d) exige que los datos sean exactos, completos, actuales y pertinentes en relación con su proveniencia y los fines del tratamiento. Es el principio que conecta con el derecho de rectificación: si el titular corrige un dato, el responsable no solo cumple una solicitud, también satisface una obligación propia.
La letra e) establece que quienes realicen tratamiento de datos personales serán legalmente responsables del cumplimiento de los principios del artículo y de las obligaciones y deberes que impone la ley. Es el ancla de la responsabilidad proactiva: la ley no pregunta si hubo daño, pregunta si hubo cumplimiento.
Seguridad: ¿qué nivel exige el principio?
La letra f) obliga al responsable a garantizar estándares adecuados de seguridad, protegiendo los datos contra el tratamiento no autorizado o ilícito y contra su pérdida, filtración, daño accidental o destrucción.
El estándar es explícitamente relativo: “Las medidas de seguridad deben ser apropiadas y acordes con el tratamiento que se vaya a efectuar y con la naturaleza de los datos”. No existe una lista única de controles válida para todas las empresas de Chile.
Este principio se desarrolla después en el artículo 14 quinquies, que sí nombra medidas concretas como la seudonimización y el cifrado. El principio fija el deber; el artículo 14 quinquies lo aterriza.
Transparencia y confidencialidad: ¿por qué van juntos al final?
La letra g), transparencia e información, es la más exigente en redacción. Obliga a entregar al titular toda la información necesaria para ejercer sus derechos, incluyendo las políticas y prácticas sobre el tratamiento, y exige que estas se encuentren “permanentemente accesibles y a disposición de cualquier interesado de manera precisa, clara, inequívoca y gratuita”.
La palabra “permanentemente” es la que suele fallar. Una política de privacidad publicada una vez y nunca actualizada no cumple, porque el estándar no es haber informado sino mantener la información disponible y vigente.
La letra h), confidencialidad, cierra con un deber que sobrevive a la relación: el responsable y quienes tengan acceso a los datos deben guardar secreto, y “este deber subsiste aún después de concluida la relación con el titular”. También obliga a establecer controles y medidas adecuadas para preservar ese secreto, lo que alcanza a contratos con proveedores y a acuerdos con trabajadores.
| Letra | Principio | Exigencia central |
|---|---|---|
| a) | Licitud y lealtad | Tratar de forma lícita y poder acreditarlo |
| b) | Finalidad | Fines específicos, explícitos y lícitos; no desviarse sin causa |
| c) | Proporcionalidad | Solo los datos necesarios y solo por el tiempo necesario |
| d) | Calidad | Datos exactos, completos, actuales y pertinentes |
| e) | Responsabilidad | Responsabilidad legal por el cumplimiento de la ley |
| f) | Seguridad | Estándares adecuados y acordes al tratamiento y a los datos |
| g) | Transparencia e información | Información permanentemente accesible, clara y gratuita |
| h) | Confidencialidad | Secreto que subsiste tras terminar la relación |
¿Tus tratamientos resisten los ocho principios?
En 30 minutos revisamos tus tratamientos principales contra el artículo 3 y detectamos dónde falta acreditación.
Solicitar diagnósticoPreguntas frecuentes
¿Cuántos principios tiene la Ley 21.719?
Ocho. Están en las letras a) a h) del artículo 3: licitud y lealtad, finalidad, proporcionalidad, calidad, responsabilidad, seguridad, transparencia e información, y confidencialidad. Varias guías publicadas en Chile reproducen las listas del reglamento europeo, que no coinciden con este articulado.
¿Se puede sancionar a una empresa solo por vulnerar un principio?
Sí. El artículo 42 de la ley define el procedimiento administrativo por infracción de ley como el que determina las infracciones por incumplimiento o vulneración de los principios del artículo 3, además de los derechos y obligaciones que la ley establece.
¿Qué significa acreditar la licitud del tratamiento?
Que el responsable debe poder demostrar, con documentación, que cada tratamiento tiene una base de licitud válida y se ajusta a la ley. La carga es suya, no de la Agencia. En la práctica se sostiene sobre el registro de actividades de tratamiento y la documentación de decisiones.
¿Puedo usar datos de clientes para una finalidad nueva?
Solo en los casos que abre la letra b) del artículo 3: fines compatibles con los originales, relación contractual o precontractual que lo justifique dentro de los fines del contrato, nuevo consentimiento del titular, o cuando lo disponga la ley. Fuera de esos supuestos, no.
¿Cuánto tiempo puedo guardar los datos personales?
Solo el período necesario para cumplir los fines del tratamiento. Después deben suprimirse o anonimizarse, según la letra c) del artículo 3. Conservarlos más tiempo requiere autorización legal o consentimiento del titular.
¿El principio de seguridad exige una norma técnica concreta?
No. La letra f) del artículo 3 exige medidas apropiadas y acordes con el tratamiento y con la naturaleza de los datos. El artículo 14 quinquies lo desarrolla mencionando seudonimización y cifrado, pero el estándar sigue siendo relativo al riesgo de cada organización.
¿Qué exige el principio de transparencia además de una política de privacidad?
Que la información esté permanentemente accesible y a disposición de cualquier interesado, de manera precisa, clara, inequívoca y gratuita, y que el responsable adopte medidas para facilitar el acceso del titular a esa información y a cualquier comunicación sobre el tratamiento.
¿El deber de confidencialidad termina cuando el cliente se va?
No. La letra h) del artículo 3 dice expresamente que el deber de secreto subsiste aún después de concluida la relación con el titular. Alcanza al responsable y a todos quienes hayan tenido acceso a los datos.
¿Los principios aplican también a las pymes en Chile?
Sí. El artículo 3 no distingue por tamaño de empresa. Lo que sí gradúa la ley, en el artículo 14 septies, son los estándares de cumplimiento de ciertos deberes según el volumen y el riesgo del tratamiento, pero los principios rigen para todos.
¿Los principios de la Ley 21.719 son iguales a los del RGPD europeo?
Son de la misma familia, pero no idénticos en número ni en redacción. La ley chilena separa licitud y lealtad en una sola letra, incorpora calidad y confidencialidad como principios autónomos, y su artículo 3 debe leerse directamente en vez de traducir el texto europeo.
Fuentes oficiales
- Ley 21.719 — texto oficial, Biblioteca del Congreso Nacional
- Ley 19.628 consolidada con las modificaciones de la Ley 21.719
Este artículo tiene fines informativos y no constituye asesoría legal para un caso particular.