Qué es un dato personal según la Ley 21.719 (y qué no lo es)

La Ley 21.719 reemplazó las definiciones de la Ley 19.628, y la de dato personal cambió de forma sustantiva. La versión antigua hablaba de datos relativos a personas identificadas o identificables; la nueva agrega el criterio para determinar cuándo alguien es identificable, que es donde estaba el vacío. Si quieres el panorama completo, parte por nuestra guía sobre la ley de protección de datos en Chile.

Esa precisión tiene efectos económicos concretos. Determina si una base de datos de analítica queda dentro o fuera del ámbito de la ley, si un identificador de dispositivo es dato personal, y si un proceso interno de “despersonalización” realmente saca a la empresa del alcance de la Agencia.

Este artículo recorre la definición legal chilena y sus tres bordes más consultados: la identificabilidad indirecta, los datos sensibles y la frontera entre anonimizar y seudonimizar.

¿Cuál es la definición legal de dato personal en Chile?

El artículo 2 letra f) de la ley, en el texto que introdujo la Ley 21.719, define dato personal como “cualquier información vinculada o referida a una persona natural identificada o identificable”. Dos elementos de esa frase merecen atención.

El primero es “persona natural”. La ley chilena no protege datos de personas jurídicas. El RUT de una empresa, su domicilio comercial o su facturación no son datos personales. Sí lo son los datos de las personas naturales que trabajan en ella, incluido el correo corporativo nominativo.

El segundo es “o identificable”. No hace falta que la información diga quién es la persona; basta con que permita llegar a ella. Ese es el elemento que expande el ámbito de la ley mucho más allá del nombre y el RUT.

¿Cuándo se considera que una persona es identificable?

La misma letra f) lo define: “Se considerará identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante uno o más identificadores, tales como el nombre, el número de cédula de identidad, el análisis de elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona”.

La palabra decisiva es “indirectamente”. Un dato que por sí solo no identifica a nadie puede ser dato personal si, combinado con otra información disponible, permite llegar a una persona concreta.

La ley agrega el criterio para resolver los casos de borde: “Para determinar si una persona es identificable deberán considerarse todos los medios y factores objetivos que razonablemente se podrían usar para dicha identificación en el momento del tratamiento”.

Ese estándar de razonabilidad es dinámico. Un conjunto de datos que hoy no permite identificar a nadie puede volverse identificable mañana si aparece otra base pública que lo complemente. Por eso la evaluación no se hace una vez y se archiva.

• Se evalúa al momento del tratamiento, no en abstracto.
• Se consideran los medios que razonablemente se podrían usar, no solo los propios.
• La identificación indirecta cuenta igual que la directa.

¿Qué datos son sensibles según la ley chilena?

La letra g) del artículo 2 fija una lista cerrada, y conviene citarla completa porque muchas guías la resumen mal. Son datos sensibles los que se refieren a las características físicas o morales de las personas o a hechos o circunstancias de su vida privada o intimidad, que revelen alguna de las categorías que la ley enumera.

Dos categorías de esa lista son propias del contexto chileno y sorprenden a empresas acostumbradas al marco europeo: la situación socioeconómica y la afiliación gremial. Ambas aparecen expresamente en el texto.

La calificación importa porque activa consecuencias concretas: exige base de licitud reforzada, incide en la obligación de evaluar impacto y, ante una brecha, obliga a comunicar a los titulares afectados según el artículo 14 sexies.

¿Anonimizar y seudonimizar es lo mismo?

No, y confundirlos es el error conceptual más caro de todo el cumplimiento. La ley los define por separado y les asigna consecuencias jurídicas opuestas.

La letra k) define la anonimización como un “procedimiento irreversible en virtud del cual un dato personal no puede vincularse o asociarse a una persona determinada, ni permitir su identificación, por haberse destruido o eliminado el nexo con la información que vincula, asocia o identifica a esa persona”. Y cierra con la frase clave: “Un dato anonimizado deja de ser un dato personal”.

La letra l) define la seudonimización como el tratamiento que se efectúa de manera tal que los datos ya no puedan atribuirse a un titular sin utilizar información adicional, siempre que dicha información adicional figure por separado y esté sujeta a medidas técnicas y organizativas.

La diferencia está en la reversibilidad. Si existe en algún lugar una tabla que permite volver a la persona, el dato está seudonimizado y sigue siendo dato personal, con todas las obligaciones asociadas. Reemplazar el RUT por un identificador interno es seudonimizar, no anonimizar.

• Anonimización: irreversible. El dato sale del ámbito de la ley.
• Seudonimización: reversible con información adicional. El dato sigue protegido.
• Si guardas la llave para revertirlo, no anonimizaste.

¿Qué pasa con IP, cookies y datos de fuentes públicas?

Los identificadores técnicos entran por la puerta de la identificabilidad indirecta. Una dirección IP, un identificador de dispositivo o una cookie persistente son datos personales cuando, con los medios que razonablemente se podrían usar, permiten llegar a una persona natural. El análisis se hace caso a caso, no por categoría.

Las fuentes de acceso público merecen un párrafo aparte porque son la fuente de un malentendido frecuente en Chile. La letra i) del artículo 2 las define como bases o conjuntos de datos personales cuyo acceso o consulta puede ser efectuada en forma lícita por cualquier persona, y menciona el Diario Oficial, medios de comunicación y registros públicos.

La misma letra i) cierra con la regla que cambia la práctica anterior: “El tratamiento de datos personales provenientes de fuentes de acceso público se someterá a las disposiciones de esta ley”. Que un dato sea público no lo saca del ámbito de la Ley 21.719 ni exime de tener una base de licitud.

Preguntas frecuentes

¿Qué es un dato personal según la Ley 21.719?

Cualquier información vinculada o referida a una persona natural identificada o identificable, según el artículo 2 letra f). Incluye desde el nombre y el número de cédula hasta elementos de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de la persona.

¿Los datos de una empresa son datos personales en Chile?

No. La ley protege datos de personas naturales. El RUT de una sociedad, su domicilio comercial o sus estados financieros no son datos personales. Sí lo son los datos de las personas naturales vinculadas a ella, como el nombre y el correo corporativo de un trabajador.

¿Una dirección IP es un dato personal?

Puede serlo. Depende de si, con los medios y factores objetivos que razonablemente se podrían usar en el momento del tratamiento, permite determinar la identidad de la persona directa o indirectamente. No hay una respuesta única para todos los casos.

¿Qué significa que una persona sea identificable?

Que su identidad pueda determinarse, directa o indirectamente, mediante uno o más identificadores. La ley obliga a considerar todos los medios y factores objetivos que razonablemente se podrían usar para esa identificación al momento del tratamiento.

¿Cuál es la diferencia entre anonimizar y seudonimizar?

La reversibilidad. La anonimización es irreversible y hace que el dato deje de ser dato personal, según el artículo 2 letra k). La seudonimización mantiene la posibilidad de reidentificar usando información adicional guardada por separado, así que el dato sigue siendo personal y sigue protegido.

¿Cuáles son los datos sensibles en la ley chilena?

Los que revelan origen étnico o racial, afiliación política, sindical o gremial, situación socioeconómica, convicciones ideológicas o filosóficas, creencias religiosas, datos de salud, perfil biológico humano, datos biométricos, y la información sobre vida sexual, orientación sexual e identidad de género.

¿La situación socioeconómica es un dato sensible?

Sí, y es una particularidad de la ley chilena que no tiene equivalente directo en el marco europeo. Está expresamente enumerada en el artículo 2 letra g), así que tratamientos como la evaluación social o la segmentación por tramos requieren el régimen reforzado.

¿Puedo usar libremente datos que están en fuentes públicas?

No. La letra i) del artículo 2 dispone expresamente que el tratamiento de datos provenientes de fuentes de acceso público se somete a las disposiciones de la ley. Sigues necesitando una base de licitud y sigues sujeto a los principios del artículo 3.

¿El correo corporativo de un trabajador es dato personal?

Cuando es nominativo, sí, porque identifica a una persona natural determinada. Un buzón genérico de área, sin referencia a una persona, normalmente no lo es. La distinción práctica es si el buzón apunta a alguien identificable.

¿Cambió la definición respecto de la Ley 19.628 anterior?

Sí. La Ley 21.719 reemplazó la definición e incorporó el criterio de identificabilidad indirecta y el estándar de los medios que razonablemente se podrían usar. También reformuló la lista de datos sensibles y agregó las definiciones de anonimización y seudonimización.

Fuentes oficiales

• Ley 21.719 — texto oficial, Biblioteca del Congreso Nacional
• Ley 19.628 consolidada con las modificaciones de la Ley 21.719

Este artículo tiene fines informativos y no constituye asesoría legal para un caso particular.