Retención y eliminación de datos personales bajo la Ley 21.719

Guardar datos "por si acaso" fue durante años la norma en muchas empresas chilenas. La Ley 21.719, que actualiza el marco de protección de datos en Chile y alcanza su vigencia plena tras un periodo de transición, cambia esa lógica: los datos personales no son un activo que se acumula sin límite, sino información que solo puedes conservar mientras sirva a la finalidad concreta para la que la recogiste. Cuando esa finalidad se cumple o desaparece, el estándar es eliminar el dato o dejar de identificar a una persona. Si quieres el panorama completo, parte por nuestra guía sobre la ley de protección de datos en Chile.

Esto no es un detalle técnico menor. Dos principios de la ley (finalidad y calidad) convergen justamente aquí. La finalidad exige que cada tratamiento tenga un propósito legítimo, explícito y determinado; la calidad exige que los datos sean exactos, pertinentes y no excesivos respecto de esa finalidad. Un dato que ya no se necesita deja de ser pertinente, y conservarlo debilita la justificación de ese tratamiento.

En esta guía verás cómo traducir estos principios en decisiones concretas: cómo fijar plazos de conservación defendibles, cómo armar una política de retención por categoría de dato, qué significa eliminar de forma segura y anonimizar, cómo se conecta todo con el derecho de supresión del titular, y qué excepciones pueden permitirte seguir conservando información aunque el titular pida borrarla.

Por qué finalidad y calidad obligan a eliminar datos

El punto de partida no es "cuándo tengo que borrar", sino "por qué estoy guardando esto". El principio de finalidad establece que los datos se recogen para propósitos específicos, explícitos y lícitos, y no deberían usarse luego para fines incompatibles con esos. El principio de calidad complementa: los datos deben ser exactos, estar actualizados y ser pertinentes en relación con la finalidad. Un dato que sobrevive a su propósito deja de cumplir ambos principios a la vez.

De ahí surge la idea de la conservación limitada. Como criterio general, no hay razón para almacenar información de forma indefinida. Mientras el dato sea necesario para la finalidad (o para una excepción legítima que veremos más adelante), puedes conservarlo. Cuando esa necesidad termina, el estándar es eliminarlo o anonimizarlo. En la práctica, esto convierte cada base de datos en algo con "fecha de caducidad" por tipo de registro.

Para el responsable, esto se conecta directamente con el principio de responsabilidad proactiva: no basta con tener buena intención, conviene poder demostrar que existen reglas de retención, que se aplican y que la información se depura. Una empresa que acumula datos de ex postulantes de hace ocho años, o correos de marketing de personas que nunca respondieron, tiene un problema de cumplimiento y, además, una superficie de riesgo mayor si ocurre una brecha.

Cómo definir plazos de conservación defendibles

Un plazo de conservación no se inventa: se justifica. La pregunta correcta para cada conjunto de datos es "¿cuánto tiempo necesito realmente esta información para la finalidad declarada, o para cumplir una obligación legal asociada?". A partir de esa respuesta defines un periodo concreto y lo documentas. Los plazos vagos como "lo necesario" no sirven si no puedes traducirlos en una regla aplicable.

Hay tres fuentes típicas que fijan un plazo. La primera es la propia finalidad: por ejemplo, los datos de una postulación laboral no seleccionada dejan de ser necesarios poco después de cerrar el proceso, salvo que la persona consienta quedar en una base de futuros procesos. La segunda son las obligaciones legales de otras normas (tributarias, laborales, contables, previsionales) que exigen conservar ciertos registros durante periodos determinados. La tercera es la eventual defensa ante reclamos o litigios, que puede justificar guardar cierta información mientras existan acciones vigentes.

• Identifica la finalidad exacta de cada conjunto de datos antes de asignarle un plazo.
• Distingue entre el plazo "de uso activo" y el plazo "de archivo" para cumplimiento legal o defensa.
• Ancla cada plazo a una justificación concreta: finalidad, obligación legal o acción legal vigente.
• Define qué pasa al vencer el plazo: eliminación segura, anonimización o revisión manual documentada.
• Revisa los plazos periódicamente, porque las finalidades y las obligaciones cambian con el tiempo.

Política de retención por categoría de dato

El error más común es tratar todos los datos igual. Una política de retención útil se organiza por categoría, porque cada tipo de dato tiene finalidades y plazos distintos. Lo práctico es construir una matriz que cruce categoría de dato, finalidad, base de licitud, plazo de conservación, criterio de eliminación y responsable. Esa matriz se apoya directamente en tu Registro de Actividades de Tratamiento (RAT): si ya lo tienes, gran parte del trabajo está hecho.

Piensa en las categorías típicas de una empresa chilena. Datos de RR.HH. (postulantes, trabajadores activos, ex trabajadores) suelen tener plazos largos por obligaciones laborales y previsionales. Datos de clientes y facturación se cruzan con obligaciones tributarias y contables. Datos de marketing y prospectos dependen de la base de licitud que los sustente (por ejemplo, el consentimiento u otra base aplicable), y suelen tener los plazos más cortos. Datos de seguridad, como registros de acceso o video, tienden a conservarse por periodos breves. Y los datos sensibles (entre otros, salud, datos biométricos como el reconocimiento facial, y la situación socioeconómica) exigen especial rigor y, por lo general, los plazos más ajustados.

La política debe ser un documento vivo y accionable, no un PDF que nadie abre. Para cada categoría define quién es responsable de ejecutar la eliminación, con qué frecuencia se revisa, y cómo se registra que la depuración efectivamente ocurrió. Sin ese registro, es difícil demostrar cumplimiento ante la Agencia de Protección de Datos Personales o ante el propio titular.

Eliminación segura y anonimización: no es lo mismo borrar

Eliminar de forma segura significa que el dato deja de ser recuperable, no que desaparece de la vista. Muchos sistemas hacen "borrado lógico": marcan el registro como inactivo pero lo conservan en la base. Eso no cumple el estándar cuando el objetivo es suprimir el dato. Una eliminación real implica borrado efectivo e irreversible, y contemplar todos los lugares donde el dato vive: la base principal, los reportes exportados, los respaldos, los ambientes de prueba y los servicios de terceros que lo procesan por ti.

La anonimización es la alternativa a borrar cuando quieres conservar valor analítico sin conservar personas identificables. Anonimizar bien significa transformar el dato de modo que ya no sea posible reidentificar al titular por medios razonables, ni siquiera cruzando con otra información. Aquí está la trampa más frecuente: la seudonimización (reemplazar el nombre por un código, pero manteniendo la tabla que permite revertirlo) no es anonimización. Mientras exista una forma de volver a la persona, sigues tratando datos personales y las obligaciones de la ley siguen aplicando.

Un punto que se olvida a menudo son los respaldos. Si borras un dato de producción pero sigue vivo en copias de seguridad durante meses, la eliminación es parcial. La recomendación práctica es definir una política de respaldos con su propio ciclo de rotación y documentar cómo los datos suprimidos terminan desapareciendo también de las copias cuando estas se sobrescriben o expiran.

• Borrado lógico (marcar como inactivo) no equivale a eliminación: el dato sigue existiendo.
• Anonimización real = imposibilidad razonable de reidentificar; la seudonimización no cuenta.
• Cubre todos los repositorios: base principal, exportaciones, ambientes de prueba y terceros.
• Incluye los respaldos en el plan: define ciclos de rotación para que las copias también se depuren.
• Documenta cada eliminación masiva por vencimiento de plazo como evidencia de cumplimiento.

Su relación con el derecho de supresión (ARSOP)

La retención tiene dos motores: el tuyo, cuando eliminas por vencimiento de plazo, y el del titular, cuando ejerce su derecho de supresión. Dentro de los derechos ARSOP (acceso, rectificación, supresión, oposición y portabilidad, más el bloqueo), la supresión (también llamada cancelación) permite a la persona pedir que borres sus datos. Si tu política de retención está bien armada, responder a estas solicitudes deja de ser una emergencia y se vuelve un proceso ordenado.

Cuando llega una solicitud de supresión, el flujo práctico suele ser: verificar la identidad de quien solicita, localizar todos los datos de esa persona en tus sistemas (aquí el RAT es clave), evaluar si aplica alguna excepción que te obligue o permita conservar parte de la información, ejecutar la eliminación segura de lo que corresponda, y comunicar al titular qué hiciste. Si delegaste el tratamiento en encargados o proveedores, como buena práctica de responsabilidad proactiva conviene propagarles la instrucción de borrado.

La ley reconoce estos derechos y espera que el responsable tenga canales y procedimientos para atenderlos de forma oportuna. En lugar de fijarte en un número exacto de días, enfócate en tener un proceso documentado, con responsables claros y tiempos internos definidos, que te permita responder de forma oportuna y demostrable. Una empresa que no sabe dónde están los datos de una persona no puede suprimirlos, y esa ceguera es en sí misma un problema de cumplimiento.

Excepciones: cuándo sí puedes seguir conservando

El derecho de supresión no es absoluto, y el deber de eliminar tampoco. Existen situaciones en que conservar datos es legítimo e incluso obligatorio, aunque el titular pida lo contrario o el plazo de uso activo haya vencido. Reconocer estas excepciones, según lo que disponga la ley y su reglamento, te evita dos errores opuestos: borrar algo que debes guardar, o usar la excepción como excusa para retener todo indefinidamente.

La excepción más clara es el cumplimiento de obligaciones legales. Normas tributarias, laborales, contables o sectoriales pueden exigir conservar ciertos registros durante periodos determinados; en esos casos, la base que justifica el tratamiento no es el consentimiento sino la obligación legal, y esta prima sobre la solicitud de borrado para esos datos específicos. Otra situación es la defensa ante reclamos o acciones legales vigentes, que puede justificar conservar información mientras exista el riesgo o el proceso.

La ley también contempla, en general, el tratamiento con fines históricos, estadísticos o de investigación, que puede permitir conservar datos más allá de su finalidad original, idealmente aplicando resguardos como la anonimización o la disociación cuando sea posible. La clave en todas las excepciones es la proporcionalidad: la excepción cubre solo los datos estrictamente necesarios para ese fin específico, no toda tu base. Si puedes cumplir la obligación legal conservando cinco campos, no conserves veinte.

• Obligaciones legales (tributarias, laborales, contables) pueden exigir conservar registros por plazos definidos.
• Defensa ante reclamos o litigios vigentes puede justificar retención temporal de datos relacionados.
• Fines históricos, estadísticos o de investigación pueden permitir conservar, preferentemente con datos anonimizados o disociados.
• La excepción cubre solo los datos necesarios para ese fin, no toda la base de la persona.
• Documenta siempre qué excepción invocas y por qué, para poder justificarla ante la Agencia o el titular.

Preguntas frecuentes

¿Existe un plazo único de retención para todos los datos en la Ley 21.719?

No. La ley no fija un plazo único y general. El criterio es conservar los datos solo mientras sean necesarios para la finalidad que justificó su recolección, o mientras una excepción (como una obligación legal) lo exija. Por eso cada categoría de dato tiene su propio plazo, que tú defines y justificas caso a caso.

¿Qué diferencia hay entre eliminar y anonimizar datos?

Eliminar es borrar el dato de forma segura e irreversible, de modo que deje de existir. Anonimizar es transformarlo para que ya no sea posible reidentificar a la persona por medios razonables; el dato sigue existiendo, pero deja de ser dato personal. Anonimizar bien te permite conservar valor estadístico sin conservar personas identificables. Ojo: reemplazar el nombre por un código reversible es seudonimización, no anonimización, y sigue siendo dato personal.

¿Si un cliente pide borrar sus datos, tengo que eliminarlos siempre?

No necesariamente todos. Debes atender la solicitud de supresión, pero puedes (o debes) conservar la parte de la información cubierta por una excepción legítima, como el cumplimiento de una obligación legal tributaria o contable, o la defensa ante un reclamo vigente. Lo correcto es eliminar lo que no está amparado por una excepción, conservar solo lo estrictamente necesario y explicarle al titular qué se hizo.

¿Los datos en respaldos (backups) también cuentan para la eliminación?

Sí. Un dato borrado de producción pero vivo en copias de seguridad no está realmente eliminado. La práctica recomendada es tener una política de respaldos con ciclos de rotación definidos, de modo que los datos suprimidos también desaparezcan de las copias cuando estas se sobrescriben o expiran, y documentar cómo ocurre ese proceso.

¿Qué datos requieren mayor rigor en su plazo de eliminación?

Los datos sensibles: en Chile incluyen, entre otros, salud, origen racial o étnico, creencias o convicciones, datos biométricos (como el reconocimiento facial), vida sexual y orientación sexual, afiliación política o sindical y, de forma distintiva, la situación socioeconómica. Por su mayor potencial de daño, conviene aplicarles plazos más ajustados, controles de acceso más estrictos y criterios de eliminación más exigentes.

¿Cómo pruebo ante la Agencia que cumplo con la retención y eliminación?

Con documentación. Necesitas una política de retención por categoría, tu Registro de Actividades de Tratamiento (RAT) actualizado, y evidencia de que las eliminaciones y anonimizaciones efectivamente ocurren (registros de depuración, responsables asignados, fechas). La responsabilidad proactiva que exige la ley se demuestra mostrando reglas que existen y que se aplican, no solo con buenas intenciones.