La Ley 21.719 exige que las empresas puedan explicar por qué tratan datos personales, para qué los utilizan y qué información entregan a sus titulares. La norma comenzará a regir el 1 de diciembre de 2026. Para prepararse, cada tratamiento debería quedar asociado a una finalidad, una base de licitud y evidencia que permita respaldar esa decisión.
En la entrega previa repasamos el inventario y registro de actividades de tratamiento.
¿Qué es una base de licitud?
Una base de licitud es el fundamento jurídico que permite tratar datos personales.
En la práctica, cada tratamiento debería responder cuatro preguntas:
¿Qué datos utilizas? ¿Para qué los utilizas? ¿Qué base permite tratarlos? ¿Qué evidencia respalda esa decisión?
Por ejemplo, si Marketing almacena correos electrónicos en un CRM, debería identificar la finalidad de ese tratamiento, el origen de los datos y la base que permite utilizarlos. El mismo análisis aplica a información de trabajadores, candidatos, clientes, prospectos, usuarios y proveedores.
¿Cuándo se utiliza el consentimiento?
El artículo 12 establece el consentimiento como regla general para el tratamiento de datos personales.Cuando esta sea la base utilizada, el consentimiento debe ser libre, informado, específico respecto de su finalidad, previo e inequívoco. También debe existir una declaración o acto afirmativo que permita acreditar la voluntad de la persona.
Esto impacta directamente en formularios, registros y flujos digitales. La organización necesita conservar evidencia que permita demostrar cuándo y para qué finalidad se otorgó la autorización. El titular también puede retirar su consentimiento en cualquier momento, la ley establece que el mecanismo debe ser expedito, gratuito y encontrarse permanentemente disponible.
¿Qué otras bases de licitud reconoce la Ley 21.719?
El artículo 13 contempla otras fuentes que pueden habilitar el tratamiento de datos personales. Entre ellas se encuentran el cumplimiento de una obligación legal, la celebración o ejecución de un contrato, determinadas medidas precontractuales, la satisfacción de intereses legítimos y el ejercicio o defensa de derechos ante tribunales u órganos públicos, esto permite analizar cada tratamiento según su contexto.
Un proceso de remuneraciones, una solicitud comercial, una herramienta de prevención de fraude y una campaña de marketing pueden utilizar datos personales bajo fundamentos jurídicos diferentes.
¿Cómo funciona el interés legítimo?
¿Qué información debe entregar la empresa?
El artículo 14 ter establece un deber de información y transparencia. La empresa debe mantener información accesible sobre aspectos como quién es el responsable, qué categorías de datos trata, para qué los utiliza, cuál es su base de legitimidad, con quién los comparte, cuánto tiempo los conserva y cómo pueden ejercerse los derechos de los titulares.
También corresponde informar sobre transferencias internacionales cuando apliquen, el origen de los datos, la posibilidad de retirar el consentimiento y la existencia de decisiones automatizadas o elaboración de perfiles. La política de privacidad debería reflejar esta realidad operativa y mantenerse alineada con los tratamientos, sistemas y proveedores de la organización.
Privacidad desde el diseño y por defecto
El artículo 14 quáter lleva la protección de datos directamente al diseño de productos, sistemas y procesos. La empresa debe aplicar medidas técnicas y organizativas adecuadas antes y durante el tratamiento. Además, por defecto deberían utilizarse únicamente los datos personales específicos y necesarios para cada actividad.
Esto puede traducirse en acciones concretas como solicitar únicamente los campos necesarios en un formulario, definir plazos de conservación, limitar permisos según cada función y utilizar datos sintéticos en entornos de desarrollo cuando corresponda.
Cómo llevar las bases de licitud a la operación
Una forma sencilla de organizar este trabajo es agregar estos campos al inventario de tratamientos:
| Tratamiento | Finalidad | Base de licitud | Evidencia | Información al titular |
| Proceso o actividad | Para qué se utilizan los datos | Consentimiento, contrato, obligación legal, interés legítimo u otra base aplicable | Documento o registro que respalda la decisión | Aviso o política donde se informa |
Si quieres seguir avanzando en la adecuación de tu empresa, navega por nuestros siguientes artículos de la saga:
- Derechos del titular en la Ley 21.719: cómo debe responder una empresa
- Seguridad e incidentes en la Ley 21.719: qué debe preparar tu empresa
Prepararse para la Ley 21.719 implica poder demostrar las decisiones
Definir una base de licitud es el punto de partida. El siguiente paso es mantenerla conectada con la finalidad del tratamiento, la información entregada al titular y la evidencia que respalda la decisión.
Hackmetrix puede acompañar a tu empresa en la adecuación a la Ley 21.719, ayudando a organizar tratamientos, responsables, acciones y evidencias dentro de Hackmetrix OS, junto con el acompañamiento de especialistas.
Si tu organización está avanzando en este proceso, puedes conversar con el equipo de Hackmetrix para construir una hoja de ruta de adecuación antes de la entrada en vigencia.
