Caso ficticio
Juanito Pérez es jefe de atención a clientes de una empresa de internet en una ciudad del norte de Chile. Un martes llega un correo de una clienta: «Quiero saber qué datos míos tienen, de dónde los sacaron y a quién se los han pasado». Juanito lo reenvía a TI, TI lo reenvía a legal, y tres semanas después nadie ha contestado. Desde el 1 de diciembre de 2026, ese correo tiene plazo.
La respuesta corta, para quien recibe esos correos en una empresa: la Ley 21.719 le da a cada persona seis derechos sobre sus datos —acceso, rectificación, supresión, oposición, bloqueo y portabilidad, más el de no quedar sujeta a ciertas decisiones automatizadas—, y la empresa tiene 30 días corridos para responder, prorrogables una sola vez por otros 30. Si junto con su solicitud la persona pide el bloqueo, esa parte se responde en 2 días hábiles. Los derechos están en los artículos 4° a 9°; cómo se ejercen y los plazos, en los artículos 10 y 11.
Los derechos, uno por uno
El artículo 4° dice que son personales, intransferibles e irrenunciables: ningún contrato puede quitarlos. Si la persona fallece, los pueden ejercer sus herederos, salvo que ella lo haya prohibido expresamente o lo establezca una ley.
Acceso (artículo 5°). Saber si la empresa trata sus datos y, si es así, cuáles son y de dónde salieron, para qué se usan, a quién se han comunicado o cedido, por cuánto tiempo se guardarán, cuál es el interés legítimo si esa es la base, y la lógica aplicada si hay decisiones automatizadas.
Ejemplo. Lo que pidió la clienta. La empresa le tiene que contestar las tres preguntas, salvo que una ley disponga expresamente lo contrario.
Rectificación (artículo 6°). Corregir datos inexactos, desactualizados o incompletos. Si la empresa ya los había comunicado a otros, tiene que avisarles de la corrección, salvo que sea imposible o exija un esfuerzo desproporcionado.
Supresión (artículo 7°). Que se borren sus datos cuando ya no son necesarios, cuando retiró su consentimiento y no hay otra base, cuando se obtuvieron ilícitamente, cuando son datos caducos, cuando lo ordena una sentencia, la Agencia o la ley, o cuando se opuso y no hay otro fundamento. No procede, entre otros casos, si el dato hace falta para cumplir una obligación legal o un contrato con esa persona, o para una reclamación administrativa o judicial.
Ejemplo. Un excliente de la empresa de Juanito que se cambió de compañía hace dos años pide que lo borren. Si la empresa ya no necesita sus datos, corresponde. Si todavía le debe una boleta, la empresa puede conservar lo necesario para cobrarla.
Oposición (artículo 8°). Que no se haga un tratamiento determinado: cuando la base es el interés legítimo de la empresa, cuando se usan los datos sólo para marketing directo, o cuando vienen de una fuente de acceso público y no hay otro fundamento.
Decisiones automatizadas (artículo 8° bis). No ser objeto de decisiones basadas en el tratamiento automatizado de sus datos que le produzcan efectos jurídicos o le afecten significativamente, con excepciones. Lo vemos aplicado en filtrar CV con IA.
Bloqueo (artículo 8° ter). Que se suspenda temporalmente el uso de sus datos mientras se resuelve una solicitud de rectificación, supresión u oposición. Los datos se siguen guardando; lo que se detiene es el tratamiento.
Portabilidad (artículo 9°). Recibir una copia de los datos que entregó, en un formato electrónico estructurado y de uso común, y llevarlos a otra empresa, cuando el tratamiento es automatizado y se basa en su consentimiento.
Cómo llega la solicitud
El artículo 10 pide que las empresas tengan medios sencillos para que las personas ejerzan sus derechos, y fija lo que cuesta:
- Rectificación, supresión y oposición: siempre gratis.
- Acceso: gratis al menos una vez por trimestre.
- Sólo si alguien pide acceso o portabilidad más de una vez en el trimestre, la empresa puede cobrar los costos directos, según los parámetros que fije la Agencia.
El artículo 11 dice que la solicitud se presenta por escrito, a un correo electrónico establecido para eso, un formulario de contacto o un medio electrónico equivalente. Tiene que identificar a la persona, decir dónde quiere la respuesta y qué datos o qué tratamiento le interesan. Para pedir acceso, basta con identificarse. Para rectificar, hay que decir qué corregir; para suprimir u oponerse, invocar la causal. Ese correo o formulario tiene que estar a disposición del público, en tu sitio web o un medio equivalente (artículo 14 ter, letra c); qué más se informa ahí, en tu política de privacidad con la Ley 21.719.
Los plazos
Esto es lo que Juanito necesita tener pegado en la pared:
- Acuse de recibo y respuesta: a más tardar 30 días corridos desde que ingresa la solicitud. Se pueden prorrogar una sola vez, hasta por otros 30 días corridos.
- La respuesta va por escrito, al domicilio o correo que indicó la persona. La empresa tiene que guardar respaldo de que la envió, de la fecha y del contenido completo.
- Si se rechaza, total o parcialmente, hay que fundarlo e informarle a la persona que tiene 30 días hábiles para reclamar ante la Agencia.
- Si no hay respuesta en plazo, la persona puede reclamar directamente ante la Agencia. Cómo sigue ese reclamo está en la Agencia de Protección de Datos Personales.
- Bloqueo temporal: si junto con una rectificación, supresión u oposición la persona pide el bloqueo, de forma fundada, la empresa tiene 2 días hábiles para responder. Mientras no lo haga, no puede tratar esos datos. Si lo rechaza, tiene que fundarlo y comunicarlo a la Agencia.
Y si la empresa había comunicado los datos a otros, tiene que avisarles de lo que cambió por una rectificación, supresión u oposición.
No responder, o responder incompleto o fuera de plazo, es una infracción leve (artículo 34 bis, letra c); lo que eso puede costar, en las multas de la Ley 21.719.
Lo que hace Plumii
Si en tu empresa se usa IA, una solicitud de acceso puede preguntar si los datos de la persona pasaron por ella, y hay que contestarla en el mismo plazo. En Plumii, el plan de empresa registra qué dato que identifica a una persona traía cada mensaje —por ejemplo, «Pedro Pérez» o «12.345.678-9»—, cuándo y qué regla se aplicó, sin el texto de la conversación; lo ve sólo quien la empresa designe, y se guarda 24 meses. Cómo se usa para responder, en el derecho de acceso y la IA.
Las personas, empresas y situaciones de este artículo son ficticias: las inventamos para explicar la ley, y cualquier parecido con un caso real es coincidencia. Este artículo es información general, no asesoría legal. El texto oficial de la ley está en la Biblioteca del Congreso Nacional.