La Ley 21.719 reconoce seis derechos a toda persona sobre sus datos personales: acceso, rectificación, supresión, oposición, portabilidad y bloqueo. Cuando un cliente, trabajador o apoderado te pide ejercer alguno de ellos, tu empresa tiene la obligación de responder. Hacerlo mal puede costarte una multa, pero hacerlo bien no es complicado si sabes qué busca cada solicitud y qué pasos seguir.
Este artículo explica qué significa cada derecho, cómo se pide, qué información debe contener la solicitud y qué debe hacer tu empresa para responder sin equivocarse.
Qué son los derechos ARSOP+ y en qué se diferencian de ARCO
Si has leído sobre protección de datos en otros países, probablemente conoces el acrónimo ARCO: acceso, rectificación, cancelación y oposición. La Ley 21.719 va más allá. En Chile, los derechos del titular se llaman ARSOP+, porque incluyen dos nuevos: portabilidad y bloqueo.
El artículo 4º de la ley establece que toda persona tiene derecho de acceso, rectificación, supresión, oposición, portabilidad y bloqueo de sus datos personales. Estos derechos son personales, intransferibles e irrenunciables, y no pueden limitarse por ningún acto o convención. Eso significa que no puedes pedirle a alguien que renuncie a ellos en un contrato.
La diferencia con ARCO no es solo de nombre. Portabilidad y bloqueo son herramientas que la ley anterior no contemplaba. Portabilidad permite al titular llevarse sus datos a otro responsable sin que tú se lo impidas. Bloqueo suspende temporalmente el tratamiento mientras se resuelve una solicitud de rectificación, supresión u oposición. Ambos derechos son nuevos y muchas empresas aún no tienen claro cómo responderlos.
Los seis derechos del titular, uno por uno
Derecho de acceso
El titular tiene derecho a saber si estás tratando sus datos y, en caso afirmativo, a acceder a ellos y a cierta información sobre ese tratamiento. Según el artículo 5º, cuando alguien ejerce este derecho, debe poder obtener confirmación de si tratas o no sus datos y, si los tratas, acceder a ellos y a información como la finalidad del tratamiento, las categorías de datos, los destinatarios a quienes se han comunicado o cedido, el plazo de conservación y la existencia de los demás derechos.
En la práctica, esto significa que si un trabajador te pide acceso, no basta con decirle «sí, tenemos tus datos». Debes entregarle una copia de esos datos y explicarle para qué los usas, con quién los has compartido y cuánto tiempo los guardarás. Una pyme de quince personas en Valparaíso que recibe esta solicitud de un exempleado debe poder armar esa respuesta en días, no en semanas.
Derecho de rectificación
El artículo 6º establece que el titular puede solicitar que modifiques o completes sus datos cuando sean inexactos, desactualizados o incompletos. Si acoges la solicitud, debes comunicar la rectificación a todas las personas, entidades u organismos a los que hayas comunicado o cedido esos datos, salvo que sea imposible o exija un esfuerzo desproporcionado.
Un ejemplo: un cliente te avisa que su dirección cambió hace seis meses y que la que tienes está mal. Debes corregirla en tu base de datos y, si le pasaste esa dirección a tu empresa de despacho o a tu contador, avisarles que la cambien también. Efectuada la rectificación, no puedes volver a tratar los datos sin rectificar.
Derecho de supresión
Supresión es eliminar los datos. El artículo 7º señala que el titular puede pedirlo en ciertos casos: cuando los datos ya no sean necesarios para la finalidad que motivó su recolección, cuando el titular retire el consentimiento y no exista otra base legal que justifique el tratamiento, cuando se hayan tratado de forma ilícita, o cuando una ley obligue a suprimirlos.
No es un derecho absoluto. Si tienes otra base legal para tratar esos datos —por ejemplo, una obligación tributaria que te exige guardar las facturas durante seis años—, puedes negarte a suprimirlos mientras esa obligación subsista. Pero si alguien te pidió que borraras su correo de tu lista de marketing y no tienes otra razón para guardarlo, debes eliminarlo.
Derecho de oposición
El titular puede oponerse a que lleves a cabo un tratamiento determinado. Según el artículo 8º, esto aplica cuando el tratamiento se basa en el interés legítimo del responsable o en el cumplimiento de una función pública, y el titular tiene motivos relacionados con su situación particular que justifican la oposición. También puede oponerse cuando el tratamiento sea contrario a las disposiciones de la ley.
Un caso frecuente: alguien se opone a que uses sus datos para marketing directo. Aquí la ley es clara: debes dejar de hacerlo. En otros casos, puedes negarte si demuestras que tienes motivos legítimos imperiosos que prevalecen sobre los intereses del titular.
Derecho de portabilidad
El artículo 8º bis establece que el titular puede obtener una copia de sus datos en un formato electrónico estructurado, genérico y de uso común, que permita ser operado por distintos sistemas, y poder comunicarlos o transferirlos a otro responsable. Este derecho aplica cuando el tratamiento se basa en el consentimiento o en la ejecución de un contrato, y se realiza por medios automatizados.
En la práctica: si un cliente te pide portabilidad, debes entregarle sus datos en un archivo que pueda abrir y usar en otro lugar. Un CSV, un JSON o un Excel son formatos aceptables. Un PDF escaneado no lo es. Si el titular te lo pide, debes transmitir esos datos directamente al nuevo responsable, siempre que sea técnicamente posible.
Derecho de bloqueo
El artículo 8º ter reconoce el derecho a suspender temporalmente cualquier operación de tratamiento mientras se resuelve una solicitud de rectificación, supresión u oposición. Esto significa que si alguien te pide que rectifiques sus datos, puedes bloquearlos —dejar de usarlos— hasta que resuelvas si la solicitud es procedente o no.
El bloqueo no es eliminar los datos. Es congelarlos. Siguen en tu sistema, pero no los tocas hasta que se resuelva la solicitud. Una vez resuelta, o levantas el bloqueo o procedes a la rectificación o supresión según corresponda.
Cómo debe presentarse la solicitud
El artículo 11 de la ley establece que el titular debe presentar una solicitud o requerimiento escrito ante el responsable. Puede hacerlo por correo electrónico, formulario de contacto o medio electrónico equivalente. La solicitud debe contener al menos:
- Individualización del titular y de su representante legal o mandatario, según corresponda, y autenticación de su identidad.
- Indicación de un domicilio o dirección de correo electrónico para comunicar la respuesta.
- Identificación de los datos personales o del tratamiento respecto de los cuales se ejerce el derecho.
- En solicitudes de rectificación, el titular debe indicar las modificaciones precisas a realizar y, en su caso, acompañar los documentos que las justifiquen.
Si la solicitud no cumple con estos requisitos, puedes pedirle al titular que la complete. Pero no puedes negarte a responder solo porque falta un dato menor. Si entiendes qué pide y puedes identificarlo, responde.
Qué debe hacer tu empresa cuando llega una solicitud
Primero, confirma que la persona que escribe es realmente el titular o su representante. La ley exige autenticación de identidad, pero no dice cómo. Una copia del carnet por correo, una firma electrónica simple o una videollamada pueden bastar, dependiendo del riesgo. Si alguien te pide acceso a datos sensibles de salud, pide más pruebas que si te pide rectificar un apellido.
Segundo, revisa si la solicitud es procedente. No todas lo son. Si alguien te pide suprimir datos que la ley te obliga a guardar, puedes negarte. Si te pide portabilidad de datos que no trataste por medios automatizados, también. Pero si dudas, consulta con alguien que sepa, porque negarte sin razón puede costarte una multa.
Tercero, responde dentro del plazo. La ley no establece un plazo explícito en los fragmentos recuperados, pero la Agencia de Protección de Datos Personales fiscalizará que las respuestas sean oportunas. En la práctica, responder en menos de dos semanas es razonable; más de un mes sin justificación es arriesgado.
Cuarto, documenta todo. Guarda la solicitud, tu respuesta y cualquier acción que hayas tomado. Si el titular reclama ante la Agencia, tendrás que demostrar que cumpliste.
Errores frecuentes al responder solicitudes
El error más común es no responder. Muchas empresas ignoran las solicitudes porque no saben qué hacer o porque creen que el titular no insistirá. Eso es un riesgo: el titular puede reclamar ante la Agencia, y una denegación tácita es tan sancionable como una expresa.
Otro error es responder con vaguedades. «Tus datos están seguros» o «los usamos para fines comerciales» no son respuestas válidas a una solicitud de acceso. El titular tiene derecho a saber exactamente qué datos tienes, para qué los usas y con quién los compartiste.
Un tercer error es confundir rectificación con supresión. Si alguien te pide que corrijas un dato, no lo borres; corrígelo. Y si te pide que lo borres, no lo corrijas; bórralo. Parecen obviedades, pero en la práctica muchas empresas hacen lo contrario porque no leyeron bien la solicitud.
Finalmente, muchas empresas no tienen un canal claro para recibir estas solicitudes. La ley exige que indiques una dirección de correo electrónico o un formulario de contacto. Si no lo haces, el titular puede enviarte la solicitud a cualquier correo de la empresa, y tú igual debes responder. Para evitar confusiones, revisa la guía completa de la Ley 21.719 y habilita un canal específico.
Cuándo puedes negarte a una solicitud
No todas las solicitudes son procedentes. Puedes negarte cuando:
- La supresión afecte una obligación legal que te exige conservar los datos.
- El tratamiento sea necesario para el cumplimiento de un contrato en el que el titular es parte.
- El tratamiento sea necesario para la formulación, ejercicio o defensa de reclamaciones.
- El titular pida portabilidad de datos que no trataste por medios automatizados o que no se basan en su consentimiento o en un contrato.
- La solicitud sea manifiestamente infundada o excesiva, especialmente por su carácter repetitivo.
Si te niegas, debes explicar por qué. Una negativa sin fundamento es una infracción. Y recuerda que el titular puede reclamar ante la Agencia si considera que tu negativa es injustificada.
Qué pasa si un heredero pide ejercer los derechos del fallecido
El artículo 4º establece que en caso de fallecimiento del titular, los derechos que reconoce la ley pueden ser ejercidos por sus herederos. Sin embargo, los herederos no pueden acceder a los datos del causante, ni solicitar su rectificación o supresión, cuando la persona fallecida lo hubiese prohibido expresamente o así lo establezca una ley.
Esto significa que si un heredero te pide acceso a los datos de su padre fallecido, debes revisar si el padre dejó alguna instrucción en contrario. Si no la dejó, puedes entregar los datos. Si la dejó, no puedes.
Preguntas frecuentes
¿Puedo cobrarle al titular por responder su solicitud?
No. El artículo 3º de la ley establece que el responsable debe facilitar al titular el acceso a la información de manera gratuita. Puedes cobrar un importe razonable si la solicitud es manifiestamente infundada o excesiva, pero en la mayoría de los casos no puedes cobrar nada.
¿Qué hago si no tengo los datos que me piden?
Responde que no tienes esos datos. Si alguien te pide acceso a información que nunca recolectaste, díselo. No inventes datos ni digas que los tienes si no es cierto. La transparencia es un principio de la ley.
¿Puedo pedirle al titular que me explique por qué pide la supresión?
Puedes pedirle que fundamente su solicitud, especialmente si no es evidente que aplique alguna de las causales del artículo 7º. Pero no puedes negarle el derecho solo porque no te gusta su razón. Si la causal se cumple, debes suprimir los datos.
¿Qué pasa si no respondo dentro del plazo?
El titular puede reclamar ante la Agencia de Protección de Datos Personales. La Agencia evaluará si tu demora fue justificada o si constituye una infracción. Si es infracción, puedes enfrentar una multa. No respondiendo no ganas nada; solo acumulas riesgo.
Siguiente paso: ordena tu proceso de respuesta antes de diciembre de 2026
La Ley 21.719 entra en vigencia el 1 de diciembre de 2026. Para esa fecha, tu empresa debe tener un proceso claro para recibir y responder solicitudes de titulares. Eso incluye un canal de contacto, un responsable que las revise, un procedimiento para autenticar identidad y un registro de las solicitudes recibidas y respondidas.
Si tu empresa aún no tiene eso, CumplePyme te entrega los documentos y el acompañamiento para ordenar el cumplimiento sin inventar desde cero. Y si prefieres entender primero qué exige la ley en detalle, el libro sobre la Ley 21.719 lo explica artículo por artículo.