Tu empresa usa Google Workspace, Salesforce, Mailchimp o cualquier herramienta con servidores fuera de Chile. Eso significa que estás transfiriendo datos personales al extranjero. La Ley 21.719 regula esas transferencias y exige que existan garantías adecuadas antes de enviar información. El problema: casi ninguna pyme revisa esas garantías al contratar el servicio.
Este artículo es un checklist de decisión para quien ya usa herramientas extranjeras sin haber firmado nada específico sobre protección de datos. Te explico qué dice la ley, qué debes revisar en el contrato o en las condiciones del proveedor, y qué hacer si no encuentras ninguna cláusula que te ampare.
Qué es una transferencia internacional de datos según la ley
Transferencia internacional es cualquier comunicación, envío o acceso a datos personales que permita que un responsable o un tercero fuera de Chile los trate. No importa si el dato viaja por un cable, se replica en un servidor o simplemente queda disponible para consulta desde otro país.
Ejemplos concretos: almacenar correos en Gmail, subir facturas con RUT de clientes a Dropbox, usar un CRM con servidores en Estados Unidos, enviar campañas de email marketing desde una plataforma europea. Todas son transferencias.
La ley no prohíbe transferir datos al extranjero. Lo que exige es que exista una base legal para hacerlo y que el titular esté protegido en destino con garantías similares o superiores a las que ofrece Chile.
Cuándo se puede transferir datos personales fuera de Chile
La Ley 21.719 establece tres caminos principales para que una transferencia sea lícita. El primero: que el país de destino tenga un nivel adecuado de protección de datos personales. La Agencia de Protección de Datos Personales mantendrá un listado público de países considerados adecuados, pero ese listado aún no existe.
El segundo camino: que la transferencia quede amparada por cláusulas contractuales, normas corporativas vinculantes u otros instrumentos jurídicos entre el responsable que transfiere y quien recibe los datos, y que en esos instrumentos se establezcan garantías adecuadas. La Agencia puede aprobar cláusulas modelo para facilitar este proceso.
El tercer camino: que el responsable que transfiere y quien recibe adopten un modelo de cumplimiento o mecanismo de certificación que establezca garantías adecuadas.
Fuera de estos tres caminos, existen excepciones puntuales: consentimiento expreso del titular para una transferencia específica, transferencias bancarias o financieras reguladas, cumplimiento de tratados internacionales, convenios de cooperación entre órganos públicos, autorización expresa de una ley para una finalidad determinada, colaboración judicial internacional, ejecución de un contrato con el titular, o medidas urgentes en materia médica o sanitaria.
Qué son las garantías adecuadas y cómo reconocerlas
La ley define garantías adecuadas como aquellos instrumentos, mecanismos o cláusulas que contengan principios, derechos y garantías similares o mayores a los que ofrece la Ley 21.719. En particular, deben otorgar derechos exigibles y acciones legales efectivas a los titulares de los datos.
Un país se considera adecuado si su ordenamiento cumple cuatro condiciones: establece principios que rigen el tratamiento de datos personales, reconoce y garantiza los derechos de los titulares y cuenta con una autoridad de control, impone obligaciones de información y seguridad a los responsables, y determina responsabilidades en caso de infracciones.
Cuando revises un contrato o las condiciones de servicio de un proveedor extranjero, busca si menciona alguno de estos elementos: compromisos de seguridad, derechos del titular, autoridad de supervisión en el país de destino, obligaciones de notificación de brechas, límites al uso de los datos, y posibilidad de reclamar ante una autoridad o tribunal.
Checklist: qué revisar antes de contratar un servicio en la nube
Antes de firmar o seguir usando un servicio que almacena o procesa datos personales fuera de Chile, revisa estos puntos en orden:
Dónde están los servidores y quién accede a los datos
Pregunta al proveedor en qué países se almacenan los datos y desde dónde pueden ser accedidos por su personal de soporte. Algunos servicios replican la información en varios países; otros permiten elegir la región. Si el proveedor no puede responder esta pregunta o dice «en la nube», eso no es suficiente.
Si el país de destino está en el listado de países adecuados
Una vez que la Agencia publique el listado de países adecuados, verifica si el país del proveedor aparece. Si está, la transferencia es lícita sin necesidad de cláusulas adicionales. Si no está, necesitas garantías contractuales.
Qué dicen las cláusulas sobre protección de datos
Busca en el contrato o en las condiciones de servicio una sección sobre protección de datos personales, privacidad o cumplimiento normativo. Lee si el proveedor se compromete a cumplir con alguna norma de protección de datos (GDPR europeo, leyes de Estados Unidos, ISO 27701) y si reconoce derechos al titular.
Si no hay ninguna cláusula sobre protección de datos, el contrato no ofrece garantías adecuadas. Eso no significa que el servicio sea malo: significa que legalmente no puedes transferir datos personales sensibles sin exponer a tu empresa a una infracción.
Si puedes agregar cláusulas contractuales al contrato
Algunos proveedores permiten firmar un anexo de procesamiento de datos (Data Processing Agreement o DPA). Ese anexo establece las obligaciones del proveedor como encargado de tratamiento y puede incluir cláusulas modelo aprobadas por autoridades de protección de datos.
Si el proveedor ofrece un DPA, revisa que incluya: finalidad del tratamiento, tipos de datos que se transferirán, obligaciones de seguridad, plazo de conservación, derechos del titular, notificación de brechas, y posibilidad de auditar el cumplimiento.
Si el proveedor tiene certificaciones de seguridad o cumplimiento
Certificaciones como ISO 27001, ISO 27701, SOC 2 o el esquema de certificación del GDPR europeo son indicios de que el proveedor aplica medidas de seguridad y cumplimiento. No reemplazan las cláusulas contractuales, pero refuerzan la protección.
Si necesitas consentimiento expreso del titular para esta transferencia
Si no hay país adecuado, ni cláusulas contractuales, ni certificación, y la transferencia no cae en ninguna de las excepciones legales, necesitas consentimiento expreso del titular para realizar una transferencia específica y determinada. Eso significa informar al titular que sus datos se enviarán al extranjero, a qué país, para qué finalidad, y pedirle autorización explícita.
El consentimiento no sirve para transferencias habituales o masivas: solo para casos puntuales. Si tu negocio depende de un servicio extranjero, el consentimiento no es una solución sostenible.
Qué hacer si ya usas un servicio sin garantías adecuadas
Si ya estás usando un servicio en la nube y descubres que no tiene cláusulas de protección de datos ni está en un país adecuado, tienes tres opciones.
Primera: contacta al proveedor y pide un DPA o un anexo de protección de datos. Muchos proveedores grandes lo tienen disponible pero no lo ofrecen automáticamente.
Segunda: evalúa si puedes migrar a un proveedor que ofrezca servidores en Chile o en un país adecuado, o que tenga cláusulas contractuales claras. La migración tiene costo, pero también lo tiene una multa de la Agencia.
Tercera: si la herramienta es crítica y no puedes cambiarla, documenta el riesgo en el Registro de Actividades de Tratamiento, implementa medidas compensatorias (cifrado, anonimización, acceso restringido) y prepara un plan de migración para antes de diciembre de 2026.
Lo que no puedes hacer es seguir usando el servicio como si nada. La Agencia puede fiscalizar las operaciones de transferencia internacional de datos, formular recomendaciones, adoptar medidas conservativas y, en casos calificados, suspender temporalmente el envío de los datos.
Transferencia dentro de un grupo empresarial: reglas especiales
Cuando la transferencia se efectúa entre sociedades o entidades que pertenecen a un mismo grupo empresarial, empresas relacionadas o sujetas a un mismo controlador en los términos de la Ley de Mercado de Valores, y todas operan bajo los mismos estándares y políticas en materia de tratamiento de datos personales, la ley permite aplicar normas corporativas vinculantes.
Esas normas deben establecer garantías adecuadas y ser aplicables a todas las entidades del grupo. No es suficiente con que la matriz tenga una política de privacidad: todas las filiales deben cumplirla y el titular debe poder reclamar en cualquiera de ellas.
Qué pasa si usas inteligencia artificial con datos en la nube
Si usas herramientas de inteligencia artificial que procesan datos personales en servidores extranjeros (ChatGPT, Claude, sistemas de análisis predictivo), aplican las mismas reglas de transferencia internacional. Además, debes cumplir con las obligaciones sobre decisiones automatizadas si el sistema afecta al titular.
Muchas empresas usan IA sin darse cuenta de que están transfiriendo datos. Un ejemplo: subir una base de clientes a una plataforma de IA para segmentar campañas. Eso es una transferencia internacional si el proveedor está fuera de Chile, y necesita garantías adecuadas.
Si quieres usar IA sin exponer datos personales a terceros, revisa las opciones en automatizar con IA sin exponer datos personales.
Preguntas frecuentes
¿Puedo usar Google Workspace o Microsoft 365 sin infringir la ley?
Sí, siempre que firmes el acuerdo de procesamiento de datos que ambos proveedores ofrecen. Ese acuerdo incluye cláusulas contractuales estándar aprobadas por autoridades de protección de datos y establece garantías adecuadas. Sin ese acuerdo firmado, la transferencia no cumple con la ley.
¿Qué pasa si el proveedor no quiere firmar un DPA?
Si el proveedor se niega a firmar un anexo de protección de datos y no está en un país adecuado, no puedes transferir datos personales a través de ese servicio sin exponerte a una infracción. Busca un proveedor alternativo o implementa medidas de anonimización antes de enviar los datos.
¿El cifrado de datos es suficiente para cumplir con la ley?
El cifrado es una medida de seguridad importante, pero no reemplaza las garantías contractuales. La ley exige que el titular tenga derechos exigibles y acciones legales efectivas en el país de destino. El cifrado protege la confidencialidad, pero no otorga derechos al titular.
¿Cuánto tiempo tengo para regularizar las transferencias que ya hago?
La Ley 21.719 entra en vigencia el 1 de diciembre de 2026. Desde esa fecha, todas las transferencias internacionales deben cumplir con las exigencias de la ley. Si hoy usas servicios sin garantías adecuadas, tienes hasta esa fecha para firmar los acuerdos necesarios, migrar a otro proveedor o implementar medidas compensatorias.
Siguiente paso: ordena el cumplimiento antes de diciembre de 2026
Revisar las transferencias internacionales de datos es una parte del cumplimiento de la Ley 21.719. También necesitas el Registro de Actividades de Tratamiento, políticas de privacidad actualizadas, procedimientos para responder solicitudes de titulares y un plan de notificación de brechas. Si quieres ordenar todo eso en un solo lugar, revisa CumplePyme, el paquete de cumplimiento de MenteGlobal para empresas chilenas. Si prefieres una revisión personalizada, escribe a contacto.