1. Principios del Tratamiento y Bases de Licitud
La ley termina con la idea de que "lo que está en fuentes públicas se puede usar libremente" e introduce el principio de responsabilidad proactiva y demostrada (accountability).
Art. 3 Principios rectores de la protección de datos
Todo tratamiento de datos personales debe respetar los principios de licitud y lealtad, finalidad (recolectar datos solo para fines específicos, explícitos y lícitos), proporcionalidad (minimización de datos al mínimo necesario), calidad (datos exactos y actualizados), responsabilidad, seguridad, transparencia e información, y confidencialidad.
Art. 12 y 13 Bases de Licitud del Tratamiento
El tratamiento solo es lícito si cuenta con el consentimiento libre, informado, específico e inequívoco del titular, o bien si se funda en una de las causales legales: ejecución de un contrato con el titular, cumplimiento de una obligación legal, defensa de derechos ante tribunales o satisfacción de un interés legítimo del responsable (siempre que no prevalezcan los derechos del titular).
2. Derechos del Titular (ARSOP+)
Los titulares tienen derechos irrenunciables que el responsable de datos debe responder de manera gratuita dentro de un plazo legal máximo de 30 días corridos.
3. Deber de Seguridad, Reporte de Brechas y Evaluación de Impacto (EIPD)
Donde la Ley 21.719 se cruza directamente con el equipo de ciberseguridad e ingeniería TI.
Art. 14 quinquies y 14 sexies Medidas técnicas de seguridad y notificación de vulneraciones
Art. 15 ter Evaluación de Impacto en Protección de Datos (EIPD / DPIA)
Antes de iniciar un tratamiento que por su naturaleza, alcance o uso de nuevas tecnologías (como sistemas de inteligencia artificial, biometría, geolocalización masiva o tratamiento a gran escala de datos sensibles) pueda producir un alto riesgo para los derechos de las personas, el responsable debe realizar una Evaluación de Impacto en Protección de Datos.
4. Datos Personales Sensibles, Biometría y Datos de Salud
Los datos sensibles gozan de un régimen de protección reforzado y su regla general es la prohibición de tratamiento salvo consentimiento expreso o excepciones legales tasadas.
Art. 16 bis y 16 ter Datos de salud, perfil biológico humano y datos biométricos
5. Agencia de Protección de Datos, DPO y Escala de Multas
La ley crea la Agencia de Protección de Datos Personales y permite a las organizaciones adoptar un Modelo de Prevención de Infracciones con un Delegado de Protección de Datos (DPO) como atenuante de responsabilidad.
| Categoría de Infracción | Ejemplos de Incumplimiento (Art. 34 bis a 34 quáter) | Multa Legal |
|---|---|---|
| Infracciones Leves | No responder solicitudes del titular en plazo, omitir información en la política de privacidad o incumplir instrucciones generales de la Agencia que no califiquen como graves. | Amonestación escrita o multa de hasta 5.000 UTM |
| Infracciones Graves | Tratar datos sin base de licitud ni consentimiento, vulnerar el deber de seguridad o confidencialidad, omitir el reporte de brechas de seguridad a la Agencia o comunicar datos sin autorización. | Multa de hasta 10.000 UTM |
| Infracciones Gravísimas | Tratar de forma fraudulenta o maliciosa datos personales o datos sensibles/de menores, destinar datos a una finalidad ilícita o entregar información falsa en fiscalizaciones. | Multa de hasta 20.000 UTM |
| Reincidencia / Gran Escala | En caso de reincidencia en infracciones graves o gravísimas, la Agencia puede triplicar la multa o aplicar un porcentaje de los ingresos anuales en empresas de mayor tamaño. | Hasta 3 veces la multa o hasta el 2% al 4% de los ingresos anuales |