Datos sensibles en la nueva Ley de Protección de Datos Personales: el mayor riesgo de cumplimiento para las empresas

 

La nueva Ley de Protección de Datos Personales en Chile eleva de manera significativa el estándar de cumplimiento para las empresas, especialmente respecto del tratamiento de datos sensibles.

Tratar este tipo de información personal, implica mayores riesgos legales, operativos y reputacionales, y será uno de los principales focos de fiscalización una vez que la ley entre plenamente en vigencia y comience a operar la Agencia de Protección de Datos Personales.

El problema no es solo cumplir la ley, sino identificar correctamente cuándo están tratando datos sensibles, en qué áreas ocurre y si cuentan con las medidas adecuadas para hacerlo de forma lícita y segura. En este artículo te ayudaremos a encontrar esas respuestas.

¿Qué se entiende por datos sensibles y por qué son críticos?

Los datos sensibles son aquellos que, por su contenido, pueden afectar de manera directa los derechos fundamentales de las personas si son mal utilizados, expuestos o tratados sin control adecuado. La ley en su artículo segundo define que se entiende por dato sensible como características físicas o morales de las personas o a hechos o circunstancias de su vida privada o intimidad, que revelen el origen étnico o racial, la afiliación política, sindical o gremial, la situación socioeconómica, las convicciones ideológicas o filosóficas, las creencias religiosas, los datos relativos a la salud, al perfil biológico humano, los datos biométricos, y la información relativa a la vida sexual, a la orientación sexual y a la identidad de género de una persona natural:

Pero en la práctica empresarial dónde y cómo se manejan ese tipo de datos, algunos ejemplos son los siguientes:

• Procesos de recursos humanos (licencias médicas, antecedentes de salud, asociación gremial).
• Bases de datos de clientes (información biométrica, hábitos, geolocalización).
• Campañas de marketing segmentado.
• Plataformas digitales que utilizan perfiles de comportamiento.
• Relaciones con proveedores tecnológicos que acceden a información crítica.

El riesgo no está solo en el uso indebido, sino en no identificar que se trata de datos sensibles y tratarlos como si fueran datos comunes.

¿Qué exige la nueva Ley de Protección de Datos Personales a las empresas?

Las empresas deben poder justificar, documentar y resguardar este tratamiento bajo criterios estrictos de licitud, necesidad y seguridad.

Esto implica, entre otros aspectos:

• Contar con autorización, específica he inequívoca) ya sea de la propia Ley o del titular del dato para tratarlo .
• Limitar su uso solo a los fines estrictamente necesarios.
• Implementar medidas de seguridad reforzadas, tanto técnicas como organizacionales.
• Mantener trazabilidad y control sobre quién accede a esta información.
• Estar preparadas para responder fiscalizaciones y solicitudes de los titulares.

Desde una mirada empresarial, el foco no está solo en cumplir formalmente, sino en demostrar cumplimiento efectivo.

¿En qué áreas de la empresa aparece el mayor riesgo?

Uno de los errores más comunes es pensar que los datos sensibles solo se manejan en áreas médicas o clínicas.
En la práctica, los principales focos de riesgo suelen estar en:

Recursos Humanos

Licencias médicas, evaluaciones psicológicas, información sobre discapacidad o salud de trabajadores. Muchas empresas almacenan esta información sin protocolos claros de acceso ni plazos de eliminación.

Marketing y E-commerce

Segmentación avanzada, uso de datos de comportamiento, geolocalización o perfiles de consumo que pueden revelar información sensible sin que la empresa lo tenga identificado como tal.

Tecnología y Proveedores

Plataformas externas, software de gestión o proveedores TI que acceden a bases de datos sensibles sin cláusulas contractuales ni controles adecuados.

Atención de clientes

Reclamos, solicitudes o interacciones donde el cliente entrega información delicada que queda registrada sin una política clara de resguardo. Y en ciertas ocasiones sin que sea necesario que se entregue dicha información.

Errores frecuentes que cometen las empresas

En nuestra experiencia, los errores más habituales son:

• No distinguir entre datos personales comunes y datos sensibles.
• Tratar datos sensibles sin una evaluación previa de riesgos.
• No ajustar contratos con proveedores que acceden a esta información.
• Carecer de protocolos internos claros para su uso y resguardo.
• Confiar únicamente en medidas tecnológicas, sin respaldo jurídico ni organizacional.

Estos errores no solo exponen a sanciones, sino que pueden generar daños reputacionales graves, especialmente en entornos digitales.

Cumplimiento estratégico: no todas las empresas necesitan lo mismo

No todas las empresas tratan datos sensibles con la misma intensidad ni con los mismos riesgos.
Por eso, el cumplimiento no puede abordarse de forma genérica.

En CZ Abogados trabajamos con un enfoque modular y escalable, que permite:

• Realizar un diagnóstico del ciclo del dato para identificar brechas reales.
• Definir qué áreas requieren ajustes prioritarios.
• Implementar medidas jurídicas, contractuales y operativas proporcionales al riesgo.
• Acompañar a la empresa en el tiempo, adaptando procesos y documentación.

Puedes obtener más información en el siguiente artículo “Protección de Datos Personales en Chile: cómo preparar a tu empresa para cumplir la Ley”

El objetivo no es sobrerregular, sino cumplir de manera inteligente y sostenible.

 

Contacto

Paulina Zamora V.
+(56 2) 289 99 389. Axo 102.
Paulina.zamora@czabogados.cl

Agenda con nuestro equipo en Agenda Reunión – CZ Abogados