Ley 21.719 en el sector público: municipios y servicios del Estado

El registro social de hogares. La base de patentes comerciales. El listado de beneficiarios de un programa social. Las cámaras de televigilancia municipal. El convenio de interoperabilidad con otro servicio. La ficha del consultorio.

El Estado es el mayor tratante de datos personales del país, y la Ley 21.719 le aplica con una lógica propia: la base de licitud no es el consentimiento, sino la competencia legal. Un órgano público puede tratar datos sin pedir permiso, pero solo dentro de lo que una ley expresamente le faculta a hacer.

Los siete pilares, aterrizados a tu realidad

Estos son los siete frentes que evalúa la ley, con lo que significa cada uno en tu sector concreto.

1. Bases de licitud y consentimiento

En tu caso: Los órganos del Estado pueden tratar datos sin consentimiento solo cuando actúan dentro de las competencias que una ley les asigna expresamente.

Revisa tus formularios de contacto, fichas de ingreso y contratos. Agrega siempre una casilla desmarcada por defecto, con un enlace que explique para qué usarás la información.

2. Deber de información y transparencia

En tu caso: Los órganos públicos deben publicar de forma destacada, en su banner de Transparencia Activa, el listado de registros de datos que manejan y su marco legal habilitante.

Tu política debe estar a un clic desde el pie de página y escribirse pensando en una persona común, no en un tribunal.

3. Ejercicio de derechos ARCOP

En tu caso: La respuesta debe constar en una resolución administrativa firmada por el jefe superior del servicio, fundando legalmente cualquier denegación total o parcial.

Crea una casilla del tipo privacidad@tuinstitucion.cl y designa a alguien con un procedimiento escrito: cómo verificar la identidad de quien solicita, dónde buscar los datos y con qué formato responder.

4. Medidas de seguridad y reporte de brechas

En tu caso: Los órganos públicos deben seguir las directrices del CSIRT de Gobierno y los estándares de ciberseguridad estatales vigentes.

Inventaria quién tiene acceso a qué. El error más común es que ex trabajadores conserven acceso activo a carpetas en la nube con RUT y correos de clientes.

5. Datos sensibles, biometría y menores

En tu caso: El Estado solo puede recolectar datos sensibles cuando una ley expresa lo faculta para ello en el marco de sus políticas de asistencia o salud pública.

Pregúntate si es indispensable capturar la huella o el rostro, o si un sistema de tarjeta o código QR resuelve lo mismo con mucho menos riesgo legal.

6. Proveedores y encargados de tratamiento

En tu caso: Los convenios de interoperabilidad entre servicios, ministerios o municipalidades deben formalizarse mediante actos administrativos específicos.

Exige a tus proveedores sus certificaciones de seguridad y firma con cada uno un anexo de protección de datos que limite el uso de la información.

7. Gobernanza: delegado y modelo de prevención

En tu caso: En el sector público cada servicio debe asignar responsabilidades claras de control interno para responder a las auditorías de la Agencia.

Aunque tu organización sea mediana, nombra a un directivo que coordine privacidad. Demostrar gobernanza ante una fiscalización reduce mucho la exposición.

Cuatro diferencias con el sector privado

• La base de licitud es la competencia legal. Tratar datos «porque son útiles» o «porque siempre se ha hecho» no es una base válida. Hay que poder señalar la norma que habilita.
• La respuesta a un titular es un acto administrativo. No basta un correo: la resolución debe estar fundada y firmada por el jefe superior del servicio, sobre todo si se deniega total o parcialmente.
• La responsabilidad es personal del jefe de servicio. En el sector público la exposición no se canaliza por multas a la institución, sino por procedimientos disciplinarios sobre quien encabeza el servicio.
• La transparencia activa suma una obligación. Los registros de datos que maneja el organismo y su marco legal habilitante deben publicarse de forma destacada.

Convenios entre servicios: donde se concentra el riesgo

La interoperabilidad entre ministerios, municipios y servicios es hoy una práctica corriente, y es también donde más se cruza la línea. Compartir una base porque «el otro servicio la necesita» no basta: cada transferencia requiere un acto administrativo específico que identifique la finalidad, la base legal, los datos comprendidos y el plazo.

Un convenio marco genérico firmado hace años difícilmente resiste el estándar nuevo.

Ciberseguridad: dos normativas que conviven

Los órganos del Estado deben cumplir simultáneamente la Ley 21.719 y el marco de ciberseguridad, incluidas las directrices del CSIRT de Gobierno. En la práctica eso juega a favor: buena parte de las medidas técnicas que exige una ya sirven para la otra, siempre que se documenten como corresponde.

Prioridades para un servicio público

1. Levanta el registro de actividades de tratamiento y, para cada una, identifica la norma que te habilita.
2. Publica ese registro en tu banner de transparencia activa, con su marco legal.
3. Revisa los convenios de interoperabilidad vigentes y formaliza los que no tengan acto administrativo específico.
4. Define el procedimiento interno para responder solicitudes de titulares mediante resolución fundada, dentro de los 30 días corridos.
5. Asigna responsabilidades claras de control interno: la Agencia va a auditar, y la trazabilidad es la defensa.

¿Prefieres entender antes la ley completa? Lee la guía general de la Ley 21.719.

Este contenido tiene carácter divulgativo y no constituye asesoría jurídica para un caso concreto.