Ley 21.719: qué cambia en tu planta el 1 de diciembre

Ley 21.719: El Nuevo Marco de Protección de Datos que Impacta a tu Planta Industrial #

El 13 de diciembre de 2024, Chile publicó en el Diario Oficial la Ley 21.719, que moderniza por completo el régimen de protección de datos personales de la antigua Ley 19.628, de 1999. Entra en vigencia el 1 de diciembre de 2026 —hay un proyecto en el Senado (boletín 18.623-07) para postergarla un año, sin votar a fines de septiembre de 2026—, alinea a Chile con el estándar europeo del GDPR y representa el cambio regulatorio más profundo que las plantas industriales chilenas han enfrentado en materia de privacidad y ciberseguridad en décadas.

Si eres gerente de planta, director de operaciones o responsable de TI en una industria manufacturera, minera, alimentaria o logística en Chile, esta ley te afecta directamente. Las cámaras de videovigilancia, los sensores IoT, los sistemas de control de acceso biométrico y hasta los registros de productividad de operadores que hoy capturas quedan bajo un nuevo y estricto régimen de fiscalización. Ignorarlo no es una opción: las sanciones pueden paralizar tu operación.

¿Por qué una Ley de Datos Personales impacta a una fábrica?

Existe una percepción equivocada de que la protección de datos es un asunto exclusivo de bancos, retailers o empresas tecnológicas. Nada más lejos de la realidad. Una planta industrial moderna captura datos personales de forma masiva y continua: videovigilancia de operarios en líneas de producción, registros de acceso con huella dactilar o reconocimiento facial, geolocalización de vehículos de flota interna conducidos por trabajadores, monitoreo de productividad individual mediante sensores en estaciones de trabajo, e incluso datos de salud ocupacional capturados por wearables de seguridad. Todos estos datos ahora están protegidos por la Ley 21.719.

Los Cinco Cambios Críticos para Plantas Industriales #

1. Consentimiento Explícito e Informado

La ley reconoce cinco bases para tratar datos personales: el consentimiento libre, específico e informado, la ejecución de un contrato, una obligación legal, el interés legítimo ponderado contra los derechos del titular y la defensa de derechos. El contrato de trabajo cubre parte de lo que una planta registra, pero no todo: en cualquier caso, los operarios deben ser informados con precisión sobre qué datos se capturan (video, audio, biométricos, ubicación), con qué finalidad, por cuánto tiempo se almacenan y quién tiene acceso. El consentimiento tácito o genérico que muchas empresas incluían en contratos laborales ya no es suficiente. La Agencia de Protección de Datos Personales, creada por esta misma ley, fiscalizará que la base de cada tratamiento esté documentada.

2. Datos de Videovigilancia y Sensores IoT

Las cámaras de seguridad en líneas de producción, patios de carga y accesos capturan imágenes de trabajadores de forma continua. Bajo la Ley 21.719, estas grabaciones constituyen tratamiento de datos personales y deben cumplir con los principios de finalidad, proporcionalidad y minimización. No puedes simplemente almacenar video indefinidamente "por si acaso". Debes definir periodos de retención, controles de acceso estrictos y garantizar que las imágenes no sean accesibles para personal no autorizado. Lo mismo aplica para sensores IoT que registran patrones de movimiento o presencia humana en áreas productivas.

3. Datos Biométricos como Categoría Sensible

La ley eleva los datos biométricos (huella dactilar, reconocimiento facial, geometría de la mano) a la categoría de datos sensibles, otorgándoles una protección reforzada. Esto impacta directamente a las plantas que utilizan lectores de huella para control de acceso a áreas restringidas o sistemas de fichaje biométrico para registro de jornada laboral. El tratamiento de datos sensibles está prohibido por defecto, salvo que concurra una habilitación legal específica o el consentimiento explícito del titular.

4. Notificación Obligatoria de Brechas

Ante una vulneración de seguridad que afecte datos personales y genere un riesgo razonable, el responsable debe notificar a la Agencia por los medios más expeditos posibles y sin dilaciones indebidas. La ley no fija horas —las 72 que se repiten vienen del reglamento europeo y conviene tomarlas como meta interna—, y a los afectados hay que avisarles cuando la brecha toca datos sensibles, de menores o de obligaciones económicas. Esto aplica incluso si el ataque provino de un ransomware que encriptó servidores de videovigilancia o si un tercero no autorizado accedió a la base de datos de control de acceso de tu planta. No notificar a tiempo constituye una infracción grave con multas propias, independientes del incidente original.

5. Derechos ARCO (Acceso, Rectificación, Cancelación, Oposición)

Tus operarios y contratistas tienen ahora el derecho de solicitar acceso a todos los datos personales que tu planta almacena sobre ellos, exigir su rectificación si son incorrectos, solicitar su eliminación cuando ya no sean necesarios, y oponerse a determinados tratamientos. Tu operación debe contar con procedimientos documentados para responder a estas solicitudes en los plazos legales.

El Riesgo Real: Multas de Hasta $1.300 Millones de Pesos #

La Ley 21.719 establece un régimen sancionatorio que no existía en la legislación chilena anterior. La nueva Agencia de Protección de Datos Personales tiene la facultad de imponer multas de hasta 20.000 UTM, más de $1.300 millones de pesos chilenos, por infracciones gravísimas; a una empresa grande que reincide puede aplicarle hasta el 4 % de sus ingresos anuales. Estas sanciones se clasifican en tres niveles:

• Infracciones leves: amonestación o multa de hasta 5.000 UTM (~$325 millones)
• Infracciones graves: multa de hasta 10.000 UTM (~$650 millones)
• Infracciones gravísimas: multa de hasta 20.000 UTM (~$1.300 millones), pudiendo además ordenar la suspensión temporal del tratamiento de datos

Para ponerlo en perspectiva industrial: una infracción gravísima detectada por la Agencia —por ejemplo, filtrado masivo de grabaciones de videovigilancia de tu planta a internet por falta de medidas de seguridad— podría costarle a tu empresa más que el precio de una línea de producción completa. Y la Agencia, a diferencia de los organismos anteriores que carecían de poder real, tiene facultades fiscalizadoras, normativas y sancionatorias robustas, incluyendo la capacidad de realizar auditorías presenciales en tus instalaciones.

La Trampa del Cloud: Por Qué AWS, Azure y Google Cloud Agravan tu Riesgo #

Frente a la necesidad de cumplir con la Ley 21.719, muchas plantas industriales chilenas están cometiendo un error estratégico: migrar sus sistemas de monitoreo, videovigilancia y gestión de datos a plataformas cloud como AWS, Microsoft Azure o Google Cloud. La lógica parece razonable: "si mis datos están en servidores certificados y seguros, cumplo con la ley". Esta conclusión es incorrecta y peligrosa.

El problema radica en la transferencia internacional de datos. La Ley 21.719, siguiendo el modelo del GDPR europeo, establece que los datos personales solo pueden transferirse a países que ofrezcan un nivel de protección adecuado, determinado por la Agencia. Cuando los datos de videovigilancia de tu planta en Santiago o Antofagasta se almacenan en servidores de AWS en Virginia (EE.UU.), Azure en Dublín (Irlanda) o Google Cloud en São Paulo (Brasil), estás realizando una transferencia internacional que debe cumplir con garantías adicionales estrictas, como cláusulas contractuales tipo, normas corporativas vinculantes o certificaciones aprobadas por la Agencia.

Peor aún: muchos servicios cloud replican datos automáticamente entre regiones para garantizar alta disponibilidad. Sin darte cuenta, las imágenes de tus operarios pueden estar alojadas simultáneamente en servidores de tres continentes distintos, cada uno bajo jurisdicciones legales diferentes y potencialmente accesibles a autoridades extranjeras (como la Cloud Act de Estados Unidos, que permite al gobierno estadounidense solicitar datos almacenados por empresas americanas incluso si están fuera de su territorio).

El edge computing es la respuesta técnica y legal a este problema. Procesar los datos donde se generan —dentro de los límites físicos de tu planta— elimina de raíz la transferencia internacional, mantiene la jurisdicción de los datos bajo ley chilena y simplifica radicalmente tu obligación de cumplimiento normativo.

Dónde entra iGromi (y dónde no) #

Ningún software hace que una planta cumpla la Ley 21.719: eso depende de la base de cada tratamiento, de los avisos a los trabajadores, de los plazos de retención y de los procedimientos que define la empresa. Lo que una arquitectura sí cambia es cuántos datos personales salen de la planta.

Video procesado en la planta

El Edge de iGromi se instala en la planta y procesa ahí las cámaras que ya existen. De cada imagen extrae el evento que interesa —una unidad contada, una detención, un conteo de personas en una zona— sin que el video crudo tenga que viajar a la nube para obtenerlo.

Qué sí sale, y por qué

Los eventos, no las imágenes, alimentan los indicadores. Cuando alguien le pregunta a la IA, el contexto y la memoria de la planta se quedan en el motor de iGromi; al modelo le llega la pregunta con lo necesario para responderla. Decir «nada sale de la planta» sería falso, y ese es el tipo de afirmación que conviene exigirle por escrito a cualquier proveedor.

Checklist de Cumplimiento para Gerentes de Planta #

Si estás leyendo esto desde una planta industrial en Chile, aquí tienes un checklist inmediato de acciones para prepararte antes de que la Agencia comience sus fiscalizaciones activas:

1. Mapeo de Datos Personales: Identifica todos los flujos de datos personales en tu planta: cámaras de vigilancia, sensores IoT que capturan presencia humana, sistemas de acceso biométrico, registros de productividad por operador, GPS de flota interna, wearables de seguridad. Documenta dónde se originan, dónde se almacenan y quién tiene acceso.
2. Base Legal del Tratamiento: Verifica que cada tratamiento de datos personales tenga una base legal clara (consentimiento, obligación legal, interés legítimo). Actualiza los avisos de privacidad y obtén consentimientos explícitos donde corresponda.
3. Evaluación de Transferencias Internacionales: Si utilizas servicios cloud (AWS, Azure, Google Cloud, OVH, etc.), determina exactamente en qué jurisdicciones se almacenan tus datos y si esa transferencia cumple con las garantías exigidas por la ley.
4. Políticas de Retención: Define y documenta períodos máximos de almacenamiento para cada categoría de dato personal. Implementa mecanismos automáticos de eliminación o anonimización al cumplirse dichos plazos.
5. Plan de Respuesta a Brechas: Establece un procedimiento documentado que te permita detectar, contener, evaluar y notificar cualquier vulneración de seguridad a la Agencia sin dilaciones indebidas; fija 72 horas como meta interna.
6. Procedimiento de Derechos ARCO: Diseña y comunica canales accesibles para que los titulares ejerzan sus derechos de acceso, rectificación, cancelación y oposición. Asigna responsables internos con plazos de respuesta definidos.
7. Infraestructura Edge-First: Evalúa migrar el procesamiento y almacenamiento de datos sensibles a una arquitectura local de Edge Computing que mantenga la soberanía de datos dentro de tu planta, eliminando riesgos de transferencia internacional y simplificando radicalmente el cumplimiento normativo.

Conclusión: Cumplimiento Normativo como Ventaja Competitiva #

La Ley 21.719 no es una carga burocrática más; es una oportunidad para que las plantas industriales chilenas revisen su arquitectura de datos y reduzcan cuántos datos personales mueven sin necesidad. Las empresas que actúen ahora —mapeando sus datos, fijando plazos de retención y procesando en la planta lo que no necesita salir— no solo reducirán su exposición a multas, sino que construirán una ventaja competitiva en confianza y resiliencia operacional frente a competidores que sigan dependiendo de infraestructura cloud con riesgos legales no resueltos.

La Agencia de Protección de Datos comenzará sus funciones con plenas facultades el 1 de diciembre de 2026. El momento de preparar tu planta es ahora, antes de que la fiscalización toque a tu puerta.