Ley 21.719 para manufactura y distribución: qué le exige de verdad
Actualizado el
Si usted fabrica o distribuye, la Ley 21.719 sí le aplica, aunque venda solo a empresas. La ley protege datos de personas naturales, y usted trata muchos: contactos comerciales de clientes B2B, nómina y RRHH de planta, choferes y proveedores, cámaras en bodegas y telemetría de flotas. Lo que realmente bite: llevar el Registro de Actividades de Tratamiento (RAT), firmar un DPA (art. 15 y 24) con cada proveedor y SaaS que trate sus datos, y hacer una EIPD (art. 15 ter) cuando hay videovigilancia sistemática o tratamiento a gran escala. El mito que puede ignorar: el DPO no es obligatorio (art. 50, «podrá designar»). Rige el 1 de diciembre de 2026. Empiece por el RAT y por remediar sus contratos DPA.
«Somos B2B, no tenemos datos personales»: por qué eso es falso
Es el primer reflejo de un gerente industrial, y es equivocado. La Ley 21.719 no protege a las empresas, protege a las personas naturales. El punto es que una empresa B2B trata datos de personas todo el día, aunque no le venda a consumidores finales.
Piense en lo que realmente circula por sus sistemas: el nombre, correo y celular del jefe de compras de su cliente distribuidor; el RUT y la remuneración de cada operario de planta; la licencia y jornada de sus choferes; el contacto del ejecutivo de su proveedor de insumos. Todos son datos personales, y usted es el responsable del tratamiento respecto de ellos.
- Datos de clientes B2B y contactos comerciales: compradores, jefes de bodega, ejecutivos de cuenta que figuran en su CRM y ERP.
- RRHH y nómina industrial: liquidaciones, contratos, control de asistencia, exámenes preocupacionales, datos de salud ocupacional (categoría sensible).
- Proveedores y logística: choferes, contactos de transportistas, datos de terceros que entran a sus instalaciones.
- Telemetría, flotas e IoT: GPS de camiones, sensores que identifican al operario de un turno o a un conductor.
- Videovigilancia de plantas y bodegas: cámaras que captan rostros de trabajadores, visitas y transportistas de forma sistemática.
El RAT: su primera obligación, y la que ordena todo lo demás
El Registro de Actividades de Tratamiento es el inventario de qué datos trata, para qué, dónde viven y con quién los comparte. Es el punto de partida obligatorio: sin RAT no sabe qué proveedores necesitan DPA ni qué tratamientos gatillan una EIPD.
En una manufacturera o distribuidora el RAT rara vez es corto. Aparecen RRHH, el CRM comercial, el ERP, el WMS de bodega, la plataforma de telemetría de flota, el sistema de cámaras y cada SaaS que toque esos datos. Documentarlo bien es la mitad del cumplimiento, porque expone de un vistazo sus contratos pendientes y sus riesgos.
- Liste cada actividad con su finalidad y base de licitud (contrato laboral, interés legítimo, consentimiento).
- Marque qué datos son sensibles (salud ocupacional, datos sindicales) porque elevan el riesgo y pueden gatillar EIPD.
- Anote todo destinatario y encargado externo: ahí nacen sus DPA pendientes.
- Registre si hay transferencia internacional, típico cuando el ERP o la casa matriz están fuera de Chile.
DPA con proveedores y SaaS: la obligación que más contratos toca
Cada vez que un tercero trata datos personales por cuenta suya, ese tercero es un encargado del tratamiento y la ley exige un contrato de encargo, el DPA (art. 15 y 24). En la industria esto no es un proveedor, son decenas: el ERP en la nube, el software de RRHH y liquidaciones, el WMS de bodega, la plataforma de telemetría de flota, el proveedor de correo y CRM, el servicio de cámaras.
La mayoría de esos contratos hoy no tienen cláusula de protección de datos, o tienen una genérica que no cumple el art. 24. Remediarlos es trabajo de revisión y anexado, no de reinventar la rueda. Puede ver la diferencia entre responsable y encargado y usar un modelo de anexo DPA como base.
- Identifique del RAT todo encargado que trate datos por usted: SaaS, cloud, outsourcing de RRHH, courier con datos de destinatarios.
- Verifique que cada contrato tenga finalidad limitada, confidencialidad, medidas de seguridad, subcontratación regulada y devolución o borrado al término.
- Preste atención especial al SaaS y proveedores en el extranjero: suman transferencia internacional al problema.
- Priorice por riesgo: primero los que tratan nómina, salud ocupacional y grandes volúmenes de contactos.
EIPD: cuándo la videovigilancia y la escala la vuelven obligatoria
La Evaluación de Impacto (art. 15 ter) es obligatoria cuando el tratamiento es de alto riesgo: gran escala, datos sensibles, perfilamiento, decisiones automatizadas o videovigilancia sistemática. Dos escenarios muy comunes en manufactura y distribución la gatillan de frente.
Primero, la videovigilancia de plantas y bodegas. Un circuito de cámaras que monitorea de forma permanente a trabajadores, visitas y transportistas es tratamiento sistemático a gran escala, y suele requerir EIPD. Segundo, la telemetría de flota que sigue en tiempo real la ubicación y conducta del chofer. No hacer la EIPD cuando corresponde es infracción grave, con multas de hasta 10.000 UTM. Si quiere el detalle de los gatillos, revise cuándo se necesita una EIPD.
- Videovigilancia sistemática de personas en planta, bodega o acceso: candidata directa a EIPD.
- Telemetría y GPS de flota que identifica y evalúa la conducta del conductor de forma continua.
- Perfilamiento de clientes o scoring que decide condiciones comerciales de forma automatizada.
- Tratamiento masivo de nómina o datos de salud ocupacional a gran escala.
Transferencia internacional: casas matrices y ERP fuera de Chile
Muchas manufactureras y distribuidoras son filiales o consolidan datos en una casa matriz en el extranjero, o corren su ERP y RRHH en servidores fuera de Chile. Enviar datos personales fuera del país es transferencia internacional y necesita una garantía adecuada bajo la ley.
En diciembre de 2025 el Ministerio de Economía aprobó las Cláusulas Contractuales Modelo como mecanismo de garantía, aunque su alcance todavía se debate entre juristas. En la práctica, lo prudente es documentar cada flujo internacional en el RAT y sostenerlo con el contrato correcto, sea con la casa matriz o con el proveedor cloud. No es un trámite que se resuelva marcando una casilla.
- Reporte consolidado de ventas o RRHH a la matriz en el extranjero: transferencia internacional.
- ERP, CRM o software de nómina alojado fuera de Chile: transferencia vía el proveedor.
- Cada flujo necesita base contractual; las Cláusulas Modelo son un mecanismo, no una dispensa de documentar.
Los mitos que le van a intentar vender
El cumplimiento honesto también es saber qué no está obligado a hacer. En la venta de servicios legales y de software circulan varios mitos que inflan el costo sin base en el texto de la ley.
El más frecuente es el del DPO. Contratar un delegado de protección de datos no es obligatorio: el art. 50 dice que la empresa «podrá designar», es facultativo, y solo se vuelve exigible si usted adopta voluntariamente un Modelo de Prevención de Infracciones (art. 49). Puede leer el detalle en DPO obligatorio en Chile.
- «Necesita un DPO ya»: falso. Es facultativo (art. 50), salvo que adopte un MPI voluntario.
- «Tiene 72 horas para notificar una brecha»: no. La Ley 21.719 exige avisar «sin dilaciones indebidas»; las 72 horas son de la Ley 21.663 de ciberseguridad. Vea el mito de las 72 horas.
- «Como PYME tiene período de gracia»: no automático. La atenuación del art. sexto transitorio es facultativa de la Agencia y solo para empresas de menor tamaño.
- «Ya hay una Agencia que certifica su modelo»: aún no. La APDP no está constituida, pero las obligaciones rigen igual desde el 1 de diciembre de 2026.
Preguntas frecuentes
¿La Ley 21.719 aplica a una empresa que solo vende B2B?
Sí. La ley protege datos de personas naturales, no de empresas. Aunque su cliente sea otra empresa, usted trata datos de personas: contactos comerciales, choferes, proveedores y su propia nómina. Por eso está sujeto al RAT, a los DPA y, según el caso, a una EIPD.
¿Las cámaras de mi planta o bodega me obligan a hacer una EIPD?
Con frecuencia sí. La videovigilancia sistemática de trabajadores, visitas y transportistas es tratamiento a gran escala y suele gatillar la EIPD del art. 15 ter. No hacerla cuando corresponde es infracción grave, con multas de hasta 10.000 UTM.
¿Necesito un DPO en mi manufacturera?
No es obligatorio. El art. 50 dice que la empresa «podrá designar» un delegado, es facultativo. Solo se vuelve exigible si usted adopta voluntariamente un Modelo de Prevención de Infracciones (art. 49). No deje que se lo vendan como requisito legal.
¿Qué pasa con el ERP o el software de RRHH que corre fuera de Chile?
Es transferencia internacional de datos y necesita una garantía adecuada, típicamente un contrato con el proveedor. Además, ese proveedor es un encargado y requiere DPA. Documente el flujo en el RAT y respáldelo con el contrato correcto antes del 1 de diciembre de 2026.
¿Por dónde empiezo si no he hecho nada?
Por el RAT. El inventario de tratamientos le muestra qué proveedores necesitan DPA y qué actividades gatillan una EIPD. Con eso ordena las dos tareas pesadas: remediar contratos y evaluar la videovigilancia y la telemetría de flota.