Ley 21.719 en Recursos Humanos: cómo tratar los datos de tus trabajadores
Sí. La Ley 21.719 aplica a todos los datos de trabajadores que gestiona Recursos Humanos: identificación, remuneraciones, evaluaciones de desempeño, datos de salud y afiliación sindical. La clave está en la base de licitud: la mayoría de estos tratamientos no requiere consentimiento, porque se apoyan en la ejecución del contrato de trabajo o en una obligación legal del empleador, como el pago de cotizaciones. Pedir consentimiento donde la relación laboral es desigual suele ser un error. Cuidado especial con los datos sensibles: la afiliación sindical, la salud y la situación socioeconómica exigen reglas más estrictas, y su tratamiento a escala puede gatillar una EIPD bajo el art. 15 ter. Recuerde además que su software de RRHH necesita un contrato de encargo (DPA), y que no hacer la EIPD cuando corresponde es infracción grave, con multas de hasta 10.000 UTM. La ley rige desde el 1 de diciembre de 2026.
El art. 2 de la Ley 21.719 clasifica como datos sensibles, entre otros, la afiliación sindical y la situación socioeconómica, lo que somete su tratamiento en RRHH a reglas reforzadas.
Qué datos de trabajadores entran en la ley
Recursos Humanos es, probablemente, el área que más datos personales concentra en cualquier empresa. La Ley 21.719, que reforma la antigua Ley 19.628 y entra en vigencia el 1 de diciembre de 2026, no distingue entre el dato de un cliente y el de un trabajador: ambos son datos personales y quedan bajo las mismas reglas.
En la práctica, RRHH trata al menos estas categorías:
- Identificación y contacto: RUT, domicilio, correo, teléfono, datos familiares para asignación familiar.
- Remuneraciones y datos financieros: sueldo, bonos, descuentos, cuenta bancaria, embargos, anticipos.
- Evaluaciones de desempeño, resultados de assessment, feedback y planes de mejora.
- Salud: licencias médicas, exámenes preocupacionales, mutual, aptitud para el cargo.
- Afiliación sindical, permisos gremiales y descuentos por cuota sindical.
- Datos de postulantes: CVs, referencias, pruebas psicolaborales, antecedentes.
| Dato en RRHH | Base de licitud habitual | ¿Sensible? |
|---|---|---|
| Remuneraciones y liquidaciones | Ejecución del contrato / obligación legal | No |
| Cotizaciones previsionales y de salud | Obligación legal | No |
| Evaluaciones de desempeño | Ejecución del contrato / interés legítimo | No |
| Datos de salud y licencias médicas | Obligación legal | Sí |
| Afiliación sindical | Obligación legal (fuero, permisos) | Sí |
| Situación socioeconómica | Consentimiento u obligación legal según el caso | Sí |
Remuneraciones y evaluaciones: por qué casi nunca pides consentimiento
Un error común es creer que necesitas el consentimiento del trabajador para todo. No es así, y de hecho apoyarse en el consentimiento suele ser la opción más débil dentro de una relación laboral, porque la ley exige que sea libre, y cuesta sostener que un trabajador puede negarse libremente a que su empleador procese su sueldo.
Pagar remuneraciones, retener cotizaciones, emitir liquidaciones o cumplir con la Dirección del Trabajo se apoya en el contrato de trabajo y en obligaciones legales del empleador, no en el consentimiento. Lo mismo ocurre con las evaluaciones de desempeño ligadas a la gestión del contrato.
Esto no te exime de nada: sigues obligado a informar al trabajador qué datos tratas y para qué, a tratar solo lo necesario para cada finalidad y a no reutilizar esos datos para fines distintos sin una base que lo permita. Usar las evaluaciones de desempeño para, por ejemplo, alimentar un modelo automatizado que decida despidos es un cambio de finalidad que hay que analizar con cuidado.
Afiliación sindical, salud y situación socioeconómica: datos sensibles
Tres tipos de datos que RRHH maneja a diario tienen un estatus especial: son datos sensibles y la ley los protege con más fuerza.
La afiliación sindical es dato sensible. El descuento de la cuota sindical en la liquidación, los permisos gremiales o la sola pertenencia a un sindicato revelan esa afiliación. La salud es sensible: licencias, diagnósticos, exámenes preocupacionales y datos de la mutualidad. Y la situación socioeconómica también es dato sensible en Chile, algo que sorprende a muchos equipos de RRHH, porque toca información como embargos, deudas descontadas por planilla o beneficios asistenciales.
La consecuencia práctica es doble. Primero, estos datos exigen mayor cuidado: acceso restringido a quien realmente los necesita, no dejarlos circulando en planillas Excel compartidas ni en correos. Segundo, el tratamiento a gran escala de datos sensibles es justamente uno de los supuestos que obliga a hacer una EIPD. Si eres una empresa mediana o grande, tu nómina completa con datos de salud y situación socioeconómica es tratamiento sensible a escala.
Selección de personal: consentimiento y borrado de CVs no seleccionados
El reclutamiento sí es un terreno donde el consentimiento cobra sentido, sobre todo con postulantes que aún no tienen relación contractual contigo. Cuando alguien te envía su CV para una vacante, consiente que uses esos datos para ese proceso. Ese consentimiento tiene límites: es para esa búsqueda, no para guardarlo indefinidamente ni para pasárselo a otra empresa del grupo sin avisar.
Aquí aparece el punto que casi nadie tiene resuelto: los CVs de candidatos no seleccionados. La ley funciona con el principio de finalidad. Terminado el proceso, la finalidad se cumplió y ya no tienes base para conservar esos datos de forma indefinida.
No existe un plazo fijo en la ley que diga 'guarde los CV por X meses'. Lo que la ley te pide es definir un plazo razonable y justificable, informarlo al candidato y, cumplido ese plazo, borrar. Si quieres mantener a un buen candidato en una base de talento para futuras búsquedas, eso es una finalidad nueva y necesitas su consentimiento explícito para ese uso, no basta con el CV original.
- Define un plazo de conservación de CVs no seleccionados y déjalo por escrito.
- Informa ese plazo y esa finalidad en el aviso de postulación o al recibir el CV.
- Si quieres crear una base de talento, pide consentimiento separado para ese uso.
- Cumplido el plazo, elimina de verdad, incluidos correos y carpetas compartidas.
Tu software de RRHH: por qué necesita un DPA y puede gatillar una EIPD
Casi ningún equipo de RRHH procesa la nómina a mano. Usan un software de remuneraciones, una plataforma de reclutamiento, un sistema de evaluación de desempeño o un portal del trabajador, y muchas de esas herramientas son SaaS, a menudo con servidores fuera de Chile.
Cada uno de esos proveedores trata datos personales de tus trabajadores por cuenta tuya. En el lenguaje de la ley, tú eres el responsable y ellos son encargados del tratamiento. Esa relación debe estar regulada por un contrato de encargo, el DPA. La brecha más común hoy no es la política de privacidad del sitio, sino justamente la ausencia de DPA con estos proveedores. Muchas empresas descubren que su sistema de remuneraciones o su ATS de reclutamiento nunca firmó uno.
Si tu proveedor no te entrega un DPA firme, puedes exigirlo con un modelo de anexo DPA para proveedores y anexarlo al contrato vigente.
Además, por el volumen y la sensibilidad de lo que hay dentro, el software de RRHH suele ser el sistema que empuja a la empresa por sobre el umbral de la EIPD. Nómina completa, datos de salud, situación socioeconómica y, cada vez más, scoring o filtros automatizados de candidatos son exactamente los supuestos del art. 15 ter. Si tienes dudas de si te aplica, parte por revisar si necesitas una EIPD y, si la respuesta es sí, un servicio como EIPD Express la resuelve como entregable fijo.
Preguntas frecuentes
¿Necesito el consentimiento del trabajador para tratar sus datos?
En la mayoría de los casos, no. Pagar remuneraciones, retener cotizaciones, gestionar el contrato y cumplir obligaciones laborales se apoya en el contrato de trabajo y en obligaciones legales, no en el consentimiento. El consentimiento cobra sentido en situaciones específicas, como conservar el CV de un candidato para futuras búsquedas o usos que van más allá de la relación laboral. Sí debes siempre informar qué datos tratas y para qué.
¿La afiliación sindical es un dato sensible?
Sí. La afiliación sindical es dato sensible en Chile, igual que la salud y la situación socioeconómica. Esto significa acceso restringido, más cuidado en su tratamiento y, si lo tratas a gran escala como parte de tu nómina, es uno de los supuestos que puede obligarte a hacer una EIPD.
¿Cuánto tiempo puedo guardar los CV de candidatos no seleccionados?
La ley no fija un número exacto de meses. Aplica el principio de finalidad: terminado el proceso de selección, la finalidad se cumplió y no tienes base para conservarlos de forma indefinida. Debes definir un plazo razonable, justificarlo, informarlo al candidato y borrar al cumplirse. Mantener una base de talento para futuras búsquedas es una finalidad nueva que requiere consentimiento explícito.
¿Mi sistema de remuneraciones o de reclutamiento necesita un DPA?
Sí, si es un proveedor externo que trata datos de tus trabajadores por cuenta tuya. Tú eres el responsable y el proveedor es encargado del tratamiento, y esa relación debe regularse con un contrato de encargo (DPA). La falta de DPA con proveedores SaaS es la brecha más frecuente. Puedes exigirlo con un modelo de anexo y adjuntarlo al contrato vigente.