Ley 21.719 para servicios financieros, fintech y prestamistas
Actualizado el
Para bancos, fintech, cooperativas de ahorro y crédito y cualquier prestamista, la Ley 21.719 tiene una novedad chilena que cambia todo: la situación socioeconómica se trata como dato sensible. Como el scoring crediticio, el perfilamiento y las decisiones automatizadas de otorgamiento usan exactamente esa categoría, y operan a gran escala, la EIPD del art. 15 ter deja de ser opcional y pasa a ser casi siempre obligatoria. Además, el art. 8 bis da al titular derecho a no quedar sujeto a decisiones basadas solo en tratamiento automatizado y a pedir explicación. Lo concreto: documente su scoring, firme DPA con bureaus y proveedores de datos, revise las transferencias a cores bancarios en la nube y haga la EIPD antes del 1 de diciembre de 2026.
La novedad chilena: la situación socioeconómica es dato sensible
El GDPR europeo no lista la situación económica como categoría especial. La Ley 21.719 sí. Su definición de datos sensibles incluye expresamente la situación socioeconómica de la persona. Para el resto de los sectores esto es un detalle. Para servicios financieros es el centro del problema, porque el negocio consiste precisamente en evaluar la capacidad de pago, el riesgo y el endeudamiento de cada solicitante.
La consecuencia es directa. Un score de crédito, un modelo de riesgo, una segmentación de clientes por ingresos o un motor de aprobación de préstamos tratan datos sensibles a gran escala. Ese solo hecho activa varios de los gatillos de la EIPD del art. 15 ter al mismo tiempo: datos sensibles, gran escala, perfilamiento y decisiones automatizadas. No es que uno pueda aplicar, es que aplican varios juntos.
- Score y bureau de crédito: situación socioeconómica, sensible por definición legal.
- Segmentación por ingresos o tramos de renta para ofertas: perfilamiento sobre dato sensible.
- Modelos de riesgo y cobranza: tratamiento a gran escala de la misma categoría.
Por qué la EIPD es casi siempre obligatoria en este sector
La EIPD es la Evaluación de Impacto en la Protección de Datos del art. 15 ter. No hacerla cuando corresponde es una infracción, no un descuido menor. En servicios financieros la pregunta rara vez es si aplica, sino sobre qué procesos aplica primero.
No repetimos aquí la lista completa de gatillos; la resumimos: alto riesgo, gran escala, datos sensibles, perfilamiento, decisiones automatizadas o videovigilancia sistemática. El detalle está en EIPD y Ley 21.719. El punto para una fintech, un banco o una cooperativa es que su operación típica marca varias de esas casillas a la vez, así que planificar la EIPD como obligatoria es lo prudente. Si duda de un proceso puntual, revise ¿necesito una EIPD?.
Decisiones automatizadas y el derecho a explicación
El otorgamiento automático de un crédito, el rechazo por score, el cálculo de un cupo o una tasa sin intervención humana caen dentro de las decisiones automatizadas que la ley regula. El titular tiene derecho a no quedar sujeto a una decisión basada únicamente en el tratamiento automatizado de sus datos cuando esta le produzca efectos jurídicos o lo afecte significativamente, y a solicitar la intervención humana y una explicación.
En la práctica esto obliga a tres cosas operativas. Primero, poder describir qué variables usa el modelo y con qué peso general, sin necesidad de revelar el algoritmo completo. Segundo, tener un canal donde la persona rechazada pida revisión por una persona real. Tercero, dejar registro de esa lógica en la EIPD y en el registro de actividades. Diseñar el flujo de aprobación pensando en que habrá que explicarlo es más barato que reconstruirlo después de una reclamación.
- Documente las variables del score y su racionalidad, no el secreto del modelo entero.
- Habilite intervención humana y explicación ante un rechazo o un cupo denegado.
- Registre la lógica de la decisión automatizada en la EIPD y en el registro de actividades.
DPA con bureaus, proveedores de datos y prestadores tecnológicos
Casi ningún prestamista trata los datos solo. Consulta bureaus de crédito, compra enriquecimiento de datos, usa proveedores de verificación de identidad, motores antifraude y plataformas de scoring de terceros. Cada uno de esos actores es un encargado o un tercero, y cada relación necesita un contrato de encargo de tratamiento que fije finalidad, medidas de seguridad, subencargados y devolución o eliminación de datos.
Aquí conviene distinguir un matiz que muchos contratos actuales ignoran: cuándo el bureau actúa como encargado suyo y cuándo como responsable propio con su propia base legal. Esa diferencia cambia qué cláusulas necesita. La distinción está explicada en responsable vs encargado, y el modelo de anexo para proveedores en modelo de anexo DPA. Si su cartera de proveedores es grande, el pack de remediación DPA ordena todos los contratos a la vez.
- Un DPA por cada bureau, proveedor de enriquecimiento, verificador de identidad y motor antifraude.
- Cláusulas de subencargados: su core y su antifraude suelen apoyarse en subproveedores en la nube.
- Revise si el bureau es su encargado o un responsable con base legal propia antes de copiar plantillas.
Transferencia internacional: cores bancarios y scoring en la nube
Muchos cores bancarios, plataformas de originación, motores de decisión y data lakes de riesgo corren en nubes con procesamiento fuera de Chile. Eso es una transferencia internacional de datos, y sobre datos sensibles socioeconómicos exige un mecanismo de garantía, no una simple cláusula de estilo en el contrato.
En diciembre de 2025 el Ministerio de Economía aprobó las Cláusulas Contractuales Modelo (RAEX202503748) como uno de esos mecanismos. Su alcance está en debate entre juristas, y algunos sostienen que la competencia para fijarlas sería de la futura Agencia. Lo sensato hoy es mapear a qué país sale cada flujo, apoyarse en el mecanismo de garantía disponible y documentar la decisión en la EIPD, para no depender de una interpretación única. El detalle práctico para SaaS extranjeros está en datos en proveedores SaaS extranjeros.
Qué es obligatorio y qué no, sin sobreventa
Conviene separar lo exigible de lo que a veces se vende como obligatorio y no lo es. El delegado de protección de datos, o DPO, no es obligatorio: el art. 50 dice que la empresa podrá designarlo, y solo se vuelve exigible si adopta voluntariamente un Modelo de Prevención de Infracciones. Lo tratamos en ¿es obligatorio el DPO?.
Sobre brechas, la Ley 21.719 no fija un plazo de 72 horas. Exige notificar sin dilaciones indebidas. Las 72 horas son de la Ley 21.663 de ciberseguridad, aplicable a operadores de importancia vital que reportan al CSIRT, y muchos actores financieros lo son por otra vía, pero no confunda ambos deberes. El mito está desarmado en cómo notificar una brecha. La plena vigencia es el 1 de diciembre de 2026, sin período de gracia automático para empresas grandes.
- DPO: no obligatorio por defecto (art. 50), salvo que adopte un Modelo de Prevención de Infracciones.
- Brechas: sin dilaciones indebidas por la Ley 21.719; las 72h son de la Ley 21.663 de ciberseguridad.
- Sanciones por infracción grave hasta 10.000 UTM; no hacer la EIPD cuando corresponde es infracción.
Preguntas frecuentes
¿El scoring crediticio obliga a hacer una EIPD?
En la práctica, sí. El scoring trata la situación socioeconómica, que la Ley 21.719 define como dato sensible, y lo hace a gran escala con perfilamiento y decisiones automatizadas. Eso activa varios gatillos del art. 15 ter a la vez, por lo que la EIPD debe planificarse como obligatoria.
¿Puedo seguir aprobando o rechazando créditos de forma automática?
Sí, pero con condiciones. El titular tiene derecho a no quedar sujeto a una decisión basada solo en tratamiento automatizado que lo afecte de forma significativa, y a pedir intervención humana y explicación. Necesita un canal de revisión y documentar la lógica del modelo en la EIPD.
¿Por qué la situación socioeconómica es dato sensible en Chile?
Porque la Ley 21.719 la incluye expresamente en su definición de datos sensibles, algo que el GDPR europeo no hace. Para servicios financieros es clave: casi todo su tratamiento de riesgo, ingresos y endeudamiento cae en esa categoría, con las obligaciones reforzadas que conlleva.
¿Necesito un DPA con los bureaus de crédito?
Sí, y conviene revisar el rol. En algunos flujos el bureau actúa como su encargado y necesita un contrato de encargo; en otros es un responsable con base legal propia. Esa distinción cambia las cláusulas. También necesita DPA con proveedores de datos, verificación de identidad y antifraude.
¿Correr el core bancario en la nube extranjera es un problema?
No lo prohíbe, pero es una transferencia internacional de datos sensibles y exige un mecanismo de garantía. Desde diciembre de 2025 existen las Cláusulas Contractuales Modelo aprobadas por Economía, cuyo alcance aún se debate. Mapee cada flujo y documente la decisión en la EIPD.