Transferencia internacional de datos bajo la Ley 21.719: por qué el DPA es tu ruta realista hoy
Sí. Guardar datos en HubSpot, Salesforce, Google Workspace o AWS es una transferencia internacional bajo la Ley 21.719, porque los datos personales de personas chilenas salen del país hacia servidores en el extranjero. La ley permite estas transferencias, pero exige una base que las habilite. La vía de transferir a un país con nivel adecuado de protección todavía no está disponible, porque la Agencia (APDP) no está constituida y no ha publicado esa lista. La ruta practicable hoy son las garantías adecuadas por contrato: un DPA con cláusulas de transferencia internacional que obligue al proveedor a un nivel de protección equivalente. La Agencia deberá aprobar Cláusulas Contractuales Modelo, cuya propuesta se conoció en diciembre de 2025; mientras se oficializan, conviene adoptar cláusulas alineadas con ese estándar. En concreto: identifique qué proveedores están fuera de Chile, firme el DPA con anexo de transferencia y documéntelo antes del 1 de diciembre de 2026.
La Ley 21.719 permite transferir datos personales fuera de Chile cuando el país de destino ofrece un nivel adecuado de protección o, en su defecto, cuando el responsable adopta garantías adecuadas, como cláusulas contractuales que obliguen al receptor a un estándar de protección equivalente.
Qué cuenta como transferencia internacional (y por qué casi todos la hacen sin saberlo)
Una transferencia internacional ocurre cada vez que datos personales de personas en Chile salen del país o quedan almacenados o accesibles fuera de él. No hace falta "exportar" un archivo. Basta con que el dato viva en una nube cuyos servidores están en Estados Unidos, la Unión Europea o donde sea que el proveedor los aloje.
Por eso la mayoría de las empresas chilenas ya transfiere datos internacionalmente todos los días, aunque nunca lo haya llamado así. Si usas cualquiera de estas herramientas, estás transfiriendo:
- CRM y marketing: HubSpot, Salesforce, Pipedrive, Mailchimp.
- Ofimática y correo: Google Workspace, Microsoft 365.
- Soporte y comunicación: Zendesk, Intercom, Slack.
- Pagos, RRHH y analítica: procesadores, plataformas de nómina y herramientas de medición alojadas fuera de Chile.
Qué exige la ley: la transferencia necesita una base que la habilite
La Ley 21.719 reforma la antigua Ley 19.628 y regula el flujo de datos hacia el exterior. La lógica es simple: los datos no pueden salir de Chile a un lugar con menos protección sin una garantía que mantenga el nivel de resguardo. La ley contempla varias vías para habilitar la transferencia, y en la práctica se reducen a tres caminos posibles.
El primer camino es transferir a un país que la Agencia (APDP) haya declarado con nivel de protección adecuado. El segundo es adoptar garantías adecuadas, típicamente cláusulas contractuales dentro del contrato con el proveedor. El tercero son excepciones puntuales, como el consentimiento específico del titular para esa transferencia, que no sirven para un flujo permanente y masivo como el de un CRM.
| Mecanismo | ¿Disponible hoy? | Qué exige |
|---|---|---|
| País con nivel adecuado | No (la APDP no ha publicado la lista) | Que la Agencia declare adecuado el destino |
| Garantías adecuadas por contrato (DPA) | Sí | Cláusulas que obliguen al receptor a protección equivalente |
| Cláusulas Contractuales Modelo | Aún no (propuesta de dic·2025) | Que la Agencia apruebe el modelo tipo |
| Consentimiento del titular | Sí, excepcional | Consentimiento informado para la transferencia puntual |
Por qué la vía de "país adecuado" no está disponible hoy
Aquí está el punto que cambia toda la estrategia. La lista de países con nivel adecuado la define la Agencia de Protección de Datos Personales (APDP). Y la APDP todavía no está constituida: el Senado rechazó la propuesta de consejo y el plazo para conformarla venció el 1 de junio de 2026.
Sin Agencia, no hay lista de países adecuados. Eso significa que hoy no puedes apoyarte en "Estados Unidos es adecuado" o "la Unión Europea es adecuada", porque nadie en Chile lo ha declarado. Esa puerta está cerrada por ahora, y no depende de ti abrirla. La fiscalización, en cambio, sí arranca en firme el 1 de diciembre de 2026, sin período de gracia para empresas sobre 100.000 UF de ingresos.
La ruta que sí funciona hoy: garantías adecuadas por contrato (el DPA)
Si la vía del país adecuado está bloqueada y las excepciones no cubren un flujo permanente, queda la vía de las garantías adecuadas. En la práctica, eso es un contrato: el DPA (contrato de encargo del tratamiento) con las cláusulas de transferencia internacional incorporadas.
El DPA es el documento donde tu proveedor extranjero se compromete a proteger los datos con el estándar que exige la ley chilena, a tratarlos solo según tus instrucciones, a notificarte brechas y a permitir el ejercicio de derechos ARCOP. Es lo que convierte un flujo de datos "a ciegas" en una transferencia con garantías. Sin él, la transferencia queda sin base que la habilite.
Este es el mismo mecanismo que resuelve el problema más común que vemos en terreno: los datos entregados a proveedores SaaS extranjeros sin ningún contrato de por medio. No es la política de privacidad del sitio web la que te cubre. Es el DPA con cada proveedor.
- Firmar el DPA de cada proveedor (muchos, como Google o HubSpot, ya ofrecen uno estándar que solo debes activar).
- Revisar que incluya cláusulas de transferencia internacional, no solo de tratamiento.
- Dejar registro de qué proveedor trata qué datos y desde dónde, para poder demostrarlo.
Qué hacer en concreto, en orden
No necesitas resolver todo de una vez, pero sí necesitas empezar por el inventario. No puedes contratar garantías para transferencias que no sabes que existen.
El orden razonable es: primero, listar todas las herramientas donde hay datos de personas y verificar dónde se alojan; segundo, identificar cuáles de esas transferencias no tienen un DPA firmado; tercero, cerrar esos contratos, priorizando los proveedores que tratan datos sensibles o grandes volúmenes.
Si prefieres no hacerlo internamente, el Pack de Remediación DPA hace exactamente esto: levanta tus proveedores, detecta las transferencias sin cobertura y cierra los contratos con las cláusulas correctas. Y si tu procesamiento califica como de alto riesgo, esas transferencias también deben quedar reflejadas en tu EIPD.
Preguntas frecuentes
¿Usar Google Workspace o Microsoft 365 realmente cuenta como transferencia internacional?
Sí. Si los correos, documentos y contactos de personas en Chile quedan alojados en servidores fuera del país, hay transferencia internacional, aunque tú nunca "envíes" nada manualmente. Lo relevante es dónde viven y desde dónde se acceden los datos, no si hiciste una exportación explícita.
¿No basta con que el proveedor esté en Estados Unidos o la Unión Europea, que "tienen buena protección"?
Hoy no. Quien declara qué países tienen nivel adecuado es la Agencia (APDP), y la APDP aún no está constituida, así que no existe ninguna lista oficial. Sin esa declaración no puedes apoyarte en la reputación del país. La vía que sí está disponible es el contrato con garantías adecuadas, es decir, el DPA.
¿El consentimiento del cliente no me sirve para transferir sus datos al extranjero?
Para un caso puntual y específico puede servir como excepción, pero no para un flujo permanente y masivo como el de un CRM o el correo corporativo. Pedir consentimiento de transferencia a cada titular, cada vez, no es operable. Para esos flujos la ruta correcta es el DPA con cláusulas de transferencia.
¿Qué diferencia hay entre el DPA general y las cláusulas de transferencia internacional?
El DPA regula cómo el proveedor trata tus datos como encargado. Las cláusulas de transferencia internacional son la parte que habilita específicamente que esos datos salgan de Chile con garantías. Necesitas ambas: un contrato de encargo que además cubra la transferencia. Puedes ver cómo se estructura en el detalle del contrato de encargo del tratamiento.