Derechos ARCO y Portabilidad en la Ley 21.719: Guía completa para empresas chilenas

¿Qué son los derechos ARCO en la protección de datos?

Los derechos ARCO son un pilar fundamental de cualquier legislación de protección de datos personales. Corresponden al conjunto de facultades que la ley otorga a los titulares de los datos para controlar el uso que las organizaciones hacen de su información personal.

• ●ARCO es un acrónimo que significa:
• ●Acceso: conocer qué datos personales están siendo tratados y para qué fines
• ●Rectificación: solicitar la corrección de datos inexactos o incompletos
• ●Cancelación: solicitar la eliminación de los datos cuando ya no sean necesarios
• ●Oposición: oponerse al tratamiento de los datos para fines específicos

La Ley 21.719 no solo mantiene estos derechos, sino que los fortalece significativamente respecto a la antigua Ley 19.628, e incorpora dos derechos adicionales: la Portabilidad y el Bloqueo, que analizaremos en detalle.

Derecho de Acceso

El derecho de acceso permite al titular conocer si una organización está tratando sus datos personales y, en caso afirmativo, obtener información detallada sobre:

• ●Los datos específicos que se están tratando
• ●La finalidad del tratamiento
• ●Las categorías de datos personales involucradas
• ●Los destinatarios o categorías de destinatarios de los datos
• ●El plazo de conservación previsto
• ●El origen de los datos si no fueron proporcionados directamente por el titular
• ●La existencia de decisiones automatizadas, incluida la elaboración de perfiles

La organización debe responder a la solicitud en un plazo máximo de 10 días hábiles desde la recepción de la solicitud. Este plazo puede extenderse por 10 días adicionales cuando la solicitud sea especialmente compleja o se haya realizado un gran volumen de solicitudes.

Es importante que su organización tenga un procedimiento documentado para gestionar estas solicitudes, ya que los plazos son acotados y las sanciones por no responder pueden ser significativas.

Derecho de Rectificación

El titular tiene derecho a solicitar la rectificación de sus datos personales cuando estos sean inexactos, incompletos o ya no correspondan a la realidad. La organización debe:

1. Rectificar los datos sin dilación, en un plazo máximo de 10 días hábiles 2. Comunicar la rectificación a todos los destinatarios a quienes se hayan comunicado los datos 3. Informar al titular sobre dichos destinatarios, si este lo solicita

Este derecho es particularmente relevante para bases de datos de contacto, registros laborales, historiales crediticios y cualquier sistema que contenga información personal que pueda estar desactualizada. Una buena práctica es implementar mecanismos que permitan a los titulares mantener sus datos actualizados de forma sencilla.

Derecho de Cancelación (o supresión)

El derecho de cancelación, también conocido como derecho al olvido, permite al titular solicitar la eliminación de sus datos personales cuando:

• ●Ya no sean necesarios para los fines para los que fueron recolectados
• ●El titular revoque el consentimiento que dio para el tratamiento
• ●El tratamiento sea ilícito
• ●Los datos deban suprimirse para cumplir una obligación legal
• ●Hayan transcurrido los plazos de conservación establecidos

La organización debe suprimir los datos en un plazo máximo de 10 días hábiles. Sin embargo, existen excepciones: cuando los datos sean necesarios para el cumplimiento de obligaciones legales, la formulación o defensa de reclamaciones, o fines estadísticos o de archivo de interés público.

La cancelación no es absoluta: la organización puede conservar los datos bloqueados durante los plazos de prescripción de posibles responsabilidades, pero no puede tratarlos para ningún otro fin.

Derecho de Oposición

El derecho de oposición permite al titular oponerse a que su organización trate sus datos personales para fines específicos, como:

• ●Mercadeo directo o prospección comercial
• ●Elaboración de perfiles con fines comerciales
• ●Tratamiento basado en interés legítimo del responsable
• ●Toma de decisiones automatizadas

Cuando el titular se opone al tratamiento, la organización debe dejar de tratar los datos para ese fin específico, a menos que pueda acreditar motivos legítimos imperiosos que prevalezcan sobre los intereses del titular.

Este derecho es especialmente relevante para campañas de marketing y comunicación comercial. Las organizaciones deben mantener actualizadas las listas de exclusión y asegurarse de que los titulares puedan ejercer este derecho de forma sencilla.

Derecho de Portabilidad

La portabilidad es una de las novedades más importantes de la Ley 21.719. Este derecho permite al titular recibir los datos personales que haya proporcionado a una organización en un formato estructurado, de uso común y lectura mecánica, y transmitirlos a otro responsable del tratamiento sin impedimentos.

• ●El derecho de portabilidad aplica cuando:
• ●El tratamiento se basa en el consentimiento del titular
• ●El tratamiento se realiza por medios automatizados
• ●Los datos han sido proporcionados directamente por el titular

La portabilidad fomenta la competencia y la innovación, ya que permite a los usuarios cambiarse de proveedor de servicios sin perder sus datos. Por ejemplo, un titular podría solicitar la portabilidad de su historial de transacciones de un banco a otro, o de sus listas de contactos de una plataforma a otra.

Las organizaciones deben implementar mecanismos para exportar los datos de los titulares en formatos como JSON, CSV o XML, y asegurarse de que la transferencia sea segura y oportuna.

Derecho de Bloqueo

El derecho de bloqueo es otra incorporación relevante de la Ley 21.719. Permite al titular solicitar que se restrinja temporalmente el tratamiento de sus datos en situaciones específicas:

• ●Cuando impugne la exactitud de los datos (mientras se verifica)
• ●Cuando el tratamiento sea ilícito y el titular prefiera el bloqueo a la cancelación
• ●Cuando el responsable ya no necesite los datos, pero el titular los requiera para reclamaciones
• ●Cuando el titular haya ejercido el derecho de oposición (mientras se verifica si los motivos legítimos del responsable prevalecen)

Durante el período de bloqueo, la organización solo puede conservar los datos, no tratarlos para ningún otro fin que no sea el que motivó el bloqueo. Una vez resuelta la situación que originó el bloqueo, la organización debe informar al titular para que este decida si solicita la cancelación o el levantamiento del bloqueo.

Obligaciones de las organizaciones

Para cumplir con los derechos ARCO más Portabilidad y Bloqueo, su organización debe:

1. Implementar un procedimiento interno para gestionar solicitudes de derechos, con plazos máximos claros (10 días hábiles, prorrogables) 2. Designar a la persona o área responsable de recibir y procesar las solicitudes 3. Habilitar mecanismos sencillos para que los titulares puedan ejercer sus derechos (formularios web, correo electrónico, atención presencial) 4. Verificar la identidad del solicitante antes de procesar la solicitud 5. Responder siempre, incluso si no se va a acceder a la solicitud (indicando los motivos) 6. Mantener un registro de las solicitudes recibidas y las respuestas otorgadas 7. Capacitar al personal que interactúa con titulares de datos

No cumplir con estas obligaciones puede resultar en sanciones significativas. Le recomendamos realizar nuestra evaluación gratuita de cumplimiento de la Ley 21.719 para identificar si su organización está preparada para gestionar los derechos de los titulares y recibir recomendaciones personalizadas.