Ley 21.719 vs GDPR: principales diferencias y similitudes

¿Por qué comparar la Ley 21.719 con el GDPR?

El Reglamento General de Protección de Datos (GDPR) de la Unión Europea, vigente desde 2018, es el estándar internacional más influyente en materia de protección de datos personales. La Ley 21.719 se inspiró en gran medida en el GDPR, pero con adaptaciones a la realidad chilena.

Entender las similitudes y diferencias es útil por varias razones: ayuda a las empresas chilenas con operaciones internacionales, permite aprender de la experiencia europea en la implementación, y facilita la adopción de mejores prácticas probadas.

Principales similitudes

La Ley 21.719 comparte con el GDPR sus principios fundamentales:

• ●Consentimiento informado: ambas exigen que el consentimiento sea libre, específico, informado e inequívoco
• ●Derechos de los titulares: ambas reconocen los derechos de acceso, rectificación, supresión, oposición y portabilidad
• ●Delegado de Protección de Datos: ambas requieren la designación de un responsable de protección de datos
• ●Notificación de brechas: ambas obligan a notificar las violaciones de seguridad a la autoridad y a los afectados
• ●Evaluaciones de impacto: ambas exigen evaluar los riesgos antes de realizar tratamientos de alto riesgo
• ●Registro de actividades: ambas requieren mantener un registro documentado de las actividades de tratamiento
• ●Transferencias internacionales: ambas establecen requisitos para transferir datos a otros países

Diferencias en sanciones y multas

Una de las diferencias más notables está en el régimen sancionatorio:

• ●GDPR:
• ●Hasta 20 millones de euros o 4% de la facturación global anual (lo que sea mayor)
• ●Escala progresiva según la gravedad
• ●Enfoque en grandes tecnológicas y casos de alto impacto

• ●Ley 21.719:
• ●Hasta 20.000 UTM (~$1.300M CLP)
• ●No considera facturación de la empresa como base de cálculo
• ●Las sanciones se determinan por la gravedad de la infracción y sus agravantes/atenuantes

Si bien el monto máximo en Chile es menor en términos absolutos, para una PyME chilena 20.000 UTM pueden ser igual de catastróficos que una multa del GDPR para una gran corporación europea.

Diferencias en ámbito de aplicación

Otra diferencia importante está en el alcance territorial:

• ●GDPR:
• ●Aplica a cualquier organización que trate datos de residentes europeos, sin importar dónde esté establecida
• ●Tiene un alcance extraterritorial amplio

• ●Ley 21.719:
• ●Aplica principalmente a organizaciones establecidas en Chile
• ●También aplica a organizaciones extranjeras que traten datos de personas en Chile
• ●Su alcance extraterritorial es más acotado

Para una empresa chilena que solo opera en Chile, la Ley 21.719 es la normativa aplicable. Pero si tiene clientes en Europa, también debe cumplir con el GDPR.

Figuras y plazos

Existen diferencias en figuras específicas y plazos:

• ●Delegado de Protección de Datos:
• ●GDPR: obligatorio para organismos públicos y empresas que procesen datos sensibles a gran escala
• ●Ley 21.719: obligatorio para todas las organizaciones que traten datos personales

• ●Plazos de notificación de brechas:
• ●GDPR: 72 horas para notificar a la autoridad
• ●Ley 21.719: establece plazos que serán definidos en la regulación complementaria

• ●Periodo de implementación:
• ●GDPR: 2 años entre su publicación y entrada en vigencia
• ●Ley 21.719: aproximadamente 2 años (diciembre 2024 a diciembre 2026)

Lecciones desde Europa

La experiencia europea con el GDPR nos deja lecciones valiosas para Chile:

• ●Las primeras multas fueron a empresas que no tenían lo básico: consentimiento, registro de actividades, políticas claras
• ●La autoridad europea ha sido progresiva: comenzó con advertencias y sanciones menores, aumentando gradualmente
• ●Las empresas que se prepararon con anticipación tuvieron una ventaja competitiva real
• ●El cumplimiento no es un gasto, sino una inversión en confianza y reputación

Chile tiene la ventaja de aprender de 8 años de experiencia europea. Las empresas que comiencen hoy su preparación estarán en una posición mucho más sólida que aquellas que esperen hasta el último momento.