¿Qué es la Agencia de Protección de Datos Personales?

¿Qué es la Agencia y por qué importa para tu empresa?

La Agencia de Protección de Datos Personales —el organismo que muchos aún buscan como «CPDT»— es el nuevo regulador chileno encargado de fiscalizar el cumplimiento de la Ley 21.719. Si tu empresa maneja datos de clientes, empleados o proveedores, esta agencia tiene el poder de revisar cómo los proteges, investigar denuncias y aplicar sanciones. No es un organismo más: es tu principal riesgo regulatorio en protección de datos.

Nota sobre el nombre: durante la tramitación de la ley circularon varias siglas (CPDT, CNAD, «Consejo» o «Comisión» de protección de datos). El nombre correcto del regulador que crea la Ley 21.719 es Agencia de Protección de Datos Personales; es el que usamos en el resto de este artículo.

Naturaleza, composición y poderes de la Agencia

La Agencia es un organismo autónomo con personalidad jurídica y patrimonio propio. Está presidida por un Consejo integrado por representantes de distintas instituciones públicas, incluyendo la Contraloría General de la República. Su misión es garantizar el derecho a la protección de los datos personales en todo el territorio chileno.

Sus poderes son amplios: puede fiscalizar empresas, solicitar información sin previo aviso, acceder a sistemas informáticos, revisar registros y ordenar medidas correctivas inmediatas. Todo esto está respaldado por la Ley 21.719, especialmente en sus artículos sobre facultades fiscalizadoras.

Cómo investiga la Agencia: el proceso paso a paso

1. La denuncia

El procedimiento comienza cuando alguien presenta una denuncia ante la Agencia. Puede hacerlo cualquier persona que considere que se han violado sus derechos sobre datos personales. También puede ser iniciado de oficio si la Agencia lo considera necesario. Las denuncias se pueden presentar a través de:

Plataforma digital en el sitio web de la Agencia
Correo electrónico
Presentación presencial en las oficinas

La Agencia debe responder dentro de 5 días hábiles confirmando la recepción.

2. La investigación

Una vez admitida la denuncia, inicia una investigación formal. La Agencia puede solicitar documentación, efectuar inspecciones sin aviso previo, y exigir explicaciones. Durante este período, la agencia revisa contratos de tratamiento de datos, políticas de privacidad, sistemas de seguridad y registros de acceso. Si tu empresa maneja datos de menores de edad, clientes con enfermedades o información financiera sensible, la fiscalización es más estricta.

El plazo para la investigación es de 90 días hábiles, prorrogables por 60 días más si la complejidad lo justifica.

3. La resolución

Al término de la investigación, la Agencia emite una resolución que puede ser:

Sobreseimiento (no hay infracción)
Medidas correctivas (debe dejar de hacer algo o comenzar a hacerlo)
Sanciones administrativas (multas de 1 a 50 millones de pesos)

4. El recurso de reposición

Si no estás de acuerdo con la resolución, tienes 15 días hábiles para presentar un recurso de reposición ante la misma la Agencia. Luego puedes recurrir ante los tribunales ordinarios si lo consideras necesario.

Plazos clave que debes memorizar

Respuesta a denuncia: 5 días hábiles
Investigación: 90 días hábiles (prorrogables 60)
Resolución: antes de vencer la investigación
Recurso de reposición: 15 días hábiles desde la notificación

Qué información pide la Agencia en una inspección

Cuando la Agencia realiza una inspección, solicita información sobre:

Inventario de datos personales que tratas
Bases legales para recopilar y usar esos datos
Consentimientos otorgados por los titulares
Medidas de seguridad implementadas (cifrado, control de acceso, backups)
Políticas de privacidad y cómo se comunican
Registros de incidentes de seguridad
Contratos con proveedores que traten datos
Procedimientos para ejercer derechos (acceso, rectificación, eliminar)

Si no entregas esta información en el plazo solicitado, la Agencia puede aplicar una multa por obstrucción.

El Registro Público de Responsables

La Agencia mantiene un registro público con todas las empresas que actúan como "responsables" de tratamiento de datos (es decir, la mayoría). Este registro es consultable y visible. Si cometes infracciones graves, quedará documentado permanentemente.

La Agencia y su coordinación con otros organismos

La Agencia no trabaja aislada. Se coordina con:

CMF (Comisión para el Mercado Financiero): en materia de instituciones financieras
SIS (Superintendencia de Salud): en tratamiento de datos de salud
Contraloría General de la República: en organismos públicos

Esto significa que aunque denuncias a un banco ante el SIS, la Agencia puede iniciar su propia investigación paralela.

Conclusión: Prepárate ahora

La Agencia es real, tiene poder, y está investigando activamente. No es una agencia amable ni lenta. Las empresas que esperan hasta recibir una denuncia para actuar terminan pagando multas que pudieron haberse evitado.

La buena noticia: es manejable. Necesitas documentar tu tratamiento de datos, comunicar claramente a tus clientes qué datos recopilas y por qué, implementar seguridad básica, y tener un proceso para que la gente ejerza sus derechos. En PrivacTech puedes hacer un análisis gratuito de tu cumplimiento en privactech.com y saber exactamente en qué te falta avanzar antes de que llegue una inspección.