Ley de protección de datos y trabajadores: qué debe revisar el área de personas
Desde el 1 de diciembre de 2026, la Ley 19.628 actualizada por la Ley 21.719 trata la salud y la biometría de tus trabajadores como datos sensibles: usar la huella o el rostro para marcar asistencia exige, por regla general, consentimiento expreso e información específica (artículo 16 ter). Y tu proveedor de remuneraciones necesita un contrato de encargo de tratamiento con el contenido del artículo 15 bis.
Por Juancarlo Barahona, Delegado de Protección de Datos Personales (DPO) de Orbix Consultor.
Revisado al 11 de octubre de 2026, contra el texto oficial de la ley. Esta guía explica la norma en términos generales y no reemplaza el análisis de un caso concreto.
Qué datos de los trabajadores son sensibles según la ley
La ley de protección de datos distingue los datos comunes (nombre, RUT, cargo) de los datos personales sensibles. El artículo 2, letra g, incluye entre estos el origen étnico o racial, la afiliación política, sindical o gremial, la situación socioeconómica, las convicciones ideológicas o filosóficas, las creencias religiosas, la salud, el perfil biológico, los datos biométricos y la información sobre vida sexual, orientación sexual e identidad de género.
La regla general del artículo 16 es que un dato sensible solo se trata con consentimiento expreso. Entre las excepciones, la letra e) permite tratarlo sin consentimiento cuando es necesario para ejercer derechos y cumplir obligaciones del empleador o del trabajador en el ámbito laboral o de seguridad social, dentro del marco de la ley. Por el texto de los artículos 16 bis y 16 ter, esa excepción no basta por sí sola para la salud ni la biometría, que tienen reglas propias y más estrictas.
Dato sensible
Dónde aparece en RR.HH.
Regla
Salud
Licencias médicas, exámenes, accidentes laborales
Artículo 16 bis
Biometría
Huella, rostro o voz para asistencia o acceso
Artículo 16 ter
Afiliación sindical
Listados de socios, descuentos de cuotas
Artículo 16
¿Se puede usar la huella digital para el control de asistencia?
Sí, con condiciones. El artículo 16 ter exige el consentimiento expreso del inciso primero del artículo 16 y que el empleador entregue al trabajador cuatro informaciones específicas (ver la lista más abajo).
Sin consentimiento, la biometría solo puede tratarse en los casos del inciso segundo del artículo 16 bis (vida o integridad, alerta sanitaria, defensa de un derecho, medicina laboral, entre otros, o una ley que lo permita indicando la finalidad). El control de asistencia no aparece de forma expresa en esa lista, así que la lectura prudente es trabajar con consentimiento. Las normas laborales sobre control de asistencia (Código del Trabajo y Dirección del Trabajo) siguen rigiendo por su vía; cómo se combinan con el artículo 16 ter lo revisa tu asesor laboral.
Un detalle importante: el artículo 12 presume que el consentimiento no es libre cuando se pide dentro de un contrato en que no es necesario recolectar ese dato. Si la huella es la única forma de marcar, el consentimiento queda expuesto a esa presunción. Ofrecer una alternativa real (tarjeta, clave o aplicación) ayuda a que la aceptación sea voluntaria.
Una pyme hipotética de 40 trabajadores con reloj de huella debería, antes del 1 de diciembre, obtener el consentimiento de cada uno, entregar la información del artículo 16 ter y borrar las plantillas cuando alguien se va. Si usara la biometría sin consentimiento, amparada en una excepción, la evaluación de impacto sería obligatoria (artículo 15 ter, letra d).
La identificación del sistema biométrico usado.
La finalidad específica de los datos.
El período durante el cual se usarán.
La forma en que el trabajador puede ejercer sus derechos.
Son datos personales biométricos aquellos obtenidos a partir de un tratamiento técnico específico, relativos a las características físicas, fisiológicas o conductuales de una persona que permitan o confirmen la identificación única de ella, tales como la huella digital, el iris, los rasgos de la mano o faciales y la voz.
Licencias médicas y datos de salud de los trabajadores
La salud tiene el régimen más exigente de la ley. El artículo 16 bis permite tratarla sin consentimiento, entre otros casos, para medicina preventiva o laboral y evaluación de la capacidad laboral del trabajador, o cuando una ley lo permita indicando expresamente la finalidad.
El mismo artículo prohíbe tratar o ceder datos de salud recolectados en el ámbito laboral, salvo autorización legal expresa en casos calificados. Por eso las licencias médicas se tramitan dentro de lo que exigen las normas de seguridad social, cuyo detalle se revisa con el asesor laboral, y esa información no se usa para nada más.
Limita quién ve licencias y exámenes, no los dejes en carpetas compartidas ni los cruces con evaluaciones de desempeño. Una filtración de datos sensibles que suponga un riesgo razonable para los derechos de los trabajadores obliga a avisar a la Agencia sin dilaciones indebidas y también a cada trabajador afectado (artículo 14 sexies).
Se prohíbe el tratamiento y la cesión de los datos relativos a la salud y al perfil biológico de un titular y las muestras biológicas asociadas a una persona identificada o identificable, incluido el almacenamiento del material biológico, cuando los datos o muestras han sido recolectados en el ámbito laboral, educativo, deportivo, social, de seguros, de seguridad o identificación, salvo que la ley expresamente autorice su tratamiento en casos calificados y que se refiera a alguno de los casos mencionados en este artículo.
¿Cuánto tiempo se pueden guardar los datos de los postulantes?
La ley no fija un número de meses. Fija un principio: los datos se conservan solo el tiempo necesario para sus fines y luego se suprimen o anonimizan; un período mayor requiere autorización legal o consentimiento del titular (artículo 3, letra c). El artículo 14, letra d, repite esa orden para los datos recogidos en medidas precontractuales, como una postulación.
Evaluar un currículum es una medida precontractual pedida por el propio postulante (artículo 13, letra c), y esa base se agota al cerrar el proceso. Si quieres guardarlo para futuras vacantes, pide consentimiento para ese fin y por un plazo definido. El postulante además puede pedir la supresión cuando sus datos ya no son necesarios (artículo 7, letra a), y el plazo de conservación es parte de lo que debes informar (artículo 14 ter, letra i).
Cámaras de vigilancia en el lugar de trabajo
La Ley 19.628 no tiene un artículo específico sobre cámaras, pero la imagen de una persona identificable es un dato personal (artículo 2, letra f). La grabación queda sujeta a los principios de finalidad, proporcionalidad y seguridad (artículo 3).
La base que suele invocarse es el interés legítimo del empleador (artículo 13, letra d), siempre que no afecte los derechos y libertades del trabajador. Eso se respalda con un test de ponderación del interés legítimo documentado, y el trabajador puede exigir que se le informe cuál es ese interés.
Define por escrito su finalidad, fija cuántos días guardas las grabaciones y quién accede, y no apuntes a baños ni vestidores: difícilmente pasan la prueba de proporcionalidad. Si observan de forma sistemática una zona de acceso público, por ejemplo, la entrada de un local, la evaluación de impacto es obligatoria (artículo 15 ter, letra c). Las reglas laborales sobre cámaras se revisan con el asesor laboral.
Proveedores de remuneraciones y el contrato de encargo de tratamiento
Casi toda empresa entrega datos de sus trabajadores a terceros: plataformas de gestión de personas, software de remuneraciones o contadores externos. Para la ley, ese proveedor es un tercero mandatario o encargado que trata datos por tu cuenta, y la relación se rige por un contrato (artículo 15 bis).
Tu empresa sigue siendo la responsable frente al trabajador y la Agencia. Si el proveedor usa los datos para otro fin o los cede sin autorización, la ley lo trata a él como responsable: responde personalmente por las infracciones y solidariamente contigo por los daños. Si procesa los datos fuera de Chile, revisa también las reglas de transferencia internacional (artículos 27 y 28).
El contrato debe fijar al menos los cuatro primeros puntos de la tabla; los otros tres son deberes legales del proveedor que conviene dejar escritos.
Punto
Qué dice el artículo 15 bis
Objeto, duración y finalidad del encargo
Mínimo del contrato (inciso tercero)
Tipo de datos y categorías de titulares
Mínimo del contrato (inciso tercero)
Derechos y obligaciones de las partes
Mínimo del contrato (inciso tercero)
Prohibición de subcontratar sin autorización específica y por escrito
Mínimo del contrato (inciso tercero)
Deber de secreto y medidas de seguridad del proveedor
Deber legal del encargado (inciso cuarto, que remite a los artículos 14 bis y 14 quinquies)
Aviso al responsable ante una vulneración de seguridad
Deber legal del encargado (inciso cuarto)
Supresión o devolución de los datos al terminar el servicio
Deber legal del encargado (inciso final)
Cláusula de protección de datos en el contrato de trabajo
El contrato de trabajo cumple dos funciones. Informa al trabajador cómo se tratan sus datos (finalidades, base de licitud, destinatarios, plazos y cómo ejercer sus derechos), en línea con el artículo 14 ter. Y fija el deber de secreto para quien maneja datos de otros: el artículo 14 bis obliga al empleador a adoptar medidas para que sus dependientes lo cumplan, y ese deber subsiste aun después de concluida la relación con el titular de los datos.
Si la empresa adopta un modelo de prevención de infracciones, el artículo 49 exige incorporar su regulación interna en los contratos de trabajo o de prestación de servicios, incluidos los máximos ejecutivos, o en el reglamento interno de los artículos 153 y siguientes del Código del Trabajo. El primer elemento mínimo de ese modelo es el Delegado de Protección de Datos Personales (DPO) (artículo 49, letra a, y artículo 6 del Decreto 662); en las pymes, el dueño o sus máximas autoridades pueden asumir esas tareas (artículo 8 del Decreto 662).
Ninguna cláusula puede hacer renunciar al trabajador a sus derechos (artículo 4).
Lista de revisión para el área de personas
El detalle laboral de cada punto se confirma con el asesor de la empresa.
Inventariar selección, contratación, remuneraciones, asistencia, salud y desvinculación en el registro de actividades de tratamiento, con base de licitud y plazo de conservación.
Identificar los datos sensibles de cada proceso y su justificación (artículos 16, 16 bis y 16 ter).
Revisar la asistencia biométrica: consentimiento expreso, las cuatro informaciones y una alternativa.
Restringir el acceso a licencias y exámenes.
Fijar y cumplir un plazo de conservación para currículums.
Documentar finalidad y test de ponderación de las cámaras.
Revisar los contratos con proveedores según el artículo 15 bis.
Actualizar contratos o reglamento interno con información y deber de secreto.
Habilitar el Canal para el ejercicio de los derechos del titular y responder en 30 días corridos, prorrogables una vez por 30 (artículo 11).
Preparar el procedimiento de vulneraciones con aviso a la Agencia y a los afectados. Más en seguridad de los datos.
Preguntas frecuentes
¿Necesito el consentimiento de mis trabajadores para tratar sus datos?+
Para la mayoría, no. Los datos necesarios para ejecutar el contrato de trabajo o cumplir una obligación legal se tratan sin consentimiento (artículo 13, letras b y c), igual que los sensibles necesarios para obligaciones laborales o de seguridad social dentro del marco legal (artículo 16, letra e). La biometría es distinta: exige consentimiento expreso, salvo los casos del inciso segundo del artículo 16 bis (artículo 16 ter).
¿Puedo seguir usando huella o reconocimiento facial para marcar asistencia?+
Sí, si cumples el artículo 16 ter de la Ley 19.628 actualizada por la Ley 21.719: consentimiento expreso e información sobre el sistema usado, la finalidad, el período de uso y cómo ejercer los derechos. Como la ley presume que el consentimiento no es libre si el dato no es necesario para el contrato (artículo 12), conviene ofrecer una alternativa como tarjeta o clave.
¿Cuánto tiempo puedo guardar los currículums de los postulantes?+
Solo lo necesario para el proceso de selección. Después hay que suprimirlos o anonimizarlos, salvo que el postulante consienta un plazo mayor (artículo 3, letra c). La ley no fija meses: la empresa define el plazo, lo informa y lo cumple.
¿Un trabajador puede pedir ver los datos que la empresa tiene de él?+
Sí. El derecho de acceso (artículo 5) le permite conocer los datos, su origen, la finalidad, los destinatarios y el plazo. La empresa responde dentro de 30 días corridos, prorrogables una vez por otros 30 (artículo 11); si no responde o rechaza, el trabajador puede reclamar ante la Agencia de Protección de Datos Personales.
¿Desde cuándo rigen estas obligaciones?+
Desde el 1 de diciembre de 2026 (artículo primero transitorio de la Ley 21.719). El Boletín 18.623-07 propone postergarla a 2027, pero está en primer trámite en el Senado y no es ley; mientras no se apruebe, la fecha se mantiene.
El 1 de diciembre de 2026 la ley será plenamente exigible
La puesta en marcha toma alrededor de un mes; cerrar todas las brechas depende de cada empresa. En una demostración de 30 minutos revisamos tu caso: qué tratamientos realizas, qué brechas tienes y por dónde comenzar.