Transferencia internacional de datos personales en Chile: nube, proveedores extranjeros y Ley 21.719
Desde el 1 de diciembre de 2026, enviar datos personales fuera de Chile, o dejarlos en manos de un proveedor que los trata en otro país, solo es lícito por alguna de las vías del artículo 27 de la ley de protección de datos, y tu empresa debe acreditarlo ante la Agencia (artículo 28, inciso final). Mientras la Agencia no apruebe sus propios instrumentos, están vigentes las cláusulas contractuales modelo que aprobó el Ministerio de Economía por la Resolución Exenta 03748 de 2025.
Por Juancarlo Barahona, Delegado de Protección de Datos Personales (DPO) de Orbix Consultor.
Revisado al 11 de octubre de 2026, contra el texto oficial de la ley. Esta guía explica la norma en términos generales y no reemplaza el análisis de un caso concreto.
¿Qué es una transferencia internacional de datos personales?
La Ley 19.628, actualizada por la Ley 21.719, regula la transferencia internacional en su Título V (artículos 27 a 29), pero su artículo 2 no la define. Sí define las piezas para entenderla: el tratamiento incluye almacenar, comunicar y transmitir datos (letra o); la cesión es la transferencia de datos de un responsable a otro (letra v); y el tercero mandatario o encargado es quien trata datos por cuenta del responsable (letra x).
El artículo 27 aclara que quien recibe la transferencia puede ser otro responsable o un tercero mandatario. Es decir, el proveedor extranjero que guarda o procesa tus datos por encargo tuyo también cuenta. El segundo informe de la Comisión Asesora para la implementación de la ley (septiembre de 2025, orientador y no obligatorio) agrega que el concepto abarca el acceso remoto desde el extranjero a información guardada en Chile; la ley no lo dice expresamente.
Situación
¿Es transferencia internacional?
Tu correo y tus archivos se alojan en servidores de un proveedor fuera de Chile
Lo prudente es tratarla como tal: los datos salen hacia un encargado
Un proveedor chileno de software guarda tus datos en una nube de otro país
Lo prudente es tratarla como tal, a través del subencargado de tu proveedor
Los datos están en Chile, pero el soporte del proveedor accede desde el extranjero
Según el segundo informe de la Comisión Asesora (criterio orientador, no vinculante), el acceso remoto queda incluido
Envías la base de clientes a la casa matriz extranjera para sus propios fines
Sí, y además es una cesión a otro responsable (artículo 15)
Compartes con el extranjero datos anonimizados
No: un dato anonimizado deja de ser dato personal (artículo 2 letra k)
Tus datos se tratan solo en Chile, sin acceso desde fuera
No; siguen rigiendo las demás reglas de la ley
Las vías del artículo 27 para transferir datos al extranjero
El artículo 27 parte con una condición: el tratamiento debe tener antes su propia base de licitud (consentimiento del artículo 12 o una del artículo 13). Cumplido eso, la transferencia debe calzar en alguna de estas vías:
Si no calza ninguna vía, la Agencia puede autorizar un caso particular por resolución fundada (artículo 28), y en casos calificados puede suspender el envío de los datos (artículo 29).
Vía (artículo 27)
Qué exige
Uso en la práctica
Letra a): país adecuado
Destinatario sujeto a un país que la Agencia declare con nivel adecuado
Transferencias habituales, cuando exista el listado de la Agencia
Letra b): cláusulas e instrumentos
Cláusulas contractuales, normas corporativas vinculantes u otros instrumentos con garantías adecuadas
La vía práctica hoy para proveedores en la nube
Letra c): modelo de cumplimiento o certificación
Que ambas partes adopten un modelo o certificación con garantías adecuadas
Grupos o proveedores con certificaciones reconocidas
Inciso segundo: casos excepcionales
Sin adecuación ni garantías, solo para una transferencia específica y no habitual: consentimiento expreso, ejecución de un contrato con el titular, urgencias médicas, entre otros
Casos puntuales; no sirve para un servicio de uso diario
Corresponderá al responsable de datos que efectuó la transferencia internacional de datos, acreditar ante la Agencia que ésta se practicó de conformidad a las reglas establecidas en esta ley.
¿Qué países tienen nivel adecuado de protección de datos?
La ley chilena no trae una lista, y esa declaración no la hace la empresa ni su abogado: la hace la Agencia de Protección de Datos Personales, en forma fundada (artículo 28). Un país es adecuado cuando cumple estándares similares o superiores a los de la ley chilena en principios, derechos de los titulares, autoridad de control, seguridad y responsabilidades.
La ley ordena a la Agencia publicar en su sitio web el listado de países adecuados. La Agencia aún no está plenamente instalada y ese listado no existe. Mientras tanto, no apoyes tus transferencias en la idea de que un país es "seguro": ampáralas en garantías adecuadas.
Cláusulas contractuales modelo de la Resolución Exenta 03748 de 2025
El Ministerio de Economía, Fomento y Turismo dictó la Resolución Exenta 03748, de fecha 11 de diciembre de 2025 y publicada en el Diario Oficial el 19 de diciembre de 2025, que aprueba las cláusulas contractuales modelo de la "Guía de Implementación de Cláusulas Contractuales Modelo para la Transferencia Internacional de Datos Personales". Su motivo: al 1 de diciembre de 2026 la Agencia no habrá alcanzado a regular estos mecanismos.
Siguen el modelo de la Red Iberoamericana de Protección de Datos, con una versión entre responsables y otra de responsable a encargado, que es la que corresponde, en general, a un proveedor de software o de nube. El Diario Oficial publicó la resolución sin su anexo; el texto de las cláusulas está en el sitio web del Ministerio de Economía.
Vigencia. Según su artículo segundo, rige desde su publicación en el Diario Oficial (19 de diciembre de 2025) y hasta que la Agencia ejerza la atribución del artículo 28, inciso segundo, es decir, apruebe sus propias cláusulas modelo u otros instrumentos con garantías adecuadas.
Quién las aprobó. El Ministerio, no la Agencia. El artículo 28 dice que las cláusulas aprobadas por la Agencia no requieren otra garantía ni autorización; esa regla se refiere a las de la Agencia. La Comisión Asesora recomendó, en su cuarto informe (orientador, no vinculante), que la Agencia ratifique las de la Resolución 03748; mientras eso no ocurra, son el instrumento oficial disponible, pero no cuentan con la aprobación de la Agencia que menciona el artículo 28.
Qué hacer. Firma con tu proveedor las cláusulas de responsable a encargado, o verifica que su contrato tenga garantías equivalentes, y revísalo cuando la Agencia publique sus modelos.
Ejemplos de transferencia internacional: correo en la nube, remuneraciones y CRM
Tres casos hipotéticos de una distribuidora chilena de 60 trabajadores.
El consentimiento de trabajadores o clientes no resuelve estos casos: son tratamientos habituales, y el consentimiento del artículo 27 sirve solo para una transferencia específica y no habitual.
Cada flujo debe quedar en tu registro de actividades de tratamiento: el artículo 3 letra d) del Decreto 662 pide, en el programa de cumplimiento del modelo de prevención, indicar las transferencias, el país de destino y el medio con que se cumple el artículo 27.
Pregunta
Correo y archivos en la nube
Software de remuneraciones
CRM de ventas
Qué datos salen
Correos y archivos con datos de clientes, proveedores y trabajadores
RUT, sueldo, cuenta bancaria y licencias médicas (datos de salud, sensibles)
Contacto e historial de compras de clientes
Quién los recibe
Proveedor extranjero, como encargado
Proveedor chileno que aloja los datos en una nube de otro país (subencargado)
Proveedor extranjero, como encargado
Vía del artículo 27
Letra b): cláusulas de responsable a encargado de la Resolución 03748
Letra b), más tu autorización escrita al subencargado (artículo 15 bis)
Letra b); si el proveedor usa los datos para fines propios, pasa a ser responsable (artículo 15 bis)
Qué revisar primero
Dónde se alojan los datos y desde dónde se accede a ellos
Lista de subencargados, país de alojamiento y seguridad reforzada para datos de salud
Si el contrato prohíbe usar los datos para fines del proveedor
Qué escribir en la política de privacidad sobre transferencias internacionales
El artículo 14 ter obliga a mantener a disposición del público, en tu sitio web o un medio equivalente, información sobre tus tratamientos. Para las transferencias, la letra h) dice:
A qué país o países van los datos y en qué tratamientos.
Si el país tiene nivel adecuado. Mientras la Agencia no publique su listado, corresponde decir que no existe una declaración de adecuación.
Qué garantía ampara la transferencia, por ejemplo, las cláusulas modelo de la Resolución Exenta 03748 de 2025.
Un texto posible: "Nuestros proveedores de correo, almacenamiento y gestión de clientes tratan datos personales en [país]. No existe una declaración de la Agencia de Protección de Datos Personales sobre el nivel de protección de ese país. Estas transferencias se amparan en cláusulas contractuales modelo de responsable a encargado, conforme al artículo 27 letra b) de la Ley 19.628."
En su caso, la transferencia de datos personales a un tercer país u organización internacional y si éstos ofrecen o no un nivel adecuado de protección. En caso de que no cuenten con un nivel adecuado de protección, se deberá informar si existen garantías que justifiquen tal transferencia.
Contrato de encargo de tratamiento con el proveedor extranjero
Las cláusulas de transferencia no reemplazan el contrato de encargo de tratamiento, aunque suelen ir en el mismo documento: las cláusulas resuelven la salida de los datos del país y el contrato regula qué puede hacer el proveedor con ellos. El artículo 15 bis exige que el contrato establezca, como mínimo:
El objeto, la duración y la finalidad del encargo.
El tipo de datos y las categorías de titulares.
Los derechos y obligaciones de las partes.
Que el encargado no delegue sin tu autorización específica y por escrito; si delega, sigue respondiendo solidariamente. En la nube, eso significa conocer y aprobar la lista de subencargados.
Que cumpla la confidencialidad y las medidas de seguridad (artículos 14 bis y 14 quinquies) y te reporte cualquier vulneración. Más en seguridad de los datos.
Que al terminar el servicio suprima los datos o te los devuelva.
Si el proveedor usa los datos para otro fin o los cede sin tu autorización, la ley lo considera responsable: responde personalmente y solidariamente contigo por los daños.
Preguntas frecuentes
¿Usar Gmail o Microsoft 365 en mi empresa es una transferencia internacional de datos?+
Depende de dónde se traten los datos y desde dónde se acceda a ellos. Si los correos y archivos de tu empresa se alojan o procesan fuera de Chile, lo prudente es tratarlo como transferencia internacional a un encargado, ampararla en el artículo 27 de la Ley 19.628 (hoy, en la práctica, cláusulas contractuales con garantías adecuadas) e informarla según el artículo 14 ter letra h).
¿Puedo pedir el consentimiento de mis clientes o trabajadores para transferir sus datos al extranjero?+
Solo para una transferencia específica y no habitual. El artículo 27, inciso segundo, admite el consentimiento expreso del titular cuando no hay país adecuado ni garantías adecuadas, y solo para una transferencia específica y determinada. Un servicio de uso diario, como el correo o las remuneraciones, necesita otra vía, normalmente cláusulas contractuales.
¿Las cláusulas modelo de la Resolución Exenta 03748 sirven después del 1 de diciembre de 2026?+
Sí. Según su artículo segundo, la resolución del Ministerio de Economía rige desde su publicación en el Diario Oficial, el 19 de diciembre de 2025, hasta que la Agencia de Protección de Datos Personales apruebe sus propias cláusulas modelo según el artículo 28.
¿Qué multa arriesga una empresa que transfiere datos al extranjero sin cumplir la ley?+
Es infracción grave (artículo 34 ter letra m), con multa de hasta 10.000 UTM. Si se hace a sabiendas, es gravísima (artículo 34 quáter letra h), con multa de hasta 20.000 UTM (artículo 35). Detalle en la guía de multas de la Ley 21.719.
Si mi proveedor de software es chileno, ¿me olvido de las transferencias internacionales?+
No. Un proveedor chileno puede alojar tus datos en otro país o usar subcontratistas extranjeros. Pregúntale dónde se guardan los datos, desde dónde se accede a ellos y qué subencargados usa. El artículo 15 bis exige tu autorización específica y por escrito para que delegue el encargo.
El 1 de diciembre de 2026 la ley será plenamente exigible
La puesta en marcha toma alrededor de un mes; cerrar todas las brechas depende de cada empresa. En una demostración de 30 minutos revisamos tu caso: qué tratamientos realizas, qué brechas tienes y por dónde comenzar.