Cumple la Ley 21.719 antes de que entre en vigencia

Licitud y lealtad, finalidad, proporcionalidad, calidad, responsabilidad, seguridad, transparencia e información, y confidencialidad. El responsable deberá ser capaz de acreditar la licitud del tratamiento de datos personales que realiza (Art. 3° a) inc. 2°).

La ley reconoce 6 derechos: Acceso (Art. 5°), Rectificación (Art. 6°), Supresión (Art. 7°), Oposición (Art. 8°), Portabilidad (Art. 9°) y Bloqueo temporal (Art. 8° ter). Son personales, intransferibles e irrenunciables, y no pueden limitarse por ningún acto o convención. En caso de fallecimiento del titular, pueden ser ejercidos por sus herederos, salvo que la persona fallecida lo hubiese prohibido expresamente o así lo establezca una ley. El responsable tiene 30 días corridos para responder, prorrogable por una sola vez hasta por 30 días corridos más (Art. 11).

Libre, informado y específico en cuanto a su finalidad. Debe manifestarse en forma previa y de manera inequívoca, mediante una declaración verbal, escrita o expresada a través de un medio electrónico equivalente, o mediante un acto afirmativo que dé cuenta con claridad de la voluntad del titular. Revocable en cualquier momento y sin expresión de causa. Corresponde al responsable probar que contó con el consentimiento del titular y que el tratamiento fue realizado en forma lícita, leal y transparente. Otras fuentes de licitud sin consentimiento: Art. 13 (obligación económica, obligación legal, contrato, interés legítimo, defensa de derechos).

Voluntario. El programa de cumplimiento debe contener al menos: designación de un delegado de protección de datos (Art. 50), definición de medios y facultades del delegado, identificación del tipo de información que trata, identificación de actividades o procesos riesgosos, protocolos y procedimientos de prevención, mecanismos de reporte, y sanciones administrativas internas. Constituye circunstancia atenuante de responsabilidad (Art. 36 N°5), verificable mediante certificado expedido por la Agencia (Art. 51), con vigencia de 3 años (Art. 52). En micro, pequeñas y medianas empresas, el dueño o sus máximas autoridades podrán asumir personalmente las tareas de delegado (Art. 50 inc. 3°).

Obligatoria cuando sea probable que un tipo de tratamiento, por su naturaleza, alcance, contexto, tecnología utilizada o fines, pueda producir un alto riesgo para los derechos de los titulares. Se requerirá siempre en: evaluación sistemática y exhaustiva con decisiones automatizadas que produzcan efectos jurídicos significativos (letra a), tratamiento masivo o a gran escala (letra b), monitoreo sistemático de zona de acceso público (letra c), y tratamiento de datos sensibles en las hipótesis de excepción del consentimiento (letra d). La Agencia establecerá y publicará una lista orientativa de operaciones que requieran o no EIPD. Su incumplimiento es infracción gravísima (Art. 34 quáter k).

Infracciones leves: amonestación escrita o multa de hasta 5.000 UTM. Infracciones graves: multa de hasta 10.000 UTM. Infracciones gravísimas: multa de hasta 20.000 UTM. En caso de reincidencia (Art. 35 inc. 3°), la Agencia podrá aplicar multa de hasta tres veces el monto asignado a la infracción cometida. Para empresas distintas de las de menor tamaño (Ley 20.416) que reincidan en infracción grave o gravísima (Art. 35 inc. 4°), la multa podrá alcanzar hasta el 2% o 4% de los ingresos anuales por ventas y servicios, respectivamente. Además, el responsable deberá indemnizar el daño patrimonial y extrapatrimonial que cause a los titulares (Art. 47), con prescripción de 5 años.