Cómo la nueva ley de protección de datos en Chile cambiará la forma de gestionar eventos académicos y corporativos

La Ley 21.719, publicada en diciembre de 2024 y vigente desde el 1 de diciembre de 2026, reemplaza el marco chileno heredado de la Ley 19.628 y crea la Agencia de Protección de Datos Personales (APDP). Para quienes organizan eventos académicos y corporativos esto no es solo un trámite legal: implica rediseñar formularios, contratos con proveedores, flujos de check-in y la manera en que se atienden los derechos de los asistentes.

A continuación explicamos qué exige la ley, cuáles son las sanciones y cómo prepararse—incluyendo el rol de una plataforma especializada como Peewah.

1. Qué dice la Ley 21.719 y quiénes deben cumplir

• Alcance: aplica a cualquier responsable o encargado que trate datos desde Chile y también a quienes, estando fuera, ofrezcan servicios o monitoreen comportamiento de personas en el país (Artículo 4, Ley 21.719, Diario Oficial 13/12/2024).
• Plazos: entra en vigor 24 meses después de su publicación (1 de diciembre de 2026). En 2025 se publicarán los reglamentos específicos, por lo que 2026 es el último año para demostrar cumplimiento real.
• Autoridad: la APDP será autónoma, fiscalizará, dictará instrucciones y mantendrá un Registro Nacional de Sanciones.
• Principios: licitud, finalidad, proporcionalidad, minimización, transparencia, seguridad y responsabilidad proactiva (accountability) alineados con el RGPD (Cebra & AnguitaOsorio, 2025; BigID, 2025).

2. Obligaciones clave para eventos académicos y corporativos

1. Consentimiento inequívoco: formularios y landing pages deben explicar finalidades, bases legales y proporcionar casillas independientes para marketing, sponsors o cesión a terceros. El consentimiento debe quedar registrado con fecha, hora, IP y versión del aviso.
2. Registro de actividades: universidades, asociaciones y productoras necesitan inventariar cada tratamiento (inscripciones, cobranzas, check-in, envíos de certificados) con su base legal y medidas de seguridad.
3. Delegado de Protección de Datos (DPD): obligatorio para entidades públicas y privadas con tratamiento intensivo. Debe reportar a la alta dirección y tener independencia.
4. Evaluaciones de impacto (EIPD): exigidas cuando se tratan datos sensibles (salud, biometría), se elaboran perfiles o se monitorea masivamente (por ejemplo, analítica de comportamiento en ferias o congresos híbridos).
5. Atención de derechos ARCOP: acceso, rectificación, cancelación, oposición, portabilidad y revisión de decisiones automatizadas con plazos definidos por ley.
6. Gestión de incidentes: cualquier brecha que comprometa datos personales debe notificarse oportunamente a la APDP y a los titulares afectados.
7. Contratos con proveedores: los encargados de tratamiento (agencias, call centers, software de streaming, pasarelas de pago) deben firmar cláusulas que detallen instrucciones, medidas y responsabilidades.
8. Transferencias internacionales: solo se permiten si el país de destino es adecuado o si existen garantías contractuales aprobadas por la APDP.

3. Errores frecuentes hoy

• Formularios que combinan varios consentimientos en un solo checkbox o que no explican por cuánto tiempo conservarán los datos.
• Bases de datos fragmentadas (Excel, CRM, plataformas de boletos) sin versión única de la verdad y sin control de acceso.
• Equipos de check-in que no registran evidencia (IP, usuario) de quién confirma la asistencia.
• Respuestas ad-hoc a solicitudes de baja: el dato se elimina en un sistema pero persiste en otro.
• Proveedores de producción, video o streaming sin acuerdos de tratamiento; se comparten listados sin auditoría posterior.

4. Checklist 2026: pasos concretos antes de la entrada en vigor

1. Mapear tratamientos y bases legales (Q1 2026).
2. Actualizar los avisos de privacidad y formularios con consentimientos separados y logs automáticos.
3. Centralizar la información de asistentes en una plataforma que trace el ciclo completo (registro, confirmación, asistencia, comunicaciones).
4. Diseñar flujos para derechos ARCOP: bandeja única, plantillas de respuesta, SLAs y evidencia.
5. Formalizar contratos con todos los encargados (agencias BTL, call centers, impresores de credenciales, operadores de streaming, pasarelas).
6. Implementar monitoreo y notificación de incidentes (plan de respuesta, bitácoras, responsables).
7. Designar y empoderar al DPD (mandato formal, presupuesto, acceso a dirección).

5. Sanciones y riesgos reales

La APDP clasificará las infracciones en leves, graves y gravísimas con multas de hasta 20.000 UTM (más de CLP $1.300 millones) y posibilidad de triplicarlas en caso de reincidencia. Unidades más bajas inician en 1 UTM y 5.000/10.000 UTM para infracciones graves (PreyProject, 2026; Netprovider, 2025). Además:

• Registro público de sanciones: las resoluciones serán visibles y afectarán reputación e imagen.
• Medidas complementarias: órdenes de suspensión de tratamiento, clausura temporal, instrucciones de adecuación.
• Demandas civiles: los titulares podrán reclamar daños y perjuicios adicionales.

6. Cómo Peewah ayuda a cumplir (desde hoy)

• Consentimientos trazables y exportables: cada formulario registra texto legal, timestamp, IP y hash del participante para que puedas demostrar cuándo aceptó cada persona. Si actualizas la política, puedes duplicar el formulario o exportar los consentimientos previos como respaldo documental.
• Centralización del ciclo del asistente: inscripción, pagos, check-in, badges y comunicaciones viven en un solo lugar, reduciendo la dispersión típica entre Excel, correo y apps aisladas.
• Check-in con trazabilidad en tiempo real: cada escaneo actualiza inmediatamente la asistencia, muestra qué usuario del staff lo ejecutó y evita dobles accesos. Los registros se exportan con firma digital para auditorías internas.
• Gestión de derechos: Peewah permite marcar a un asistente para baja o portabilidad y aplica la acción en toda la instancia del evento, dejando comprobante para el DPD.
• Reportes para la APDP: descargables con filtros por evento, campaña o programa educativo, incluyendo bitácoras de incidentes.

7. Próximo paso para las instituciones chilenas

• Universidades: revisar cómo capturan datos de postulantes, conferencistas y asistentes a diplomados. El objetivo es tener una ruta única para consentimientos y retiros.
• Asociaciones médicas y científicas: validar que los congresos con datos de salud incluyan evaluaciones de impacto y mecanismos de seudonimización.
• Empresas: incorporar la política de datos de la casa matriz y asegurar que las filiales chilenas puedan responder reclamos en menos de 15 días.

La oportunidad es anticiparse. Las instituciones que alineen sus eventos en 2026 llegarán con ventaja competitiva: podrán demostrar cumplimiento, atraer sponsors globales y consolidar la confianza de su comunidad.

Si quieres evaluar cómo adaptar tus eventos a la Ley 21.719 antes de diciembre de 2026, agenda una sesión con nuestro equipo en peewah.co. Te mostramos cómo Peewah gestiona consentimientos, check-ins auditables y reportes listos para la APDP.