Ley 21.719 y los datos de tus trabajadores: qué debe revisar el área de Personas antes de diciembre
El próximo 1 de diciembre entrará en vigencia la Ley 21.719, que moderniza en Chile el marco de protección de datos personales y establece nuevas exigencias para las empresas respecto de la forma en que recopilan, utilizan, almacenan y comparten información de las personas.
El cambio tendrá un impacto directo en las áreas de Personas, las que durante todo el ciclo laboral administran una gran cantidad de información de sus colaboradores, desde los antecedentes entregados por un postulante y sus datos de contacto, hasta información contractual, remuneraciones, evaluaciones de desempeño, registros de asistencia y antecedentes médicos.
La nueva normativa establece un estándar más exigente y obliga a las organizaciones a poder justificar y acreditar cómo realizan estos tratamientos. La ley, además, considera como datos sensibles, entre otros, aquellos relativos a la salud, afiliación sindical y datos biométricos.
Del almacenamiento de datos a una gestión justificada
La nueva legislación establece que el tratamiento de datos personales debe responder a una finalidad determinada y estar sujeto a principios como la licitud, proporcionalidad, transparencia y seguridad. Además, las empresas deberán ser capaces de demostrar que cuentan con medidas concretas para cumplir con estas obligaciones.
"La normativa cambia la lógica completa. Hasta ahora se recopilaban datos de trabajadores casi sin restricción. Desde el 1 de diciembre, todo eso tiene que estar justificado y documentado. Y la mayoría de las empresas no está preparada, sinceramente"
Esto supone un desafío particularmente relevante para las áreas de Personas, porque obliga a mirar procesos que muchas veces se han construido durante años y que involucran múltiples sistemas, proveedores y equipos dentro de una organización.
Una oportunidad de revisar todo el ciclo laboral
Una de las primeras tareas que deberán llevar adelante dentro de las empresas será identificar qué información se está recopilando actualmente y en qué momentos del ciclo laboral se utiliza.
"Hay que mirar todo el ciclo laboral completo, desde el CV hasta la desvinculación. Pero lo que hay que revisar con más cuidado son los datos sensibles, como salud, biometría o afiliación sindical. Esos tienen protección reforzada y las multas por mal uso son mucho más altas"
La revisión, por lo tanto, no debería limitarse a las bases de datos de trabajadores activos. También debe considerar los antecedentes de postulantes, extrabajadores y la información que permanece almacenada después de que termina una relación laboral.
Entre los datos que requieren especial atención están los antecedentes médicos y los datos biométricos utilizados, por ejemplo, en sistemas de control de asistencia. La normativa considera estos últimos como datos personales sensibles y establece un estándar reforzado para su tratamiento.
El reglamento interno también entra en revisión
La actualización del Reglamento Interno de Orden, Higiene y Seguridad aparece como uno de los puntos relevantes de la adecuación. Este documento debe contemplar reglas claras sobre materias como el tratamiento de información de trabajadores, el acceso a los datos, la confidencialidad, el uso de sistemas informáticos y correos corporativos y las medidas para evitar accesos no autorizados o usos indebidos.
"Hay que partir por entender qué datos están juntando las empresas hoy y para qué. Después hay que revisar el reglamento interno, que ahora tiene que decir explícitamente cómo se tratan los datos de los trabajadores. Y también hay que revisar los contratos con los proveedores de software de Recursos Humanos para evitar cualquier problema"
Esto también obliga a mirar hacia afuera de la organización. Las plataformas de recursos humanos, sistemas de control de asistencia, herramientas de reclutamiento y otros servicios tecnológicos pueden involucrar el tratamiento de información personal, por lo que los contratos y las responsabilidades de cada proveedor deben estar claramente definidos.
Biometría y monitoreo: prácticas que deben ser justificadas
Otro de los puntos que las empresas deberían revisar son los sistemas utilizados para controlar, supervisar o monitorear a sus trabajadores.
"todos esos aspectos entran en la ley. La huella o el reconocimiento facial son datos sensibles, así que su uso tiene que estar justificado por escrito. Y el monitoreo de correo o de actividad necesita transparencia real con el trabajador, no solo una cláusula perdida en el contrato"
La Dirección del Trabajo ya ha señalado que los mecanismos de control mediante cámaras deben responder a una finalidad legítima y ser idóneos, necesarios y proporcionales al objetivo perseguido, además de estar contemplados en el reglamento interno y respetar los derechos fundamentales de los trabajadores.
¿Qué pasa con los trabajadores externalizados?
Para las empresas que trabajan con servicios transitorios o personal externalizado existe además un desafío adicional en el punto de determinar qué ocurre con los datos que circulan entre la empresa proveedora y la empresa usuaria.
"Las empresas tienen más responsabilidad de la que creen. Si reciben datos de los trabajadores del proveedor, o si les dan acceso a sus sistemas, esa transferencia también queda regulada. Hay que tener claro en el contrato quién trata qué información y para qué, no asumir que eso lo resuelve el proveedor solo"
El punto es especialmente relevante cuando distintas organizaciones participan en un mismo proceso laboral. La nueva regulación obliga a tener mayor claridad respecto de quién es responsable del tratamiento de los datos, quién tiene acceso a ellos, con qué finalidad se utilizan y qué medidas existen para protegerlos.
Por eso, la adecuación no debería quedarse únicamente en el área de Personas. También requiere involucrar a las áreas legales, tecnología, seguridad de la información y a los proveedores externos que participan en el procesamiento de estos antecedentes.
Tres meses para comenzar a ordenar la casa
Aunque la entrada en vigencia será el 1 de diciembre, las empresas que todavía no han iniciado el proceso deberían hacerlo ahora. El desafío no es menor, ya que la nueva normativa contempla una institucionalidad específica de protección de datos y un régimen sancionatorio considerablemente más exigente que el vigente. En determinados casos, las multas pueden llegar hasta 20.000 UTM y, para grandes empresas reincidentes, alcanzar porcentajes de sus ingresos anuales.
Por eso, más que esperar a diciembre para reaccionar, el período previo a la entrada en vigencia debe entenderse como una oportunidad para ordenar los procesos internos.
Para las áreas de Personas, el primer paso es conocer qué información se está manejando actualmente y entender el recorrido de esos datos, quién los recopila, dónde se almacenan, quién puede acceder a ellos, para qué se utilizan, cuánto tiempo se conservan y con qué terceros se comparten.
La Ley 21.719 no solo cambia las obligaciones asociadas a los datos personales. También instala una nueva pregunta para las organizaciones, relacionada a ver si se puede demostrar que cada empresa está tratando los datos sus trabajadores de manera legítima, proporcional, segura y transparente.
Y con menos de tres meses para su entrada en vigencia, esa revisión ya no debería quedar para después.
👉 Te invitamos a conocer nuestros servicios acá.