Chile define plazos para Ley 21.719 y Europa aplica multas de €9,6M por fallos en anonimización y biometría

El panorama regulatorio global ha dado un giro drástico recientemente, con multas que suman más de €9,6 millones en Europa y la cuenta regresiva para la entrada en vigor de la Ley 21.719 en Chile, que impone sanciones de hasta 20.000 UTM.

En los últimos días, las autoridades de protección de datos han endurecido su postura frente a dos riesgos críticos: la falsa anonimización de datos sensibles y la recopilación de biometría sin consentimientos específicos. Mientras tanto, en el contexto local chileno, las empresas se encuentran en una encrucijada regulatoria debido a la coexistencia de la Ley Marco de Ciberseguridad y la nueva normativa de protección de datos personales, cuyos plazos de cumplimiento podrían ser objeto de debate legislativo en las próximas semanas.

Sanciones en Europa: Lecciones para el mercado latinoamericano

Anonimización insuficiente y el caso IQVIA

Recientemente, la autoridad italiana de protección de datos impuso una multa de €7 millones a la empresa IQVIA. La infracción se originó al tratar información de aproximadamente un millón de pacientes bajo un esquema de supuesta anonimización que, tras la investigación, resultó ser reidentificable. Este caso sienta un precedente vital para empresas de salud y analítica en Chile y la región: la seudonimización no es equivalente a la anonimización definitiva ante la ley.

• Riesgo de Reidentificación: Si los datos pueden vincularse a una persona natural mediante esfuerzos razonables, siguen sujetos a todas las obligaciones del GDPR o, en nuestro caso, de la Ley 21.719.

El costo de la biometría sin consentimiento en Croacia

Paralelamente, un operador de apuestas en Croacia fue sancionado con €2,6 millones por recolectar huellas digitales de sus usuarios sin un consentimiento válido. La autoridad determinó que el consentimiento genérico no es suficiente para tratar datos biométricos, considerados de categoría especial.

El escenario en Chile: Ley 21.719 y Ley Marco de Ciberseguridad

En el ámbito local, la atención está puesta en el 1 de diciembre como fecha hito para la entrada en vigor de la Ley 21.719. Aunque existe un proyecto en trámite para aplazar esta fecha un año adicional, hasta el momento la obligatoriedad se mantiene firme. Esta ley no solo crea la Agencia de Protección de Datos Personales, sino que establece un régimen sancionatorio severo:

• Multas Gravísimas: Hasta 20.000 UTM, y en caso de reincidencia, el monto puede escalar hasta el 4% de los ingresos anuales de la compañía.
• Doble Reporte: Las empresas deberán coordinar dos relojes de notificación críticos: una alerta al CSIRT en 3 horas por incidentes de ciberseguridad (bajo la Ley 21.663) y una notificación a la Agencia en 72 horas por brechas de datos personales.

Costa Rica y la exigencia de cifrado obligatorio

En Centroamérica, Costa Rica avanza con un proyecto de ley que propone multar a instituciones y empresas que almacenen datos personales sin cifrado. Las sanciones propuestas oscilan entre 20 y 80 salarios base, sumado a la posible suspensión de las bases de datos por seis meses. Esta tendencia refuerza que el cifrado ya no es una recomendación técnica, sino una obligación legal mínima de seguridad.

Conclusión

Los recientes eventos en Italia, Croacia y las propuestas legislativas en Chile y Costa Rica demuestran que el margen de error para el cumplimiento de privacidad se ha reducido a cero. Las empresas ya no solo deben protegerse de ataques externos —los cuales también generan sanciones si los controles son deficientes, como ocurrió en Rumanía con Global Customer Care Services— sino que deben auditar profundamente sus procesos de manejo de datos, desde la captura biométrica hasta los algoritmos de anonimización.

¿Cómo puede ayudarte Cyberix?

En Cyberix ayudamos a las organizaciones a navegar la complejidad de la Ley 21.719 y la Ley Marco de Ciberseguridad en Chile, asegurando que sus procesos de tratamiento de datos cumplan con los estándares internacionales más exigentes.

• Auditoría en Ciberseguridad y Compliance (NIST, ISO 27001)
• IA y Automatización para la gestión de consentimientos

¿Está tu empresa lista para el 1 de diciembre? Protege tu operación y evita multas millonarias con nuestras auditorías de cumplimiento.