Multas de la Ley 21.719: cuánto te puede costar no cumplir

Cuando una empresa entiende que la nueva ley de datos viene en serio, la primera pregunta es siempre la misma: cuánto me pueden multar. Es la pregunta correcta para dimensionar el riesgo, aunque no es la respuesta más importante. Vamos por partes.

La idea en simple

• Las infracciones se clasifican en leves, graves y gravísimas.
• Los topes son 5.000, 10.000 y 20.000 UTM según la gravedad.
• La multa se calcula considerando el tamaño y la capacidad económica de la empresa.
• Ante infracciones gravísimas reiteradas, además de la multa existe la suspensión del tratamiento de datos, que para muchos es peor.

Los tres niveles

Leves: hasta 5.000 UTM. Acá caen los incumplimientos formales. No informar como corresponde, no responder una solicitud dentro del plazo, no tener actualizado el registro de tus tratamientos. Son las más fáciles de cometer sin darse cuenta y las más fáciles de evitar.

Graves: hasta 10.000 UTM. Tratar datos sin una base legal que lo justifique, no notificar una filtración de seguridad, no cumplir las obligaciones de seguridad sobre los datos. Este es el nivel donde cae la mayoría de las situaciones que vemos hoy en empresas chilenas.

Gravísimas: hasta 20.000 UTM. Tratamiento fraudulento, uso indebido de datos sensibles, transferencias internacionales al margen de la ley. Es el techo, y está pensado para conductas deliberadas.

Para dimensionar: 20.000 UTM supera los $1.400 millones de pesos. Pero la multa máxima es un titular, no un pronóstico. La ley obliga a considerar circunstancias como el tamaño de la empresa, si hubo intención, si el daño se reparó y si existía un modelo de prevención. Una pyme que cometió una infracción formal y colaboró no va a recibir el tope.

La sanción de la que nadie habla

Junto a las multas, la ley contempla una sanción accesoria: la suspensión de las operaciones de tratamiento de datos. No procede ante cualquier infracción: solo cuando a la empresa se le imponen multas por infracciones gravísimas reiteradas en un período de 24 meses, y por hasta 30 días, prorrogables mientras no corrija. Traducido: en el peor caso, te pueden ordenar dejar de usar tus datos personales por un mes.

Piensa un momento en lo que eso significa para una empresa que vende. Sin base de datos no hay campañas de correo. Sin poder tratar datos no hay remarketing, no hay segmentación, no hay CRM operativo. Tu equipo comercial se queda mirando una pantalla que no puede usar. Para una empresa cuyo motor comercial es digital, un mes de suspensión cuesta bastante más que una multa leve.

Esa es la razón real para tomarse esto en serio. La multa es un evento único que se paga; la suspensión ataca el flujo de ingresos.

Lo que puede reducir la sanción

La ley premia a quien se preparó. Tener un modelo de prevención de infracciones documentado y funcionando permite atenuar la responsabilidad. En castellano: si te equivocas pero puedes demostrar que tenías procedimientos, que capacitaste a tu gente y que reaccionaste rápido, tu situación es distinta a la de quien nunca hizo nada.

Esto también significa que empezar ahora tiene un valor que va más allá de estar listo el 1 de diciembre. Un registro de tratamientos con fecha de agosto vale más que uno improvisado en enero.

Cómo estimar tu exposición

No necesitas un abogado para hacer una primera lectura. Responde esto:

• ¿Cuántas personas hay en tus bases de datos? A más volumen, mayor exposición.
• ¿Tratas datos sensibles (salud, situación socioeconómica, biométricos)? Sube el riesgo un escalón.
• ¿De cuántos de esos contactos puedes probar el consentimiento? Si la respuesta es "de casi ninguno", ahí está tu problema principal.
• ¿Cuántos proveedores externos tocan esos datos sin un contrato que lo regule?
• Si mañana hay una filtración, ¿en cuánto tiempo te enterarías?

Las respuestas te ordenan por dónde partir, y casi siempre el orden es el mismo: primero saber qué tienes, después arreglar cómo lo pides, al final documentar.

Esto es una parte de la ley. El resto está en la guía de la Ley 21.719 para empresas.

Si prefieres que alguien lo mire con ojos externos, así hacemos el diagnóstico de exposición: levantamos dónde captura y guarda datos tu empresa, y ordenamos las brechas por riesgo, no por orden alfabético.