Casi todo lo que se ha escrito sobre la Ley N° 21.719 está pensado para una empresa de oficina: clientes, correos, cookies, un sistema de recursos humanos. Una faena minera trata datos que no aparecen en esos ejemplos, y los trata a una escala y con una cadena de terceros que cambia el problema.
Este artículo baja la ley al terreno. El articulado sustantivo se incorpora al texto de la Ley N° 19.628 y su vigencia está diferida al 1 de diciembre de 2026: lo que sigue es el régimen que entra en vigor en esa fecha, no derecho vigente hoy.
Los cinco tratamientos que una faena hace todos los días
1. Exámenes ocupacionales y aptitud
Dato de salud, categoría sensible según el artículo 2 letra g de la Ley N° 21.719. El artículo 16 bis de la Ley N° 21.719 habilita el tratamiento «para fines de medicina preventiva o laboral, evaluación de la capacidad laboral del trabajador», y a la vez prohíbe la cesión de datos de salud «recolectados en el ámbito laboral», salvo autorización legal expresa. La consecuencia práctica es que la empresa debe recibir la conclusión de aptitud, no el resultado clínico.
2. Biometría en el control de acceso
El artículo 16 ter de la Ley N° 21.719 exige, además de la licitud general, informar al titular qué sistema biométrico se usa, con qué finalidad específica, durante cuánto tiempo y cómo ejercer sus derechos. La pregunta previa, que casi nadie se hace, es si la captura biométrica era necesaria o si el objetivo se lograba con una credencial.
3. Geolocalización de la flota
El artículo 16 sexies de la Ley N° 21.719 regula expresamente los datos de geolocalización y dispone que su tratamiento «se podrá realizar bajo las mismas fuentes de licitud establecidas en los artículos 12 y 13» —el propio artículo no añade fuentes de licitud nuevas: remite al consentimiento del artículo 12 y a las demás fuentes del artículo 13—, y el titular «deberá ser informado de manera clara, suficiente y oportuna, del tipo de datos de geolocalización que serán tratados, de la finalidad y duración del tratamiento». No los califica como sensibles, lo que es una buena noticia; el cuidado está en que el rastro continuo de un vehículo, cruzado con el turno, revela dónde estuvo una persona.
4. Detección de fatiga y decisiones automáticas
El artículo 8 bis de la Ley N° 21.719 reconoce que el titular «tiene derecho a oponerse y a no ser objeto de decisiones basadas en el tratamiento automatizado de sus datos personales, incluida la elaboración de perfiles, que produzca efectos jurídicos en él o le afecte significativamente». Un sistema que decide solo si alguien sube o no sube al camión produce, sin duda, un efecto significativo.
5. Postulantes y reclutamiento
El artículo 14 letra d de la Ley N° 21.719 obliga a «suprimir o anonimizar los datos personales del titular cuando fueron obtenidos para la ejecución de medidas precontractuales». Las campañas de reclutamiento del norte acumulan currículos y exámenes de personas que nunca fueron contratadas; esa base tiene fecha de caducidad.
La pregunta que ordena todo: quién es responsable y quién encargado
El artículo 15 bis de la Ley N° 21.719 establece que «el responsable puede efectuar el tratamiento de datos en forma directa o a través de un tercero mandatario o encargado», y que en ese caso el encargado trata los datos «conforme al encargo y a las instrucciones que le imparta el responsable, quedándole prohibido su tratamiento para un objeto distinto del convenido».
En una faena esa distinción no se resuelve por empresa, sino por flujo. La misma contratista es responsable respecto de los datos de su propio personal, y encargada respecto de los datos que la mandante le entrega. La plataforma de acreditación en la que se cargan los certificados es, casi siempre, una encargada del tratamiento de datos de salud, aunque el contrato la llame «proveedor de servicios».
Lo que hay que tener listo
- Un registro de las actividades de tratamiento que incluya los cinco flujos anteriores y no solo los administrativos.
- Una evaluación de impacto donde corresponda. El artículo 15 ter de la Ley N° 21.719 la exige siempre en casos de «evaluación sistemática y exhaustiva de aspectos personales… basadas en tratamiento o decisiones automatizadas, como la elaboración de perfiles», de «tratamiento masivo de datos o a gran escala», de monitoreo sistemático de zonas de acceso público y de «tratamiento de datos sensibles y especialmente protegidos, en las hipótesis de excepción del consentimiento». Una faena grande cae en más de una.
- Contratos de encargo con cada tercero que toque un dato: centro médico, plataforma de acreditación, proveedor de telemetría, empresa de transporte de personal.
- Medidas de seguridad documentadas. El artículo 14 quinquies de la Ley N° 21.719 menciona expresamente, entre otras, «la seudonimización y el cifrado de datos personales», la capacidad de restaurar la disponibilidad tras un incidente y «un proceso de verificación, evaluación y valoración regulares de la eficacia de las medidas».
- Un delegado de protección de datos, si corresponde. El artículo 50 de la Ley N° 21.719 dispone que debe ser designado «por la máxima autoridad directiva o administrativa del responsable».
Qué arriesga quien no lo haga
El artículo 35 de la Ley N° 21.719 fija las sanciones: las infracciones leves con amonestación escrita o multa de hasta 5.000 unidades tributarias mensuales, las graves con multa de hasta 10.000 y las gravísimas con multa de hasta 20.000. Y el artículo 34 quáter letra e de la Ley N° 21.719 califica como gravísima «tratar, comunicar o ceder, a sabiendas, datos personales sensibles… en contravención a las normas de esta ley». Enviar exámenes con resultados clínicos entre empresas es exactamente la conducta descrita.
Hay además un efecto que suele pesar más que la multa: el artículo 39 de la Ley N° 21.719 crea el Registro Nacional de Sanciones y Cumplimiento, «público y su acceso gratuito», donde se consigna a los responsables sancionados. En una industria que se contrata por acreditación, figurar ahí tiene consecuencias comerciales.
Una tolerancia que no alcanza a las grandes
El artículo sexto transitorio de la Ley N° 21.719 permite que, «durante los primeros doce meses luego de la entrada en vigencia de esta ley», la Agencia aplique como sanción una amonestación por escrito, pero solo respecto de «empresas calificadas como de menor tamaño, de acuerdo a las categorías establecidas en el artículo segundo de la ley N° 20.416». Una gran minera, y la mayoría de sus contratistas de tamaño relevante, quedan fuera de ese margen desde el primer día.
Por dónde partir
Por el mapa de flujos, no por el reglamento. Saber qué datos entran, quién los toca y por cuenta de quién es lo que después permite escribir cualquier documento con sentido. Si quiere ver cómo se ve eso resuelto en un sistema, revise GesDoc para la parte de salud ocupacional y SIDAP para el registro y la demostración del cumplimiento.