Las transferencias internacionales de datos están reguladas en los Arts. 27 a 29 de la Ley 21.719. La regla general es que la transferencia es lícita cuando se dirige a un país que la Agencia haya declarado con nivel adecuado de protección, cuando se ampara en cláusulas contractuales tipo aprobadas, normas corporativas vinculantes o instrumentos jurídicos similares con garantías adecuadas, o cuando se aplica un modelo de cumplimiento o mecanismo de certificación con garantías adecuadas.
En ausencia de adecuación o garantías adecuadas, la Ley admite hipótesis específicas de transferencia, entre ellas el consentimiento expreso del titular para una transferencia específica y determinada (Art. 27 inciso final lit. a de la Ley 21.719). Esa es la pieza que más empresas necesitan resolver hoy, porque buena parte de los servicios cloud y de procesamiento globales operan desde jurisdicciones que aún no tienen declaración de adecuación de la Agencia.
Las tres rutas para una transferencia lícita
Ruta 1: país adecuado
La Agencia publicará un listado de países con nivel adecuado de protección. Hasta que exista ese listado y se actualice, esta ruta no es operativa para casi ningún destino.
Ruta 2: garantías adecuadas
El instrumento más usado en la práctica son las cláusulas contractuales tipo (CCT) aprobadas por la Agencia. También aplican las normas corporativas vinculantes (BCR) entre sociedades del mismo grupo empresarial. La empresa transferente debe acreditar que tiene el instrumento firmado y que las cláusulas siguen vigentes y aplicables.
Ruta 3: hipótesis específicas
Cuando no hay adecuación ni garantía suficiente, la Ley permite la transferencia en circunstancias acotadas: consentimiento expreso del titular para una transferencia específica y determinada, ejecución de un contrato entre el titular y el responsable, formulación o ejercicio de derechos, interés vital del titular, formulación o cumplimiento de tratados internacionales, entre otras.
Cuándo se requiere consentimiento expreso
El consentimiento expreso del Art. 27 inciso final lit. a de la Ley 21.719 aplica cuando:
- El destino no es un país con declaración de adecuación.
- No hay cláusulas contractuales tipo aprobadas en juego.
- No aplica ninguna de las otras hipótesis específicas.
- La transferencia no es habitual, sino ocasional.
El requisito es que el consentimiento sea expreso, es decir, otorgado para esa transferencia específica, identificando el país de destino, los riesgos asociados a la falta de adecuación y las garantías mitigantes que existan o no.
Qué información debe entregarse al titular
El Art. 14 ter de la Ley 21.719 obliga al responsable a mantener permanentemente a disposición del público, entre otra información, las transferencias internacionales que se van a realizar. La información mínima incluye:
- Categorías de datos que se transferirán.
- Identificación del país u organización internacional destinataria.
- Si el destino tiene nivel adecuado declarado por la Agencia.
- Instrumentos jurídicos aplicables (CCT, BCR, certificación, consentimiento).
- Riesgos previsibles si el destino no tiene nivel adecuado.
- Mecanismos para ejercer derechos del titular ante el destinatario.
Una transferencia documentada con detalle pone al titular en condición de decidir y, simultáneamente, deja a la empresa con evidencia oponible.
Casos de uso típicos en Chile
Servicios cloud globales
Microsoft 365, Google Workspace, AWS, Azure y proveedores similares operan con datacenters en múltiples jurisdicciones. La empresa cliente puede activar regiones con datacenters en Brasil, EE.UU. o Europa. Para regiones sin declaración de adecuación, la ruta más estable es CCT firmadas con el proveedor, complementadas con consentimiento del titular cuando la finalidad es discrecional.
Casa matriz en EE.UU.
Filiales chilenas de matrices estadounidenses suelen replicar datos al ambiente corporativo. La ruta es BCR del grupo empresarial cuando aplique, CCT cuando no, y consentimiento del titular para finalidades secundarias (publicidad global, analítica, programas de fidelización corporativos).
Tercerización a India o Filipinas
Centros de servicios compartidos en jurisdicciones sin declaración de adecuación. CCT con el proveedor más consentimiento del titular cuando se trata de datos sensibles, son la combinación habitual.
Salud y ensayos clínicos
La transferencia de datos clínicos a sponsors o CROs internacionales requiere una vía válida de transferencia de los Arts. 27 y 28 de la Ley 21.719 y, además, el consentimiento para datos de salud en los términos del Art. 16 bis de la Ley 21.719 y de la Ley 20.584.
Documentar la transferencia en el RAT
El Decreto 662/2025 obliga a registrar las transferencias internacionales en el Registro de Actividades de Tratamiento. Cada actividad documentada incluye país de destino, instrumento jurídico, garantías adicionales, base de licitud, fecha de inicio y plazo. Cuando el titular pregunta por sus datos, esa información sale del RAT.
Cómo lo resuelven Voluntas y SIDAP
SIDAP mantiene el RAT con los 41 campos exigidos por el Decreto 662, donde cada actividad de transferencia internacional queda documentada. Voluntas captura el consentimiento expreso del titular cuando la transferencia lo requiera, registrando la información del Art. 14 ter de la Ley 21.719 (país, instrumento, riesgos) en el ConsentReceipt ISO/IEC TS 27560:2023, lo sella con TSA acreditada y emite Certificado oponible. Cuando el titular ejerce derechos sobre sus datos transferidos, el sistema sabe a qué destinatarios notificar.