Desde el 1 de diciembre de 2026, la Ley 21.719 cambia las reglas para tratar datos biométricos en Chile. La huella, el rostro o el iris de un trabajador son datos personales sensibles. Por eso, la empresa necesita su consentimiento expreso y debe informarle qué sistema usa y para qué. Además, solo puede guardar esos datos el tiempo necesario.
En resumen
- La Ley 21.719 modifica la Ley 19.628 y rige desde el 1 de diciembre de 2026.
- Los datos biométricos, como la huella, el iris o los rasgos faciales, son datos personales sensibles.
- Para tratarlos se requiere, por regla general, el consentimiento expreso del titular, que puede revocarlo en cualquier momento.
- La empresa debe informar el sistema biométrico, la finalidad, el plazo de uso y cómo ejercer los derechos.
- Las multas llegan a 20.000 UTM y fiscaliza la nueva Agencia de Protección de Datos Personales.
¿Qué es la Ley 21.719?
La Ley 21.719 regula la protección y el tratamiento de los datos personales. Además, crea la Agencia de Protección de Datos Personales. La norma se publicó en el Diario Oficial el 13 de diciembre de 2024 y modifica la Ley 19.628, vigente desde 1999.
En la práctica, la ley eleva el estándar para cualquier organización que trate datos de personas, incluidos sus propios trabajadores. También agrega obligaciones de transparencia, nuevos derechos para los titulares y un régimen de multas. Mientras no entre en vigencia, el tratamiento de datos se sigue rigiendo por la Ley 19.628 en su texto actual.
¿Qué son los datos biométricos según la Ley 21.719?
Los datos biométricos son los que permiten identificar a una persona a partir de sus características físicas o de su conducta. La ley los define en su artículo 16 ter:
Son datos personales biométricos aquellos obtenidos a partir de un tratamiento técnico específico, relativos a las características físicas, fisiológicas o conductuales de una persona que permitan o confirmen la identificación única de ella, tales como la huella digital, el iris, los rasgos de la mano o faciales y la voz.
Asimismo, la ley incluye los datos biométricos entre los datos personales sensibles, que tienen el nivel de protección más alto. Por lo tanto, un reloj control con huella, un acceso con reconocimiento facial o una medición con imágenes del iris tratan datos sensibles.
¿Qué exige la Ley 21.719 para tratar datos biométricos de trabajadores?
La regla general es el consentimiento expreso del trabajador, junto con información específica sobre el sistema. Así lo establecen los artículos 16 y 16 ter.
Consentimiento expreso, libre e informado
Según el artículo 16, los datos sensibles solo pueden tratarse cuando el titular da su consentimiento en forma expresa. Puede hacerlo por escrito, de forma verbal o por un medio tecnológico equivalente.
Además, el artículo 12 exige que el consentimiento sea libre, informado y específico en cuanto a su finalidad. También debe ser previo e inequívoco. El trabajador puede revocarlo en cualquier momento y sin dar razones, aunque la revocación no tiene efectos hacia atrás.
En el trabajo, este punto es delicado. La ley presume que el consentimiento no fue libre si se pide durante un contrato y el dato no es necesario para cumplirlo. Por eso, algunos especialistas recomiendan que la empresa pueda justificar por qué necesita el dato biométrico y que evalúe ofrecer una alternativa.
Información específica sobre el sistema
El artículo 16 ter agrega una condición propia de los datos biométricos. La empresa debe entregar al trabajador esta información:
- Qué sistema biométrico usa.
- Para qué finalidad específica usará los datos.
- Durante qué período los usará.
- Cómo puede el trabajador ejercer sus derechos.
Excepciones acotadas
Sin consentimiento, los datos biométricos solo pueden tratarse en los casos que señala el artículo 16 bis. Por ejemplo, para proteger la vida o cuando una ley lo permite de forma expresa. El alcance de estas excepciones en cada caso concreto lo precisarán la Agencia y los tribunales. Por eso, conviene revisarlo con asesoría legal.
¿Qué debe informar y publicar la empresa?
Además de la información sobre el sistema, la Ley 21.719 exige transparencia general. Según el artículo 14 ter, el responsable debe mantener disponible, por ejemplo en su sitio web:
- su política de tratamiento de datos personales, con fecha y versión;
- las finalidades y la base de licitud de cada tratamiento;
- el período durante el que conservará los datos;
- los derechos de los titulares y el canal para ejercerlos;
- las medidas de seguridad que aplica.
A su vez, el principio de proporcionalidad del artículo 3 limita el tiempo de conservación. Los datos solo pueden guardarse mientras sean necesarios para su finalidad. Después, deben suprimirse o anonimizarse.
¿Qué derechos tienen los trabajadores sobre sus datos?
Cada trabajador tiene derecho de acceso, rectificación, supresión, oposición, portabilidad y bloqueo de sus datos personales. Son derechos personales e irrenunciables, según el artículo 4.
Por otra parte, el artículo 8 bis reconoce el derecho a no ser objeto de decisiones basadas solo en un tratamiento automatizado. Se aplica cuando esas decisiones producen efectos jurídicos o afectan de forma significativa a la persona. Este punto importa si un sistema con inteligencia artificial decide algo sobre una persona. En los casos en que la ley permite esas decisiones, el responsable debe asegurar la intervención humana y el derecho a impugnarlas.
¿Desde cuándo rige la Ley 21.719 y quién fiscaliza?
La Ley 21.719 entra en vigencia el 1 de diciembre de 2026. Desde entonces, la fiscalización quedará a cargo de la Agencia de Protección de Datos Personales, una corporación autónoma de derecho público y de carácter técnico.
Entre sus funciones, la Agencia podrá dictar instrucciones generales, fiscalizar el cumplimiento de la ley y aplicar sanciones. También administrará un Registro Nacional de Sanciones y Cumplimiento.
¿Qué pasa si una empresa no cumple?
Las infracciones se clasifican en leves, graves y gravísimas. Las multas llegan hasta 5.000, 10.000 y 20.000 UTM, respectivamente. En caso de reincidencia, las grandes empresas pueden enfrentar multas calculadas como un porcentaje de sus ingresos anuales.
Cómo preparar a tu empresa antes del 1 de diciembre
Estos pasos ayudan a ordenar el tratamiento de datos biométricos de trabajadores:
- Haz un inventario de todos los sistemas que usan biometría: asistencia, control de acceso, mediciones en faena o firma de documentos.
- Define la finalidad de cada sistema y evalúa si el dato biométrico es necesario o si existe una alternativa.
- Fija un plazo de conservación y un procedimiento para suprimir los datos al cumplirse.
- Prepara el texto informativo con los cuatro puntos del artículo 16 ter, en lenguaje claro.
- Implementa un registro de consentimiento que guarde quién lo dio, cuándo y para qué, y que permita revocarlo con facilidad.
- Habilita un canal para que cada trabajador ejerza sus derechos.
- Revisa los contratos con tus proveedores de tecnología que procesan esos datos por cuenta de la empresa.
Si la biometría se usa para prevención de riesgos, considera también el estándar laboral. La Dirección del Trabajo lo precisó en su dictamen 388/32: cumplir la normativa de datos no vuelve lícita una medida de control por sí sola, ni al revés.
Cómo AptOK aborda los datos biométricos
AptOK es la plataforma de Solem que mide el estado de alerta y verifica la identidad de cada trabajador. Usa imágenes infrarrojas del iris e IA, en una sola toma de máximo 15 segundos. Como trata datos biométricos, cada trabajador entrega su consentimiento dentro de la plataforma antes de su primera medición, y ese consentimiento queda registrado.
Así, AptOK entrega un respaldo frente a la Ley 21.719. La política de tratamiento, los plazos de conservación y el protocolo de uso los define cada empresa. Puedes revisar cómo trabaja AptOK con la Ley 21.719 o pedir una demostración.
Preguntas frecuentes sobre la Ley 21.719 y los datos biométricos
Sí. La Ley 21.719 nombra la huella digital como ejemplo de dato biométrico y lo considera un dato personal sensible. Por eso, desde el 1 de diciembre de 2026, tratarla exige por regla general el consentimiento expreso del trabajador y entregarle información sobre el sistema, la finalidad, el plazo de uso y cómo ejercer sus derechos.
La Ley 21.719 exige que el consentimiento sea libre y permite revocarlo en cualquier momento. Además, presume que no fue libre cuando se pide durante la ejecución de un contrato y el dato no es necesario. Por eso, conviene que la empresa justifique la necesidad del dato y evalúe una alternativa. Los casos concretos los resolverán la Agencia y los tribunales.
Solo el tiempo necesario para cumplir la finalidad para la que se recolectaron. Después, la Ley 21.719 exige suprimirlos o anonimizarlos. La ley no fija un plazo único: cada empresa debe definirlo, informarlo al trabajador como parte de la información del artículo 16 ter y publicarlo en su política de tratamiento de datos.
Las infracciones se clasifican en leves, graves y gravísimas, con multas de hasta 5.000, 10.000 y 20.000 UTM, respectivamente. En caso de reincidencia, las grandes empresas pueden recibir multas calculadas como un porcentaje de sus ingresos anuales. La Agencia de Protección de Datos Personales será la encargada de fiscalizar y sancionar.
La Agencia de Protección de Datos Personales, creada por la misma ley como una corporación autónoma de derecho público y de carácter técnico. Podrá dictar instrucciones generales, fiscalizar el cumplimiento de la ley, aplicar sanciones y administrar un Registro Nacional de Sanciones y Cumplimiento.
Fuentes
- Ley 21.719, publicada en el Diario Oficial el 13 de diciembre de 2024: artículos 3, 4, 8 bis, 12, 14 ter, 16, 16 bis y 16 ter.
- Ley 21.719 de protección de datos personales, BCN LeyChile.
- Dirección del Trabajo, dictamen ORD N°388/32 (2 de septiembre de 2026), que indica que la Ley 21.719 entra en vigencia el 1 de diciembre de 2026.
Información vigente al 15 de octubre de 2026. Este artículo es informativo y no reemplaza la asesoría legal. Revisa el texto oficial de la Ley 21.719 para cambios posteriores.