Protección de Datos y Privacidad
Datos sensibles dentro de una empresa: cómo identificar información que requiere protección reforzada
Una empresa trata licencias médicas, datos biométricos, afiliación sindical y antecedentes de trabajadores en carpetas accesibles a varias jefaturas. Los datos sensibles revelan aspectos de la vida o características de una persona que pueden aumentar el daño si se usan o divulgan indebidamente. La protección reforzada comienza por reconocerlos en procesos cotidianos, no por esperar que aparezcan bajo la etiqueta “sensible”. En este artículo revisamos cómo convertir esa inquietud en una decisión que conecte ley, negocio, procesos, personas, tecnología y evidencia.
Qué significa en la práctica
El control debe combinar clasificación, minimización, acceso por necesidad, canales seguros, retención y formación. Es útil separar información de gestión —por ejemplo, una ausencia— de la fuente clínica o del detalle que solo requiere un equipo autorizado. El primer paso es observar el proceso real: formularios, correos, planillas, sistemas, conversaciones y excepciones. El control debe ser suficientemente simple para que el equipo lo use bajo presión y suficientemente claro para que otra persona pueda verificarlo.
La dimensión jurídica y de riesgo
La Ley 21.719 distingue categorías especiales y establece reglas específicas para su tratamiento. La licitud dependerá de la categoría, finalidad y base aplicable. Una empresa no debe asumir que el consentimiento es siempre la única vía ni que una obligación laboral habilita cualquier circulación. En caso de duda, conviene formular la conclusión con prudencia y escalarla a asesoría jurídica. Una recomendación de buena práctica no debe presentarse como obligación legal, y una obligación legal no debe ampliarse a usos que la norma no exige.
Un ejemplo empresarial
En una faena, prevención puede necesitar una aptitud o restricción operacional, mientras la jefatura no necesita conocer un diagnóstico. La empresa debe definir qué decisión necesita cada rol y evitar entregar el informe completo cuando basta una conclusión acotada. La respuesta madura no parte por comprar una herramienta ni por redactar una política aislada. Parte por delimitar la finalidad, reducir el dato, asignar responsables y probar si el control funciona en la operación cotidiana.
Errores que conviene evitar
El tratamiento indiscriminado puede producir discriminación, conflictos laborales, pérdida de confianza y exposición frente a terceros. Guardar datos sensibles en correo, WhatsApp o carpetas generales multiplica el riesgo. Otro error frecuente es trasladar toda la decisión a TI o al proveedor. La tecnología puede ejecutar controles, pero la empresa conserva decisiones de negocio: qué recopilar, por qué usarlo, con quién compartirlo y cuándo dejar de tratarlo.
Qué debería revisar la gerencia
- Clasificar datos por sensibilidad y daño potencial.
- Separar detalle sensible de resultados operativos.
- Usar acceso por necesidad y registro.
- Definir canales y periodos de conservación.
- Revisar proveedores que procesan categorías especiales.
Estas acciones deben tener un dueño, una fecha y una evidencia observable. Si la organización es pequeña, puede concentrar funciones; lo importante es que las responsabilidades estén claras y que las excepciones no se conviertan en la forma habitual de operar.
Evidencia y seguimiento
La empresa debe poder demostrar inventario de categorías, finalidades, autorizaciones, accesos, capacitaciones, incidentes y eliminación. Las revisiones de permisos deben considerar no solo el sistema, sino copias y reportes. La evidencia debe ser proporcional: no se trata de archivar todo, sino de conservar lo suficiente para reconstruir decisiones, demostrar que se actuó y corregir lo que no funcionó. Un control sin dueño, prueba o fecha de revisión es una intención, no un control operativo.
Preguntas para una reunión de trabajo
- ¿Qué dato sensible se necesita realmente?
- ¿Qué rol necesita verlo completo?
- ¿Cómo se evitará una copia informal?
Responder estas preguntas permite priorizar. Puede existir un riesgo aceptable, una medida pendiente o una cuestión que requiera análisis especializado. Lo importante es que la decisión quede visible, que la persona responsable tenga capacidad de actuar y que la gerencia conozca las dependencias críticas.
La revisión tampoco debería quedar congelada en la fecha de publicación. Cambios de proveedor, nuevas campañas, reorganizaciones, incidentes, tecnologías y modificaciones regulatorias pueden alterar el análisis. Una fecha de seguimiento y un responsable de actualización convierten el artículo en una pauta de gestión, no en una declaración aislada.
Cierre: cumplir conectando decisiones
La gestión de datos sensibles en la empresa no debería reducirse a un documento o a una herramienta. Requiere coordinar la finalidad jurídica con el proceso, la tecnología, las personas y la capacidad real de respuesta. En VEORA Advisory podemos acompañar a la organización en el diagnóstico, diseño de controles y puesta en marcha de una hoja de ruta proporcional. Identificar categorías sensibles y diseñar controles diferenciados por riesgo.
Fuentes consultadas
Biblioteca del Congreso Nacional de Chile, Ley N.º 21.719, texto con vigencia diferida al 1 de diciembre de 2026: https://www.bcn.cl/leychile/navegar?idNorma=1209272
Biblioteca del Congreso Nacional de Chile, Ley N.º 19.628, versión vigente hasta el 30 de noviembre de 2026: https://www.bcn.cl/leychile/Navegar?dt=open&idLey=19628
Nota editorial: este artículo entrega orientación general y no reemplaza un análisis jurídico, laboral, técnico o sectorial de un caso concreto. La vigencia y aplicación de la Ley N.º 21.719 debe revisarse según la fecha de publicación y las normas, reglamentos e instrucciones disponibles.