Sin embargo, los precedentes sancionadores de la Agencia Española de Protección de Datos (AEPD) demuestran que incorporar tecnología sin revisar antes su necesidad, proporcionalidad y riesgos puede exponer a la empresa a sanciones y medidas correctivas.

A continuación, revisamos cuatro resoluciones de España que muestran cómo prácticas cotidianas pueden generar problemas de privacidad. Son ejemplos comparados para conversar sobre la preparación de las empresas chilenas frente al nuevo régimen, que comenzará a regir el 1 de diciembre de 2026.

Caso 1: El hotel que escaneó la foto del pasaporte para consumos internos (Expediente PS/00078/2021)

Un hotel capturaba la imagen y los datos del pasaporte de los pasajeros durante el check-in. La administración utilizó esa fotografía en los terminales de venta (TPV) de sus restaurantes para que los meseros verificarán visualmente la identidad del huésped al cargar consumos a la habitación, argumentando que protegía al cliente y prevenir fraudes.

La empresa intentó defenderse invocando el «interés legítimo» en evitar suplantaciones. No obstante, la autoridad concluyó que la medida era desproporcionada e invasiva, pues existen alternativas idóneas y menos intrusivas (como pedir el número de habitación, verificar el apellido o solicitar la firma de un recibo).

El resultado fue una multa de 30.000 euros y la orden perentoria de suprimir todas las fotografías recabadas bajo ese sistema.

Consejo para el CEO - Gerente General: Aunque la empresa persiga un objetivo válido (como evitar fraudes), si existen mecanismos alternativos menos lesivos para la privacidad, el tratamiento no es estrictamente necesario y deviene en ilícito.

Caso 2: El control de asistencia con huella dactilar de los colaboradores (Expediente EXP202202960)

Una compañía de servicios implementó lectores biométricos de huella dactilar en más de 100 centros de trabajo para que miles de colaboradores registraran su entrada y salida. La empresa argumentó que el sistema no almacenaba la huella física sino un algoritmo matemático (hash o plantilla cifrada), que era necesario para evitar que los trabajadores se prestarán tarjetas de acceso y que facilitaba la evacuación ante emergencias.

La AEPD desestimó estos descargos con un criterio riguroso:

1. Los datos biométricos son datos sensibles: Aunque el sistema transforme la huella en una plantilla o código, la empresa debe revisar con cuidado cómo se usan esos datos, qué finalidad tiene el tratamiento y qué medidas de protección se necesitan.

2. Defectos graves en la Evaluación de Impacto (EIPD): La empresa presentó un documento formal que no justifica adecuadamente por qué no se podían utilizar medios menos intrusivos ni analizaba los riesgos reales desde la perspectiva de los derechos del trabajador.

3. Falta de información inicial: No se informó con claridad ni de manera previa a los trabajadores sobre el tratamiento biométrico, intentando parchar la omisión meses después.

La resolución impuso una multa histórica de 365.000 euros (desglosada en infracciones al deber de información, medidas de seguridad y falta de una evaluación de impacto válida), ordenando la suspensión cautelar del sistema de huella dactilar.

Consejo para el CEO - Gerente General: Los datos biométricos no pueden utilizarse por mera comodidad o modernidad. En Chile, antes de implementar un sistema biométrico, conviene revisar su necesidad, proporcionalidad y nivel de riesgo. La ley contempla una evaluación de impacto cuando el tratamiento pueda generar alto riesgo y en ciertos casos específicos (Art. 15 ter); por eso, es mejor no presentar la biometría como prohibida de forma general.

Caso 3: Recibir currículums por WhatsApp sin informar los derechos (Expediente PS/00237/2021)

Una empresa publicó una oferta laboral en un portal web indicando un número de teléfono. Un postulante envió su currículum vítae a través de WhatsApp, pero la empresa omitió entregarle una cláusula informativa sobre el tratamiento de sus antecedentes ni le indicó cómo solicitar la eliminación o acceso a sus datos.

La AEPD determinó que recopilar información de postulantes sin entregarles la información mínima que exige la ley (identidad del responsable, fines, tiempo de conservación y vías para ejercer derechos) vulnera el principio de transparencia.

Por no contar con un aviso de privacidad en el canal de recepción y no responder a las solicitudes, el titular de la empresa fue sancionado con 2.000 euros de multa.

Consejo para el CEO - Gerente General: Cuando selección recibe un currículum por WhatsApp o correo, debe saber qué información entregar sobre el uso de esos datos y cómo responder consultas posteriores. Un mensaje automático puede ayudar a informar, aunque cada empresa puede definir el mecanismo que mejor se ajuste a sus canales.

Caso 4: La web con políticas de privacidad obsoletas o genéricas (Expediente PS/00251/2021)

Una empresa que comercializaba productos en línea mantenía en su sitio web una política de privacidad copiada, incompleta y que citaba normativas derogadas. No informaba la base jurídica del tratamiento, no detalla el plazo de conservación de los antecedentes ni señalaba ante qué autoridad podían reclamar los usuarios.

Pese a tratarse de una PYME sin antecedentes previos, la autoridad calificó el hecho como una grave falta de diligencia frente a sus clientes, imponiendo una multa de 10.000 euros (reducida a 6.000 euros por reconocimiento de responsabilidad y pago voluntario).

Consejo para el CEO - Gerente General: Mantener políticas de privacidad desactualizadas o textos genéricos copiados de internet no brinda protección. Puede ser una señal de que la empresa necesita revisar y actualizar sus prácticas de información y privacidad.

¿Cómo prevenir estas contingencias en tu empresa?

Estos precedentes demuestran que las multas no se evitan comprando tecnología cara, sino implementando procedimientos de gobierno del dato proporcionales y justificados:

  • Revisión de proporcionalidad: Antes de incorporar biometría, cámaras inteligentes o software de monitoreo, la empresa puede preguntarse si la medida es adecuada para su objetivo, si realmente la necesita y si existen alternativas menos invasivas.
  • Gobernanza en recursos humanos: Formaliza la recepción de currículums y los canales de comunicación interna con tus colaboradores bajo políticas estrictas de privacidad.
  • Auditoría documental y digital: Actualiza de inmediato las políticas web, cláusulas en formularios de contacto y contratos de trabajo bajo los estándares de la Ley N.º 21.719.

Da el siguiente paso con tu empresa

¿Están los sistemas de control de acceso, los canales de selección y las políticas web de tu organización debidamente auditados frente a la nueva normativa?

En VEORA Advisory ayudamos a directorios y gerencias generales a revisar sus prácticas y riesgos, y a definir medidas que mejoren su preparación frente a la normativa.

A través de nuestro servicio de Diagnóstico / Gap Analysis, revisamos tus flujos de información, evaluamos tus sistemas de registro y te entregamos un Informe Técnico estructurado como una guía práctica de adecuación, para que tu negocio tome decisiones con mayor claridad y preparación jurídica y tecnológica.

Agenda hoy una sesión inicial de diagnóstico de 20 minutos con nuestros socios fundadores y conoce la hoja de ruta que tu empresa necesita.

[Agendar reunión de 20 minutos con VEORA Advisory]