Sin embargo, las sanciones más habituales y costosas no nacen en películas de espionaje, sino en la operación informal del día a día.

Las resoluciones de la Agencia Española de Protección de Datos (AEPD) ofrecen ejemplos comparados de cómo prácticas habituales en la oficina pueden generar problemas de privacidad. Los casos que siguen se resolvieron en España; pueden servir como referencia, aunque la aplicación en Chile debe analizarse conforme a su propio marco legal.

Caso 1: El grupo de WhatsApp del trabajo (Expediente PS/00393/2024)

Una empresa contrató a un teleoperador para trabajo remoto e introdujo su número telefónico personal en un grupo de WhatsApp junto a otros trabajadores para entregar pautas operativas. El colaborador denunció el hecho alegando exceso de mensajes fuera de horario laboral y falta de consentimiento para exponer su número privado ante sus compañeros.

La resolución de la autoridad fijó una doctrina determinante para toda gerencia:

1. El desequilibrio laboral vicia el consentimiento: En el ámbito del trabajo existe una asimetría de poder estructural entre empleador y trabajador. En este caso, la autoridad española consideró relevante que la persona no tuviera una alternativa real para comunicarse por un canal distinto, sin verse perjudicada en su trabajo.

2. Exposición de datos personales: Compartir el número privado de un colaborador con otras personas del grupo puede afectar su privacidad. Para evaluar esta práctica, conviene revisar la finalidad, el canal utilizado, la información entregada al trabajador y las alternativas disponibles.

3. La sanción: La empresa fue multada en 2.000 euros (rebajada a 1.200 euros por pago voluntario y reconocimiento expreso de culpabilidad).

Consejo para el CEO - Gerente General: Antes de usar números personales en grupos de trabajo, revise si el canal es necesario y si existen alternativas corporativas razonables. También es recomendable acordar pautas para respetar los tiempos de descanso y desconexión.

Caso 2: El correo enviado a la persona equivocada (Expediente PS/00073/2020)

Un profesional envió por correo electrónico un documento que contenía nombres, RUT, gastos y deudas de varios titulares a un destinatario equivocado, con quien los afectados no tenían relación alguna. El receptor presentó la denuncia ante la Agencia.

La autoridad determinó que la equivocación humana no exime a la empresa de responsabilidad:

  • Falla en el deber de confidencialidad y seguridad: El envío descuidado de información personal a un tercero no autorizado constituye una vulneración directa al principio de seguridad y confidencialidad (Art. 5.1.f del RGPD, equivalente al Art. 14 bis y quinquies de la ley chilena).
  • La sanción: El profesional fue sancionado formalmente con una resolución pública de apercibimiento.

Consejo para el CEO - Gerente General: Un correo enviado a un destinatario equivocado puede exponer información personal. La empresa debería contar con un protocolo para contener el incidente, revisar qué datos se enviaron y a quién, y evaluar las medidas que correspondan. La doble verificación y el uso correcto de la copia oculta son controles que pueden ayudar a reducir estos errores.

Caso 3: Publicidad por correo sin consentimiento verificable (Expediente PS/00232/2021)

Una empresa envió correos electrónicos publicitarios promocionando sus productos a una persona que nunca había autorizado expresamente dichos envíos ni mantenía una relación contractual previa con ellos. La empresa no respondió los requerimientos iniciales de la autoridad y fue multada con 3.000 euros.

En el caso español citado, la autoridad consideró la falta de autorización y de un mecanismo sencillo para dejar de recibir mensajes. Para el público chileno, conviene explicar por separado qué reglas aplican a las comunicaciones comerciales y qué opciones tienen las personas para oponerse.

Consejo para el CEO - Gerente General: Antes de usar bases de datos o enviar publicidad por WhatsApp o correo, la empresa debería revisar el origen de los datos, la finalidad informada y el respaldo que permite ese contacto. También debe considerar las opciones que tienen las personas para dejar de recibir comunicaciones comerciales.

La prevención como inversión: Evitar multas acumulativas

Estos tres casos tienen un denominador común: ninguno derivó de un hackeo técnico, sino de la falta de protocolos internos y de capacitación al equipo de trabajo.

Bajo la Ley N.º 21.719 en Chile, las sanciones por estas conductas cotidianas alcanzan:

  • Las infracciones leves pueden recibir una amonestación o una multa de hasta 5.000 UTM. Esa cifra es un máximo posible y no una multa que se aplique automáticamente.
  • Las infracciones graves pueden recibir multas de hasta 10.000 UTM. La calificación y el monto dependerán de la conducta y de las circunstancias del caso.
  • Si una empresa es sancionada, la anotación puede permanecer en el Registro Nacional de Sanciones durante cinco años (Art. 39). Esto podría tener efectos reputacionales ante clientes, bancos o en procesos de licitación.

La buena noticia es que ordenar estas prácticas es rápido y rentable cuando se cuenta con una metodología estructurada.

Da el siguiente paso con tu empresa

¿Sabe tu equipo de ventas, recursos humanos y administración cómo gestionar un correo con datos sensibles o qué canales están legalmente permitidos para comunicarse con los trabajadores?

En VEORA Advisory ayudamos a directores y gerentes a transformar estas obligaciones en procedimientos ágiles que protegen el patrimonio corporativo sin entorpecer el ritmo del negocio.

A través de nuestro servicio de Diagnóstico / Gap Analysis, levantamos los procesos cotidianos de tu empresa, revisamos contratos con terceros y te entregamos un Informe Técnico estructurado como una guía práctica de adecuación, para blindar tu operación antes de que ocurra el primer reclamo.

Agenda hoy una sesión inicial de diagnóstico de 20 minutos con nuestros socios fundadores y asegura la tranquilidad de tu compañía.

[Agendar reunión de 20 minutos con VEORA Advisory]