Inicio›Ley 21.719›Encargado de tratamiento
Contratos con proveedoresCada vez que le entregas datos de tus clientes a un proveedor —el CRM, la plataforma de correos, el software de reservas, la agencia que maneja tus redes— aparece una figura que la ley trata aparte: el encargado de tratamiento. Y con ella, un contrato que casi nadie tiene.
El responsable decide para qué se usan los datos. El encargado solo los trata siguiendo instrucciones.
| Responsable de datos | Encargado de tratamiento | |
|---|---|---|
| Quién es | El negocio dueño de la relación con la persona | El proveedor que trata los datos por cuenta del responsable |
| Qué decide | Para qué se usan los datos y por cuánto tiempo | Nada: ejecuta lo que el contrato le instruye |
| Ejemplo | El gimnasio que inscribe a sus alumnos | La plataforma donde el gimnasio guarda esas fichas |
| Ante la Agencia | Responde por el tratamiento | Responde por salirse de las instrucciones |
La distinción importa porque decide quién da explicaciones. Si el proveedor filtra los datos, el responsable sigue siendo el negocio que se los entregó — y sin contrato, no tiene con qué demostrar qué le había instruido.
La ley pide que la relación conste por contrato y que ese contrato deje establecido, al menos:
El encargado no puede delegar el encargo, ni en parte, sin autorización escrita del responsable. Y si delega, sigue respondiendo solidariamente: no se libera alegando que lo hacía otro. Esto es lo que hace que la cadena importe — el proveedor de tu proveedor también está adentro.
Esto tiene una segunda lectura, y es la que nos toca directamente. Cuando una empresa desarrolla un SaaS donde sus clientes cargan datos de sus usuarios —un gimnasio con sus alumnos, un local con sus clientes—, el cliente es el responsable y la plataforma es el encargado.
Sin ese anexo firmado, ante una fiscalización responde la plataforma en vez del cliente, y la política de privacidad del cliente queda declarando un contrato que no existe.
En las plataformas que desarrollamos, el anexo de tratamiento de datos se acepta al primer ingreso de quien puede obligar a la empresa —el dueño o administrador—, no en el formulario de registro: al crear la cuenta puede no haber todavía quién firme.
La evidencia de quién aceptó, cuándo y desde dónde la escribe el servidor a partir del token de sesión, nunca el navegador. Y si el texto cambia de versión, el anexo se vuelve a pedir solo. Los usuarios finales no lo ven nunca: ellos no firman el encargo de nadie.
En Chile la firma electrónica simple tiene pleno valor legal. Lo que sostiene ese valor no es la casilla, es la evidencia de quién la marcó.
Es el tercero que trata datos personales por cuenta del responsable, siguiendo sus instrucciones y sin decidir la finalidad. En la práctica son los proveedores: el CRM, la plataforma de correos masivos, el software de gestión, el hosting, la agencia que administra las redes sociales.
El responsable decide para qué se tratan los datos y responde por ese tratamiento ante la Agencia. El encargado solo ejecuta lo que el contrato le instruye. Si el encargado se sale de las instrucciones y trata los datos por su cuenta, pasa a ser responsable de ese tratamiento y aparece la responsabilidad solidaria.
Sí, cuando ese proveedor trata datos personales por cuenta tuya. La ley exige que el encargo conste por contrato y que en él queden establecidos el objeto, la duración, la finalidad, el tipo de datos, las categorías de titulares y las obligaciones de las partes.
Solo con autorización escrita y específica del responsable. Y aunque la tenga, el encargado sigue respondiendo solidariamente por ese encargo: no puede eximirse alegando que delegó el tratamiento a un tercero.
En Chile la firma electrónica simple tiene pleno valor legal según la Ley 19.799, sin papel ni notario. Lo que sostiene ese valor es la evidencia: quién aceptó, con qué cuenta, en qué fecha y sobre qué versión del texto. Esa evidencia debe registrarla el sistema del lado del servidor, no el navegador de quien acepta.
Lo tenemos funcionando en producción en nuestros propios productos: compuerta al primer ingreso, evidencia escrita por el servidor y nueva aceptación al cambiar la versión.
ConversemosDiprojects es una agencia de diseño y desarrollo. Construimos el mecanismo que registra y sostiene la aceptación; la redacción legal del contrato la ve un abogado.