A lei de forma simples
A Lei 21.719 moderniza a antiga Lei 19.628 do Chile sobre proteção da vida privada. Define regras para o tratamento de dados pessoais, amplia os direitos das pessoas e cria a Agência de Proteção de Dados Pessoais, que fiscaliza e pode aplicar sanções.
Foi publicada no Diário Oficial em 13 de dezembro de 2024 e vale a partir de 1º de dezembro de 2026 (artigo primeiro transitório).
Aplica-se a qualquer pessoa, empresa ou órgão público que decida para quê e como os dados pessoais são tratados: a lei o chama de «responsável pelos dados» (art. 2, letra n).
Conceitos-chave
Estas são as palavras que você vai ver o tempo todo:
- Dado pessoal
- Qualquer informação de uma pessoa identificada ou identificável: nome, RUT (documento de identidade chileno), e-mail, telefone, endereço e muito mais (art. 2, letra f).
- Dado sensível
- Dados de saúde, biométricos, origem étnica, situação socioeconômica, crenças, orientação sexual, filiação política ou sindical, entre outros. Têm regras mais rígidas (art. 2, letra g).
- Titular
- A pessoa a quem os dados se referem: seu cliente, seu colaborador, seu paciente.
- Responsável
- Quem decide para quê e como os dados são usados. Normalmente, a sua empresa.
- Encarregado (operador)
- Um terceiro que trata dados por conta do responsável, por exemplo um fornecedor de software ou de nuvem (art. 2, letra x).
- Pseudonimização
- Tratar os dados de modo que não possam mais ser atribuídos a uma pessoa sem uma informação adicional, guardada separadamente e protegida (art. 2, letra l).
Os princípios que você deve respeitar
Todo tratamento de dados deve cumprir estes princípios (art. 3):
- Licitude e lealdade
- Tratar dados apenas com uma base legal: o consentimento do titular ou outra que a lei permita.
- Finalidade
- Usá-los só para fins específicos, explícitos e lícitos.
- Proporcionalidade
- Usar só os dados necessários, e só pelo tempo necessário.
- Qualidade
- Mantê-los exatos, completos e atualizados.
- Responsabilidade
- Quem trata os dados responde legalmente pelo cumprimento dos princípios e deveres da lei.
- Segurança
- Protegê-los contra acessos não autorizados, perda ou vazamento.
- Transparência e informação
- Explicar às pessoas o que é feito com os seus dados.
- Confidencialidade
- Guardar sigilo sobre os dados, mesmo depois de terminada a relação com o titular.
Os direitos das pessoas
Cada pessoa pode pedir acesso, retificação, eliminação, oposição, portabilidade e bloqueio dos seus dados (art. 4). São direitos irrenunciáveis.
A sua empresa deve responder em até 30 dias corridos a partir do recebimento da solicitação, prazo prorrogável uma única vez por mais 30 (art. 11).
O que a sua empresa precisa fazer
Além dos princípios, a lei define deveres concretos para o responsável:
- Informar
- Manter à disposição do público, no seu site ou outro meio, a sua política de tratamento de dados, um canal para exercer os direitos, quais dados trata, para quê e com qual base legal (art. 14 ter).
- Proteção desde a concepção e por padrão
- Aplicar medidas técnicas e organizacionais desde o início, e tratar por padrão só os dados estritamente necessários (art. 14 quáter).
- Segurança
- Adotar medidas de segurança de acordo com o risco e o tipo de dado (art. 14 quinquies).
- Comunicar incidentes
- Avisar a Agência sem demora indevida quando um incidente gerar risco razoável, e manter registro desses avisos. Se afetar dados sensíveis, de menores de 14 anos ou financeiros, também é preciso avisar as pessoas afetadas (art. 14 sexies).
- Controlar os encarregados
- Quem trata dados por conta da sua empresa deve seguir as suas instruções por contrato. Se usá-los para outra coisa, passa a responder como responsável (art. 15 bis).
- Avaliar o impacto
- Quando um tratamento pode gerar alto risco —por exemplo, decisões automatizadas com efeitos significativos ou tratamento em grande escala— é preciso fazer uma avaliação de impacto antes de começar (art. 15 ter).
Usar IA com dados de clientes
Quando alguém cola num chat de IA o nome, o RUT ou o diagnóstico de um cliente, a sua empresa está entregando esses dados a um terceiro: o provedor da IA. Muitas vezes, ele também os processa fora do Chile.
A lei não proíbe usar IA, mas essas situações têm regras: a comunicação de dados a terceiros precisa de base legal, e a transferência internacional só é lícita para países com proteção adequada ou com garantias como cláusulas contratuais (arts. 27 e 28). Tratar dados desnecessários, comunicá-los sem consentimento quando ele é exigido ou transferi-los ao exterior fora das regras são infrações graves (art. 34 ter).
Infrações e sanções
As infrações são classificadas como leves, graves e gravíssimas (arts. 34 bis, 34 ter e 34 quáter). As multas têm estes tetos (art. 35); a UTM é a unidade tributária mensal do Chile:
- Leves
- Advertência por escrito ou multa de até 5.000 UTM.
- Graves
- Até 10.000 UTM. Por exemplo: tratar dados sem base legal, usar dados desnecessários, falhar nas medidas de segurança ou transferir dados ao exterior fora das regras.
- Gravíssimas
- Até 20.000 UTM. Por exemplo: tratar dados de forma fraudulenta, usar conscientemente dados sensíveis ou de menores contra a lei, ou ocultar deliberadamente um incidente.
- Se não corrigir
- A Agência indica as medidas a adotar; se não forem adotadas em 60 dias, a multa aumenta 50% (art. 35).
- Reincidência
- Ser sancionado duas ou mais vezes em 30 meses permite multas de até três vezes o valor. Para empresas que não são de pequeno porte, em infrações graves ou gravíssimas, a multa pode chegar a 2% ou 4% da receita anual (arts. 35 e 36).
- Suspensão
- Diante de infrações gravíssimas reiteradas em 24 meses, a Agência pode suspender o tratamento de dados por até 30 dias (art. 38).
- Registro público
- Os sancionados ficam no Registro Nacional de Sanções e Cumprimento, público por cinco anos (art. 39).
Calendário
13 de dezembro de 2024: a lei é publicada.
1º de dezembro de 2026: entra em vigor. Nos primeiros 12 meses, a Agência pode aplicar às empresas de pequeno porte apenas uma advertência por escrito (artigo sexto transitório).
Um projeto de lei (boletim 18.623-07) propõe adiar a entrada em vigor para 1º de dezembro de 2027. Em 16 de outubro de 2026 ainda está em tramitação no Senado: enquanto não for aprovado e publicado, a data vigente é 1º de dezembro de 2026.
Por onde começar
Uma lista prática para preparar a sua empresa:
- 1. Inventário
- Quais dados pessoais você trata, de quem, para quê e onde estão.
- 2. Base legal
- Com qual fundamento você trata cada grupo de dados: consentimento, contrato, obrigação legal ou outra.
- 3. Informação às pessoas
- Uma política de privacidade clara e avisos onde você coleta dados.
- 4. Segurança e uso de IA
- Medidas de segurança de acordo com o risco e uma política sobre quais ferramentas de IA podem ser usadas e como.
- 5. Direitos e incidentes
- Um procedimento para responder às solicitações no prazo e um plano para comunicar incidentes.
- 6. Fornecedores
- Contratos com os seus encarregados, incluindo os provedores de IA e de nuvem.
Perguntas frequentes
Aplica-se às pequenas empresas?
Sim: aplica-se a todo responsável pelos dados. A Agência definirá padrões diferenciados conforme o porte da empresa (art. 14 septies), e no primeiro ano as empresas de pequeno porte podem receber apenas uma advertência por escrito.
A lei proíbe usar o ChatGPT ou outras IAs?
Não. Exige que o tratamento de dados tenha base legal, seja proporcional e seguro, e que a comunicação e a transferência de dados sigam as regras.
Usar o ChatPrivIA faz a minha empresa cumprir a lei?
Não por si só: nenhuma ferramenta cumpre pela sua empresa. O ChatPrivIA ajuda no que diz respeito ao uso de IA: os dados reais não chegam ao provedor e fica registro do que foi protegido.
Onde leio a lei completa?
Na Biblioteca do Congresso Nacional do Chile; o link está nas fontes, no fim deste guia.