¿Qué es la CPDT? La nueva Agencia de Protección de Datos de Chile

¿Qué es la CPDT y por qué importa para tu empresa?

La Consejo para la Protección de los Datos Personales (CPDT) es el nuevo regulador chileno encargado de fiscalizar el cumplimiento de la Ley 21.719. Si tu empresa maneja datos de clientes, empleados o proveedores, esta agencia tiene el poder de revisar cómo los proteges, investigar denuncias y aplicar multas de hasta 50 millones de pesos. No es un organismo más: es tu principal riesgo regulatorio en protección de datos.

Naturaleza, composición y poderes de la CPDT

La CPDT es un organismo autónomo con personalidad jurídica y patrimonio propio. Está presidida por un Consejo integrado por representantes de distintas instituciones públicas, incluyendo la Contraloría General de la República. Su misión es garantizar el derecho a la protección de los datos personales en todo el territorio chileno.

Sus poderes son amplios: puede fiscalizar empresas, solicitar información sin previo aviso, acceder a sistemas informáticos, revisar registros y ordenar medidas correctivas inmediatas. Todo esto está respaldado por la Ley 21.719, especialmente en sus artículos sobre facultades fiscalizadoras.

Cómo investiga la CPDT: el proceso paso a paso

1. La denuncia

El procedimiento comienza cuando alguien presenta una denuncia ante la CPDT. Puede hacerlo cualquier persona que considere que se han violado sus derechos sobre datos personales. También puede ser iniciado de oficio si la CPDT lo considera necesario. Las denuncias se pueden presentar a través de:

Plataforma digital en el sitio web de la CPDT
Correo electrónico
Presentación presencial en las oficinas

La CPDT debe responder dentro de 5 días hábiles confirmando la recepción.

2. La investigación

Una vez admitida la denuncia, inicia una investigación formal. La CPDT puede solicitar documentación, efectuar inspecciones sin aviso previo, y exigir explicaciones. Durante este período, la agencia revisa contratos de tratamiento de datos, políticas de privacidad, sistemas de seguridad y registros de acceso. Si tu empresa maneja datos de menores de edad, clientes con enfermedades o información financiera sensible, la fiscalización es más estricta.

El plazo para la investigación es de 90 días hábiles, prorrogables por 60 días más si la complejidad lo justifica.

3. La resolución

Al término de la investigación, la CPDT emite una resolución que puede ser:

Sobreseimiento (no hay infracción)
Medidas correctivas (debe dejar de hacer algo o comenzar a hacerlo)
Sanciones administrativas (multas de 1 a 50 millones de pesos)

4. El recurso de reposición

Si no estás de acuerdo con la resolución, tienes 15 días hábiles para presentar un recurso de reposición ante la misma CPDT. Luego puedes recurrir ante los tribunales ordinarios si lo consideras necesario.

Plazos clave que debes memorizar

Respuesta a denuncia: 5 días hábiles
Investigación: 90 días hábiles (prorrogables 60)
Resolución: antes de vencer la investigación
Recurso de reposición: 15 días hábiles desde la notificación

Qué información pide la CPDT en una inspección

Cuando la CPDT realiza una inspección, solicita información sobre:

Inventario de datos personales que tratas
Bases legales para recopilar y usar esos datos
Consentimientos otorgados por los titulares
Medidas de seguridad implementadas (cifrado, control de acceso, backups)
Políticas de privacidad y cómo se comunican
Registros de incidentes de seguridad
Contratos con proveedores que traten datos
Procedimientos para ejercer derechos (acceso, rectificación, eliminar)

Si no entregas esta información en el plazo solicitado, la CPDT puede aplicar una multa por obstrucción.

El Registro Público de Responsables

La CPDT mantiene un registro público con todas las empresas que actúan como "responsables" de tratamiento de datos (es decir, la mayoría). Este registro es consultable y visible. Si cometes infracciones graves, quedará documentado permanentemente.

La CPDT y su coordinación con otros organismos

La CPDT no trabaja aislada. Se coordina con:

CMF (Comisión para el Mercado Financiero): en materia de instituciones financieras
SIS (Superintendencia de Salud): en tratamiento de datos de salud
Contraloría General de la República: en organismos públicos

Esto significa que aunque denuncias a un banco ante el SIS, la CPDT puede iniciar su propia investigación paralela.

Conclusión: Prepárate ahora

La CPDT es real, tiene poder, y está investigando activamente. No es una agencia amable ni lenta. Las empresas que esperan hasta recibir una denuncia para actuar terminan pagando multas que pudieron haberse evitado.

La buena noticia: es manejable. Necesitas documentar tu tratamiento de datos, comunicar claramente a tus clientes qué datos recopilas y por qué, implementar seguridad básica, y tener un proceso para que la gente ejerza sus derechos. En PrivacTech puedes hacer un análisis gratuito de tu cumplimiento en privactech.com y saber exactamente en qué te falta avanzar antes de que llegue una inspección.