Una gran operación del norte —una faena minera, una pisquera, una sanitaria, una agroexportadora, una generadora— trata todos los días datos que la ley protege con estándar reforzado: la huella del torniquete, el examen ocupacional, el GPS de la flota, la nómina del contratista, la ficha del policlínico. Nortika deja a tu empresa cumpliendo la Ley 21.719, llave en mano: abogados que resuelven lo legal, ingenieros que lo dejan funcionando y una plataforma que lo sostiene en el tiempo. Servidores 100 % en Chile.
📞 Llámanos: +56 9 9685 2840
La plataforma que ejecuta la Ley 21.719 de punta a punta, configurada sobre las actividades de tratamiento reales de tu operación.
Qué exigirá la Ley 21.719 en el dato de salud ocupacional, la biometría de acceso a faena y la cadena entre mandante y contratista. Dirigido a áreas de HSEC, salud ocupacional, personas y cumplimiento.
La conversación sobre protección de datos suele quedarse en la web y el formulario de contacto. En una faena minera, una viña o pisquera, una planta desaladora o una agroexportadora, el riesgo está en otra parte: en el torniquete, en la portería, en el policlínico, en la nómina que la mandante le exige al contratista y en el reporte que viaja a la casa matriz. Estos son los tratamientos que revisamos uno por uno, con la norma que los rige al lado. Los ejemplos vienen de la minería porque es donde más se ven, pero cada uno se repite en el resto de los grandes negocios del norte.
La huella, el rostro o la voz que abren el torniquete de una mina, una bodega de guarda, una planta desaladora o un packing son datos personales biométricos: la ley los define como los obtenidos de un tratamiento técnico específico que permite o confirma la identificación única de una persona, y nombra expresamente la huella digital, el iris, los rasgos de la mano o faciales y la voz.
Antes de tratarlos hay que entregar al trabajador información específica: qué sistema biométrico se usa, para qué finalidad exacta, durante cuánto tiempo se usarán esos datos y cómo puede ejercer sus derechos. El mismo artículo remite al inciso segundo del artículo 16 bis de la Ley 21.719 para las hipótesis en que puede tratarse sin consentimiento.
La ley califica de sensibles los datos referidos a los estados de salud físicos o psíquicos. El examen preocupacional, la evaluación de altura geográfica en la minería, la audiometría y el carné de manipulador de alimentos de una pisquera o agroexportadora caen de lleno ahí, y el artículo 16 bis de la Ley 21.719 reserva su tratamiento a los fines previstos por las leyes especiales en materia sanitaria, salvo las hipótesis que él mismo enumera.
Una de esas hipótesis es la clave operativa del rubro: el tratamiento necesario para fines de medicina preventiva o laboral y evaluación de la capacidad laboral del trabajador. Cubre el examen, pero no autoriza a que el resultado clínico circule por la organización.
El GPS del camión de extracción, el bus de acercamiento del personal, el camión aljibe de una sanitaria, el reparto de una pisquera o el sistema de despacho tratan datos de geolocalización de personas identificables. Buena noticia: la ley no los califica como sensibles, y los somete a las mismas fuentes de licitud: el Art. 12 de la Ley 21.719 y el Art. 13 de la Ley 21.719, de modo que un interés legítimo bien documentado puede sostenerlos.
Pero el mismo artículo impone un deber de información propio, que casi nadie cumple: informar de manera clara, suficiente y oportuna el tipo de datos tratados, la finalidad, la duración del tratamiento y si los datos se comunicarán o cederán a un tercero para la prestación de un servicio con valor añadido.
Cuando la mandante exige la nómina, los certificados y los exámenes del personal del contratista, alguien es responsable y alguien es encargado. La ley reconoce esas dos figuras y no contempla una corresponsabilidad: el encargado trata los datos conforme al encargo y a las instrucciones del responsable.
Si el encargado los trata con un objeto distinto, o los cede sin autorización expresa, se le considera responsable para todos los efectos legales: responde personalmente por las infracciones y solidariamente por los daños. Además el encargo exige contrato escrito con objeto, duración, finalidad, tipo de datos, categorías de titulares y derechos de las partes, y no se puede subdelegar sin autorización específica y por escrito.
El circuito cerrado de la faena, la planta o el predio, el dron de inspección de un tendido o un cultivo y el control de accesos hacen observación sistemática de zonas amplias. La ley exige una evaluación de impacto en protección de datos, previa al inicio del tratamiento, siempre que haya observación o monitoreo sistemático de una zona de acceso público, tratamiento masivo o a gran escala, perfilamiento con efectos jurídicos significativos, o tratamiento de datos sensibles bajo las hipótesis de excepción del consentimiento.
Esa última hipótesis es la que más se pasa por alto: si en la operación se tratan datos sensibles sin consentimiento —y con exámenes ocupacionales casi siempre ocurre—, la evaluación de impacto no es opcional.
Accidentabilidad, dotación, clima laboral, denuncias: en una filial de grupo internacional ese reporte cruza la frontera todos los meses. La transferencia es lícita si el país de destino ofrece niveles adecuados de protección, si está amparada por cláusulas contractuales, normas corporativas vinculantes u otros instrumentos con garantías adecuadas, o si las partes adoptan un modelo de cumplimiento o mecanismo de certificación.
Ojo con el atajo: las normas corporativas vinculantes exigen que las entidades pertenezcan al mismo grupo y operen bajo los mismos estándares y políticas, con aprobación previa de la Agencia. No amparan a los proveedores externos —nube, SaaS de gestión, servicios de nómina—, que necesitan su propia vía del artículo 27.
Las cámaras de cabina que detectan fatiga en un camión o una maquinaria, y los algoritmos que apartan a un operador del turno o reprograman una cuadrilla, producen efectos que afectan significativamente al trabajador. La ley le reconoce el derecho a oponerse y a no ser objeto de decisiones basadas en tratamiento automatizado, con excepciones acotadas: contrato, consentimiento previo y expreso, o autorización legal con salvaguardas.
Y en todos los casos, incluidas las excepciones, el responsable debe asegurar el derecho a la información y transparencia, a obtener una explicación, a la intervención humana, a expresar su punto de vista y a solicitar la revisión de la decisión.
Las campañas de reclutamiento del norte acumulan miles de currículos, exámenes y certificados de personas que nunca fueron contratadas. La ley obliga al responsable a suprimir o anonimizar los datos personales obtenidos para la ejecución de medidas precontractuales.
Mantener esa base "por si acaso" es un tratamiento sin base de licitud, sobre datos que muchas veces incluyen exámenes de salud. Es el hallazgo más frecuente y el más barato de corregir.
Asistencias a reuniones, registros audiovisuales, catastros de beneficiarios y encuestas de percepción son datos personales de personas que no tienen contrato con la compañía. Ahí el consentimiento suele ser la única base disponible, y debe ser libre, informado, específico, previo e inequívoco.
La frase que cambia el diseño de todo el proceso está al final del artículo: corresponde al responsable probar que contó con el consentimiento del titular y que el tratamiento fue lícito, leal y transparente. Una lista de asistencia en papel no es prueba.
Cómo leer estas citas. El articulado sustantivo de la Ley 21.719 se incorpora al texto de la Ley 19.628 a través de su artículo primero, y su vigencia está diferida al 1 de diciembre de 2026. Por eso lo presentamos como el régimen que entra en vigor en esa fecha y no como derecho vigente hoy. Cada artículo citado en esta página fue cotejado contra el texto oficial de la Biblioteca del Congreso Nacional antes de publicarse; es el mismo control que aplicamos a los informes que entregamos a nuestros clientes.
Una gran operación del norte —minera, agrícola, sanitaria o energética— trabaja con decenas de empresas contratistas y cada una mueve datos de personas hacia arriba y hacia abajo. Cuando la Agencia pregunte quién autorizó qué, la respuesta tiene que estar en un contrato, no en un correo. Estas son las dos posiciones del problema y lo que cada una necesita.
Cada nómina, examen y certificado que pides al contratista te convierte en responsable o en encargado de ese flujo. Sin el contrato del artículo 15 bis de la Ley 21.719, un tratamiento fuera del encargo por parte de tu proveedor se te devuelve como responsabilidad solidaria por los daños.
El cumplimiento de protección de datos ya está entrando en las bases de licitación y en los programas de proveedores aprobados. Llegar con el registro de actividades, los contratos de encargo y el delegado designado deja de ser un costo y pasa a ser una ventaja para calificar.
La Ley 21.719 entra en vigencia plena el 1 de diciembre de 2026 y crea la Agencia de Protección de Datos Personales, con facultades para fiscalizar y sancionar. Estas son las cinco preguntas con las que empieza cualquier revisión seria.
Infracciones gravísimas — artículo 35 de la Ley 21.719
Hasta 20.000 UTMLas leves llegan a 5.000 UTM y las graves a 10.000 UTM. Ante reincidencia, la Agencia puede aplicar hasta tres veces el monto de la infracción; y si la empresa no califica como de menor tamaño y reincide en infracciones graves o gravísimas, la multa puede alcanzar el 2 % o el 4 % de los ingresos anuales por ventas y servicios del último año calendario.
El artículo 39 de la Ley 21.719 crea el Registro Nacional de Sanciones y Cumplimiento: público, gratuito y electrónico. Las anotaciones son de acceso público por cinco años. En un mercado donde la mandante evalúa a sus proveedores, esa anotación pesa tanto como la multa.
Durante los primeros doce meses de vigencia, y solo respecto de empresas calificadas como de menor tamaño conforme al artículo segundo de la Ley 20.416, la Agencia podrá aplicar como sanción una amonestación por escrito (artículo sexto transitorio de la Ley 21.719). Las grandes compañías y los contratistas que superen ese umbral quedan expuestos desde el primer día.
No dispersamos el foco. Todo lo que entregamos existe para que su organización pueda demostrar, con evidencia, que trata datos personales conforme a la ley. Cinco piezas que funcionan juntas y se contratan por separado, desde el diagnóstico hasta el compliance que mantiene vivo el cumplimiento.
El punto de partida. Terreno, no formulario.
El sistema que sostiene el cumplimiento en el tiempo.
Porque la carga de la prueba es suya.
La figura que responde y el modelo que atenúa.
El cumplimiento vivo, no un proyecto que termina.
No vendemos un software para que usted lo llene, ni un informe para que quede en un cajón. Hacemos el trabajo pesado y dejamos la operación funcionando, sin sacar a su gente de su turno más de lo estrictamente necesario.
Vamos a terreno, levantamos los tratamientos reales de la operación y dejamos adecuados los contratos, las políticas, los avisos y los procedimientos. La parte legal la resuelven abogados, no un formulario.
Montamos SIDAP sobre ese trabajo, con las actividades de tratamiento de su operación ya cargadas. El sistema convierte el cumplimiento en gestión diaria y se actualiza con cada cambio normativo.
Tomamos todo lo construido y acompañamos la certificación del modelo de prevención de infracciones ante la Agencia. Después seguimos: capacitación, mantención del registro y atención de requerimientos.
Le venden la licencia y le dejan el proyecto encima. Caras, en inglés, ajenas a la ley chilena y sin nadie que entienda cómo funciona una operación del norte.
Entregan el informe, pero no dejan sistema ni continuidad. Cuando cambia la norma o rota el equipo, se vuelve a empezar y a pagar de nuevo.
Las tres cosas integradas: abogados, ingenieros y plataforma. Conocimiento de la operación del norte, precio de mercado regional y todo con servidores en Chile.
Nortika es la marca con la que Surtika SpA atiende al norte de Chile. La protección de datos vive en la intersección del derecho, la tecnología y la gestión de empresas, y esa intersección es exactamente donde se formó este equipo: dos carreras completas en alta dirección, dentro de operaciones industriales grandes, antes de dedicarse a esto.
Gerencias de tecnología y comerciales en corporaciones industriales y de consumo masivo. Sabemos lo que cuesta implantar un control en una operación que no puede detenerse.
Nuestro socio fundador dirigió la recuperación total del holding Urbaser Chile (KDM) durante el ataque masivo del caso IFX Networks, en 72 horas. La respuesta a incidentes que diseñamos viene de haberla vivido.
Certificación SOX con PwC y diplomado en ciberseguridad. Trabajamos como trabaja un auditor: si no está documentado y no se puede exhibir, no está cumplido.
Cada artículo que aparece en nuestros informes y en esta página se coteja contra el texto oficial de la Biblioteca del Congreso Nacional antes de salir. No citamos de memoria.
Abogado e Ingeniero de Ejecución en Finanzas (UTEM). Más de 25 años en alta dirección. Ex Gerente Corporativo de Tecnologías en Grupo Urbaser Chile (KDM), donde lideró la estrategia tecnológica del holding y gestionó el ciberataque masivo del caso IFX, con recuperación total en 72 horas. Certificación SOX con PwC y diplomado en ciberseguridad CIISA.
Ingeniero de Ejecución en Administración, con diplomados en Marketing Estratégico (UAI) y Marketing Digital (Universidad de Chile). Más de 25 años comercializando SAP Business One y proyectos de sistemas de gestión en Chile, Perú, México, Bolivia y Argentina, con experiencia directa en licitaciones públicas y privadas.
Experiencia forjada en grandes corporaciones
Organizaciones que confiaron su cumplimiento en protección de datos a Surtika, la casa matriz de Nortika. Es el mismo equipo, la misma plataforma y la misma infraestructura en datacenter chileno que ponemos al servicio del norte.
SECTORES QUE ACOMPAÑAMOS EN EL NORTE
El artículo 14 quinquies de la Ley 21.719 obliga al responsable a adoptar medidas técnicas y organizativas apropiadas, y menciona expresamente la seudonimización y el cifrado de los datos personales, junto con la capacidad de restaurar la disponibilidad y de evaluar la eficacia de las medidas. Ante un incidente, y en caso de controversia judicial o administrativa, corresponde al responsable acreditar que esas medidas existían y funcionaban.
Por eso nuestra plataforma no promete: acredita. El RUT se guarda como hash irreversible SHA-256 y los demás datos personales se almacenan cifrados con AES-256; el aislamiento multi-tenant por schema minimiza el riesgo de filtración cruzada entre clientes; y toda la infraestructura opera en datacenter chileno.
Conocer la arquitecturaCuéntenos qué trata su empresa y le decimos, con la norma al lado, qué le falta. La primera conversación no tiene costo.
Arica y Parinacota, Tarapacá, Antofagasta y Atacama. Trabajo en faena y a distancia.