El Art. 8 bis de la Ley 21.719 incorpora a la regulación chilena un derecho que en Europa lleva años aterrizando con polémicas y precisiones: el derecho del titular a no ser objeto de decisiones basadas únicamente en el tratamiento automatizado de sus datos cuando esa decisión produzca efectos jurídicos en él o le afecte significativamente. Es el equivalente local de la regla europea sobre decisiones automatizadas del Reglamento General de Protección de Datos (RGPD), con matices propios.
El artículo se aplica a una lista que crece todos los días en Chile: scoring crediticio de bancos y fintechs, evaluación de elegibilidad para seguros, antifraude bancario, filtros automáticos en selección de personal, segmentación publicitaria que afecta precios, elaboración de perfiles para marketing predictivo, recomendaciones algorítmicas en plataformas. Lo que ayer era un detalle técnico, ahora es un derecho reconocido por ley.
Lo que reconoce el Art. 8 bis
El derecho del titular tiene tres dimensiones:
- Oposición. El titular puede oponerse a ser objeto de una decisión automatizada que le afecte significativamente.
- Intervención humana. Cuando la decisión se mantiene, el titular puede pedir que un humano la revise.
- Información significativa de la lógica. El titular tiene derecho a saber, en términos comprensibles, qué lógica se aplicó. No es revelar el código fuente, pero sí entregar una explicación que le permita ejercer sus otros derechos con conocimiento.
El derecho no es absoluto. La Ley reconoce excepciones cuando la decisión automatizada es necesaria para la celebración o ejecución de un contrato entre el titular y el responsable, cuando hay autorización legal expresa, o cuando media consentimiento explícito del titular conforme al Art. 12 de la Ley 21.719.
El consentimiento explícito como llave
Cuando una empresa basa la licitud de la decisión automatizada en el consentimiento del titular, ese consentimiento tiene que ser explícito: claramente granular para esa finalidad, con información significativa de la lógica aplicada, y revocable. Un checkbox que dice "acepto el tratamiento de mis datos" no sirve. Lo que sirve es un flujo donde el titular ve, antes de aceptar, qué decisión automatizada se va a tomar, qué datos se usarán, qué consecuencias puede tener para él y cuál es su derecho a oponerse o pedir intervención humana.
Los cuatro casos de uso típicos
Scoring crediticio
Una financiera evalúa una solicitud usando un modelo de score. La decisión es automatizada y tiene efecto jurídico significativo. Bajo el Art. 8 bis, la financiera debe informar al titular de la lógica general (variables consideradas, peso aproximado, umbral de aprobación), permitir oposición y ofrecer revisión humana. El consentimiento granular específico para "decisiones automatizadas en scoring" debe quedar capturado en formato oponible.
Antifraude bancario
Una transacción se bloquea por riesgo. La decisión es automatizada. El Art. 8 bis de la Ley 21.719 aplica con el matiz de que la prevención del fraude tiene base de licitud en interés legítimo y obligación legal (Ley 19.913), pero la información significativa al titular sigue siendo exigible. La diferencia con scoring es que la oposición preventiva es muy limitada: el titular puede pedir revisión humana, pero no oponerse a que se apliquen controles antifraude.
Selección de personal
Filtros automáticos en plataformas de reclutamiento. La decisión de pasar o no a entrevista puede ser puramente algorítmica. El Art. 8 bis de la Ley 21.719 aplica con fuerza: el postulante tiene derecho a saber qué se evaluó, a oponerse al filtro automático y a pedir revisión humana antes de descartarse.
Marketing predictivo y precios dinámicos
Cuando un sistema asigna precios distintos a usuarios distintos según su perfil, hay decisión automatizada con efecto significativo (paga más o paga menos por lo mismo). El consentimiento explícito es la base habitual.
Cómo se documenta el consentimiento
El consentimiento del Art. 12 de la Ley 21.719 debe ser libre, informado, específico e inequívoco. Cuando la finalidad es "decisión automatizada", la información que se le entrega al titular incluye al menos: descripción del sistema, finalidad concreta, lógica general, consecuencias previstas, derecho de oposición, derecho a intervención humana, y forma de ejercer ambos. Todo esto antes de la captura del consentimiento, no después.
La evidencia que se conserva tiene que demostrar que esa información fue presentada antes de aceptar. Un consentimiento ISO/IEC TS 27560:2023 estructurado registra explícitamente el campo de "decisión automatizada" y la lógica vinculada. Cuando el titular ejerce su derecho de oposición meses después, la empresa no necesita reconstruir nada: la evidencia está sellada con marca de tiempo.
El cruce con el Decreto 662
El Decreto 662 de 2025 (pendiente de publicación), que reglamenta el Modelo de Prevención de Infracciones de la Ley 21.719, exige al RAT documentar las decisiones automatizadas que efectúa la organización: tipo, lógica general, fuentes de datos, salvaguardas. Una empresa que cumple bien el Decreto 662 ya tiene el inventario que necesita para responder al Art. 8 bis de la Ley 21.719. Una empresa que no lo cumple, no tiene cómo responder a un titular que invoque el derecho.
Qué hacer hoy
Tres acciones concretas:
- Mapear las decisiones automatizadas que afectan a titulares. Cada una con su finalidad, lógica general, base de licitud y consecuencias.
- Definir el flujo de captura del consentimiento explícito cuando esa sea la base. Granular, con información significativa, con derecho de revocación.
- Habilitar el portal del titular para que pueda ejercer oposición y solicitar revisión humana, con plazos del Art. 11 de la Ley 21.719 (30 días corridos, prorrogable 30).
Voluntas captura los consentimientos específicos para decisiones automatizadas en formato ISO/IEC TS 27560:2023, registra la lógica significativa que se mostró y deja un Certificado oponible que demuestra qué se informó al titular antes de cada captura. Cuando el titular ejerce su derecho, el flujo está armado.