LEY N° 21.719: El nuevo estándar de protección de datos para los corredores de seguros
Chile reemplaza un régimen centrado principalmente en la autorización del titular por un sistema integral de responsabilidad demostrable. Los corredores deberán poder justificar por qué tratan cada dato, para qué lo usan, con quién lo comparten, cuánto tiempo lo conservan y qué medidas aplican para protegerlo.
¿Qué establece la nueva ley?
La Ley N° 21.719 modifica profundamente la Ley N° 19.628, que pasó a denominarse ley sobre protección de los datos personales. Su objeto es regular todo tratamiento de datos de personas naturales realizado por entidades públicas o privadas y crea la Agencia de Protección de Datos Personales, autoridad técnica con facultades normativas, fiscalizadoras, resolutivas y sancionadoras.
El nuevo régimen se articula sobre los principios de licitud y lealtad, finalidad, proporcionalidad, calidad, responsabilidad, seguridad, transparencia y confidencialidad. Reconoce a los titulares derechos de acceso, rectificación, supresión, oposición, portabilidad y bloqueo temporal. Estos derechos son personales, irrenunciables y, por regla general, deben poder ejercerse mediante canales sencillos, ágiles y gratuitos.
¿Por qué esta modificación legislativa alcanza directamente a los corredores?
Tal como sabemos, el corredor interviene durante todo el ciclo del seguro: prospección, cotización, propuesta, contratación, renovación, cobranza, asistencia y gestión de siniestros. En ese proceso recibe y comunica datos de identificación y contacto, antecedentes patrimoniales y financieros, información sobre bienes y riesgos, y, en seguros de vida, salud o accidentes, datos sensibles relativos a la salud. También los comparte con aseguradoras, liquidadores, proveedores de asistencia, plataformas tecnológicas y servicios de almacenamiento.
Lo relevante para efectos de esta nueva regulación es que, dependiendo de la operación concreta, el corredor podrá actuar como responsable (si decide los fines y medios del tratamiento) o como encargado, si trata datos exclusivamente por cuenta e instrucciones de otro responsable.
Lo cierto es que ena misma entidad puede asumir roles distintos en procesos diferentes, por eso, la calificación debe hacerse actividad por actividad y quedar reflejada en contratos y políticas, y esa debe ser la clave en cualquier análisis preliminar que se realice con foco en la implementación de políticas vinculadas a esta ley.
Es importante tener presente que la reforma complementa, y no sustituye, las obligaciones sectoriales supervisadas por la Comisión para el Mercado Financiero. Recordemos que la NCG N° 420 ya incorpora la protección de la información de clientes dentro de los principios de conducta de mercado por tanto lo relevante es que ahora, desde diciembre de 2026, una práctica deficiente podrá generar consecuencias simultáneas en materia de protección de datos, conducta de mercado, responsabilidad civil y reputación.
Bases de licitud: el consentimiento no resuelve todo.
El tratamiento puede fundarse en consentimiento libre, informado, específico, previo e inequívoco, pero también, según el caso concreto, en la ejecución de medidas precontractuales solicitadas por el titular, la celebración o ejecución del contrato, una obligación legal, un interés legítimo que no lesione derechos y libertades, o la formulación, ejercicio o defensa de derechos. La recomendación es evitar cláusulas genéricas y documentar una base jurídica separada para cada finalidad, especialmente para marketing, perfilamiento, renovaciones y cesiones a terceros.
Puntos críticos para la intermediación de seguros
Datos sensibles y de salud. La ley exige consentimiento expreso para el tratamiento de datos sensibles y establece reglas particularmente restrictivas para datos de salud obtenidos en el ámbito de seguros. Frente a esto, el corredor no debe asumir que la sola solicitud de cotización o la firma de una propuesta habilitan cualquier uso posterior y, por tanto, cada flujo (suscripción, declaración personal de salud, liquidación o defensa de un reclamo) debe revisarse según su finalidad, base jurídica y normativa especial aplicable.
Cesiones, encargados y proveedores. La comunicación a aseguradoras u otros responsables debe contar con una base válida y respetar la finalidad informada. Los encargos a CRM, call centers, nubes, plataformas de firma o proveedores de asistencia requieren contratos escritos que definan objeto, duración, finalidad, categorías de datos, obligaciones, subcontratación, seguridad y devolución o supresión al término del servicio.
Seguridad e incidentes. El responsable debe implementar medidas técnicas y organizativas proporcionales al riesgo y acreditar su funcionamiento. Las vulneraciones que generen un riesgo razonable para los titulares deberán informarse a la Agencia sin dilaciones indebidas; si afectan datos sensibles o financieros, también puede existir deber de comunicación a los titulares.
Automatización y perfilamiento. Cuando la cotización, segmentación o recomendación se apoye en decisiones automatizadas, deberá informarse la lógica y consecuencias relevantes, asegurando explicación, intervención humana, posibilidad de expresar el punto de vista y revisión. Los tratamientos automatizados de alto riesgo pueden exigir una evaluación de impacto previa.
Recomendaciones para llegar preparados al 1 de diciembre de 2026:
Levantar un inventario de tratamientos. Mapear qué datos se recogen, su origen, finalidad, base jurídica, sistemas, destinatarios, transferencias internacionales, plazo de conservación y responsable interno.
Priorizar salud, finanzas y siniestros. Revisar formularios, declaraciones, respaldos médicos, liquidaciones y expedientes; aplicar accesos restringidos, trazabilidad y reglas de eliminación.
Actualizar la información al cliente. Publicar una política clara y versionada; adaptar propuestas, formularios web, campañas, consentimientos y comunicaciones para explicar finalidades, bases, cesiones y derechos.
Habilitar un canal de derechos. Definir responsables, autenticación, plazos, evidencias y un procedimiento para acceso, rectificación, supresión, oposición, portabilidad y bloqueo.
Ordenar la cadena contractual. Revisar acuerdos con compañías, proveedores tecnológicos, liquidadores y prestadores; distinguir cesión de datos de tratamiento por encargo e incorporar obligaciones de seguridad e incidentes.
Preparar la respuesta a incidentes. Integrar privacidad, ciberseguridad y continuidad operacional; establecer escalamiento, registro, evaluación del riesgo, notificación y comunicaciones al cliente.
Evaluar un modelo de prevención. Aunque su adopción y certificación son voluntarias, un programa con delegado, protocolos, capacitación, controles y reportes puede acreditar diligencia y operar como atenuante.
Como puede advertirse, la Ley N.º 21.719 no constituye una modificación meramente formal del régimen vigente, sino que introduce una nueva manera de comprender la protección y el tratamiento de los datos personales, trasladando el énfasis desde el simple cumplimiento documental hacia una responsabilidad permanente, capaz de ser demostrada mediante políticas, procedimientos y medidas efectivamente aplicadas. En este nuevo escenario, la información deja de ser un recurso que puede recopilarse y conservarse de manera indefinida para pasar a ser un activo que debe administrarse con una finalidad legítima, bajo criterios de proporcionalidad, seguridad y transparencia.
Este cambio adquiere especial relevancia para los corredores de seguros, cuya actividad supone un contacto constante con información personal, patrimonial, financiera y, en ciertos casos, sensible de asegurados, beneficiarios y terceros. La privacidad deberá incorporarse, por tanto, en cada etapa de la intermediación, desde la primera cotización y el levantamiento de antecedentes hasta la contratación, renovación y gestión de un eventual siniestro, extendiéndose también a las relaciones que el corredor mantiene con compañías aseguradoras, liquidadores, proveedores tecnológicos y prestadores de servicios.
La adecuada gestión de los datos personales no debe entenderse únicamente como una carga regulatoria adicional, sino como una expresión concreta de la diligencia profesional que el mercado exige a quienes administran información ajena. La capacidad de explicar qué datos se recopilan, por qué se utilizan, con quién se comparten y cómo se protegen será progresivamente una medida de la calidad del servicio prestado.
Fuentes:
Ley N° 21.719, Biblioteca del Congreso Nacional:
https://www.bcn.cl/leychile/navegar?idNorma=1209272
CMF, NCG N° 420 y principios de conducta de mercado:
https://www.cmfchile.cl/portal/prensa/625/w4-article-24127.html
Disclaimer: Las recomendaciones contenidas en esta nota son de carácter general y meramente informativo, por lo que no constituyen asesoría legal para un caso específico. Para analizar situaciones particulares y definir medidas de adecuación, se recomienda solicitar asesoría especializada. Para dudas o consultas, escribir a vicente@riosseguros.cl.