Qué debe hacer un Gerente de RRHH antes del 1 de diciembre de 2026
El 1 de diciembre de 2026, el Gerente de RRHH enfrentará un nuevo estándar legal: la Ley 21.719 modifica integralmente la Ley 19.628 y cambia de forma estructural la manera en que las empresas deben relacionarse con la información de sus trabajadores.
Y Recursos Humanos está en el centro de esa transformación.
Ningún área de la empresa maneja más datos personales que RR.HH.: contratos, liquidaciones, datos de salud, registros de asistencia biométrica, evaluaciones de desempeño, antecedentes previsionales. Todo eso ahora está regulado con una precisión que la antigua ley de 1999 nunca tuvo.
Este artículo le explica qué obligaciones concretas debe cumplir un Gerente de RR.HH. antes de que entre en vigor la nueva normativa, y cuáles son las consecuencias de no hacerlo.
Por qué RR.HH. es el área más expuesta
La Ley 21.719 define como datos personales sensibles aquellos que revelan «datos relativos a la salud, al perfil biológico humano, los datos biométricos» de una persona natural (Art. 2°, letra g).
Esos datos sensibles tienen un régimen de protección especialmente reforzado: no pueden tratarse sin consentimiento explícito del titular, salvo excepciones muy específicas contempladas en la ley.
Un departamento de RR.HH. típico trata datos sensibles a diario:
- Datos de salud: licencias médicas, informes de medicina del trabajo, historia clínica ocupacional
- Datos biométricos: huellas dactilares en relojes de control de asistencia, reconocimiento facial
- Datos financieros: liquidaciones, embargos, anticipos de sueldo
- Datos disciplinarios: amonestaciones, sumarios internos
Cada uno de estos tratamientos ahora requiere una base legal válida, una finalidad declarada, y en la mayoría de los casos, el consentimiento informado del trabajador.
Las 5 obligaciones concretas que RR.HH. debe cumplir
1. Revisar la base legal de cada tratamiento de datos
La ley permite tratar datos laborales sin consentimiento cuando «el tratamiento de datos sea necesario para el ejercicio de derechos y el cumplimiento de obligaciones del responsable o del titular de datos, en el ámbito laboral o de seguridad social, y se realice en el marco de la ley» (Art. 13, letra e, en su versión modificada).
Eso suena amplio, pero tiene un límite preciso: solo cubre lo estrictamente necesario para la relación laboral. Usar datos de salud de un trabajador para fines distintos —por ejemplo, para evaluar su productividad futura— no está amparado por esa excepción.
Acción concreta: Levantar un inventario de todos los datos que RR.HH. trata, identificar la base legal de cada uno, y eliminar o dejar de tratar aquellos para los que no existe una base jurídica clara.
2. Actualizar los contratos de trabajo y los reglamentos internos
Los contratos de trabajo y los reglamentos internos de la empresa son el instrumento natural para informar a los trabajadores sobre el tratamiento de sus datos. La ley exige que el responsable de datos facilite información sobre la política de tratamiento de datos «en su sitio web o en cualquier otro medio de información equivalente» (Art. 14 ter).
Para RR.HH., ese «medio de información equivalente» incluye el contrato de trabajo, el reglamento interno y los protocolos de uso de sistemas.
Acción concreta: Revisar y actualizar contratos y reglamentos internos para incluir información clara sobre qué datos se tratan, con qué finalidad, por cuánto tiempo y quién tiene acceso.
3. Regularizar el uso de datos biométricos
El control de asistencia biométrico —huella dactilar, reconocimiento facial— es uno de los puntos más críticos para RR.HH. Los datos biométricos son datos sensibles bajo la nueva ley, y su tratamiento exige consentimiento explícito del trabajador o una base legal específica.
Esto no significa que el control biométrico sea ilegal. Significa que debe estar correctamente documentado, que los trabajadores deben estar informados, y que el sistema de control de asistencia debe tener medidas de seguridad adecuadas.
Acción concreta: Verificar que el proveedor del sistema de control de asistencia cumple con los estándares de seguridad requeridos, y que existe documentación del consentimiento de los trabajadores o de la base legal que ampara ese tratamiento.
4. Establecer procedimientos para responder solicitudes de derechos ARCO+
La nueva ley refuerza los derechos de los titulares: acceso, rectificación, cancelación, oposición, portabilidad y derecho a no ser objeto de decisiones automatizadas. Los titulares pueden ejercer estos derechos, y la empresa tiene plazos legales para responder.
RR.HH. recibirá solicitudes de exempleados pidiendo acceso a sus datos, o solicitando la eliminación de información que ya no es necesaria. Sin un procedimiento definido, esas solicitudes quedarán sin respuesta, lo que constituye una infracción.
Acción concreta: Definir un canal formal para recibir solicitudes de derechos, designar a un responsable de gestionarlas, y establecer los plazos de respuesta internos.
5. Implementar un Registro de Actividades de Tratamiento (RAT)
El RAT es el inventario formal de todos los tratamientos de datos que realiza la organización. No es una lista de sistemas informáticos: es un documento estructurado que, por cada tratamiento, debe indicar qué datos se tratan, con qué finalidad, durante cuánto tiempo, quién tiene acceso y qué medidas de seguridad se aplican.
Para RR.HH., el RAT debe incluir al menos: gestión de remuneraciones, control de asistencia, selección y reclutamiento, evaluaciones de desempeño, medicina del trabajo, y gestión disciplinaria.
Acción concreta: Construir el RAT del área de RR.HH. con el apoyo del área de TI y, si corresponde, con asesoría legal especializada.
Las multas que hacen que esto sea urgente
La Ley 21.719 establece sanciones concretas para quienes no cumplan:
- Infracciones leves: hasta 5.000 UTM (aproximadamente $380 millones de pesos)
- Infracciones graves: hasta 10.000 UTM (aproximadamente $760 millones de pesos)
- Infracciones gravísimas: hasta 20.000 UTM (aproximadamente $1.520 millones de pesos)
- Reincidencia: la multa puede triplicarse
Estas cifras no son teóricas. Son las multas que aplicará la Agencia de Protección de Datos Personales, el nuevo organismo fiscalizador que nace con esta ley y que comenzará a ejercer sus atribuciones a partir del 1 de diciembre de 2026.
El caso especial de los sistemas ATS en selección de personal
Un punto que pocos están advirtiendo: los sistemas de seguimiento de candidatos (ATS) que filtran, puntúan o descartan postulantes de forma automática quedan directamente regulados por la Ley 21.719.
El Art. 8° bis establece que el titular de datos «tiene derecho a oponerse y a no ser objeto de decisiones basadas en el tratamiento automatizado de sus datos personales, incluida la elaboración de perfiles, que produzca efectos jurídicos en él o le afecte significativamente.»
Un ATS que descarta automáticamente a un candidato sin intervención humana produce exactamente ese efecto: una decisión con consecuencias significativas para esa persona, basada en tratamiento automatizado.La ley no prohíbe el uso de ATS. El Art. 8° bis contempla excepciones: la decisión automatizada es válida cuando sea necesaria para la celebración o ejecución de un contrato, cuando exista consentimiento expreso del candidato, o cuando la ley lo autorice expresamente. Un proceso de selección podría ampararse en la excepción del contrato — aunque esa interpretación aún no ha sido probada ante la Agencia.
Lo que no admite excepción es el párrafo final del mismo artículo: «en todos los casos de decisiones basadas en el tratamiento automatizado de datos personales, inclusive aquéllos señalados en las letras a), b) y c), el responsable deberá adoptar las medidas necesarias para asegurar los derechos y libertades del titular, su derecho a la información y transparencia, el derecho a obtener una explicación, a la intervención humana, a expresar su punto de vista y a solicitar la revisión de la decisión.»
En otras palabras: aunque el ATS esté justificado por la excepción contractual, las garantías son obligatorias sin excepción.
Lo que la ley no resuelve por sí sola
La Ley 21.719 establece el marco. No le dice a su empresa exactamente cómo implementarlo. Esa brecha —entre la norma y la operación— es donde la mayoría de las organizaciones enfrentará dificultades.
Un departamento de RR.HH. no puede implementar la ley solo. Necesita coordinación con el área legal, con TI, y con la dirección de la empresa. Y en muchos casos, necesita asesoría externa especializada que combine el conocimiento jurídico con la comprensión técnica de los sistemas que tratan datos.
Por dónde empezar
Si su empresa aún no ha iniciado el proceso de adecuación, el punto de partida es siempre el mismo: saber con qué datos cuenta, dónde están, quién los trata y con qué propósito.
Eso es un diagnóstico de protección de datos, y es el primer paso de cualquier implementación seria de la Ley 21.719.
Valar Technologies acompaña a empresas en la implementación práctica de la Ley 21.719, combinando asesoría legal y adecuación tecnológica. Si quiere saber por dónde empezar, contáctenos.
Fuente legal: Ley N° 19.628 sobre Protección de los Datos Personales, en su versión modificada por la Ley N° 21.719, publicada en el Diario Oficial el 13 de diciembre de 2024, con vigencia diferida al 1 de diciembre de 2026.