No es solo el nombre y el RUT. Es cualquier información que, sola o combinada con otra, permita identificar a alguien: un correo, una patente, una dirección IP, una foto, el número de ficha de un paciente.

La prueba práctica es simple: si con ese dato puedes saber de quién se trata, es un dato personal. Y si además revela salud, situación económica, origen étnico, afiliación sindical, creencias o vida sexual, es un dato sensible y las exigencias suben.

La ley no dice "pida autorización siempre". Dice que todo tratamiento necesita una base que lo habilite. El consentimiento es una. También lo son la ejecución de un contrato, el cumplimiento de una obligación legal y el interés legítimo, entre otras.

Esto importa porque elegir mal la base es el error más caro y el más común. Si tratas los datos de un trabajador para pagarle el sueldo, la base es la relación laboral y la obligación legal, no su consentimiento. Pedirle que firme una autorización para eso confunde, y además le da la impresión de que podría negarse.

Se llama principio de finalidad. Los datos se recogen para un propósito determinado, explícito y lícito, y no se pueden usar después para algo incompatible con ese propósito.

Va de la mano con la proporcionalidad: solo se piden los datos que el propósito realmente necesita. Si para despachar un producto basta la dirección, pedir el estado civil sobra, y ese exceso es en sí mismo una infracción.

Cualquier persona puede pedirle a la empresa que le muestre qué datos suyos tiene, que los corrija si están mal, que los elimine, que deje de usarlos para ciertos fines, o que se los entregue en un formato que pueda llevarse a otra empresa. Son los derechos de acceso, rectificación, supresión, oposición y portabilidad.

El plazo general para responder es de 30 días corridos, prorrogable por una sola vez y con justificación. No responder también es una decisión, y es la peor: deja constancia de que la solicitud existió y de que nadie hizo nada.

Cuando la empresa contrata a un tercero que va a tratar datos por encargo suyo —una agencia, un call center, un sistema en la nube— sigue respondiendo por lo que ese tercero haga.

Por eso el contrato importa: tiene que decir qué puede hacer el proveedor con los datos, qué no puede hacer, cuánto tiempo los conserva y qué pasa cuando termina el servicio. Y si el proveedor está fuera de Chile, hay condiciones adicionales para esa transferencia.

Es el principio de responsabilidad, y es el que cambia el trabajo del día a día. No basta con cumplir: hay que dejar registro de que se cumplió.

Eso significa saber qué datos tiene la empresa y dónde están, con qué base los trata, quién accede a ellos, cuánto tiempo los guarda y qué se hizo cada vez que alguien ejerció un derecho. Una fiscalización no pregunta qué opina la empresa: pide papeles.