Diagnóstico Ley 21.719 | Evaluación de Cumplimiento

I. Información General de la Empresa

Estas preguntas son informativas y no afectan la puntuación.

1. Razón social y giro del negocio:

2. Rubro/industria:

3. Número de empleados:

4. Volumen aproximado de datos personales tratados:

Menos de 1,000 titulares Entre 1,000 y 10,000 titulares Entre 10,000 y 100,000 titulares Más de 100,000 titulares

5. ¿Cuentan con un responsable o equipo dedicado al tratamiento de datos?

Sí, específico para protección de datos Sí, pero dentro de otra área (ej: TI, Legal) No

II. Inventario y Clasificación de Datos

Peso: 15% (15 puntos)

6. ¿Tienen documentado un inventario de todas las bases de datos que contienen información personal?

Sí, completo y actualizado Parcialmente No

7. ¿Han identificado qué categorías de datos personales recopilan?

Datos identificativos (nombre, RUT, dirección) Datos de contacto (email, teléfono) Datos financieros Datos sensibles (salud, creencias, etc.) Datos biométricos Datos de menores de edad Datos de antecedentes penales

8. ¿Saben exactamente dónde se almacenan los datos (servidores físicos, nube, aplicaciones específicas)?

Sí, completamente mapeado Parcialmente No

9. ¿Tienen documentada la finalidad específica de cada tratamiento de datos?

Sí Parcialmente No

III. Consentimiento y Transparencia

Peso: 20% (20 puntos)

10. ¿Cómo obtienen el consentimiento de los titulares para tratar sus datos?

Mediante cláusulas claras y específicas Verbalmente Con casillas pre-marcadas (opt-out) No solicitan consentimiento

11. ¿El consentimiento es libre, específico, informado e inequívoco como exige la Ley 21.719?

Sí, cumple todos los requisitos Parcialmente No No lo sabemos

12. ¿Cuentan con una Política de Privacidad pública y accesible?

Sí, actualizada conforme a la Ley 21.719 Sí, pero desactualizada Está en proceso de elaboración No

13. ¿La Política de Privacidad incluye información sobre finalidades, plazos, medidas de seguridad, derechos, contacto y transferencias?

Todos los anteriores Solo algunos (4-5 elementos) Solo algunos (2-3 elementos) Ninguno

IV. Derechos de los Titulares (ARCO+)

Peso: 20% (20 puntos)

14. ¿Cuentan con canales formales para que los titulares ejerzan sus derechos?

Sí, múltiples canales (email, formulario web, presencial) Sí, pero solo un canal No formalmente No

15. ¿Qué derechos tienen implementados para ejercicio de titulares?

Acceso (saber qué datos tienen sobre ellos) Rectificación (corregir datos inexactos) Supresión/Cancelación (eliminar datos) Oposición (oponerse al tratamiento) Bloqueo (suspender tratamiento) Portabilidad (recibir datos en formato estructurado) No han implementado ningún procedimiento

16. ¿Tienen un procedimiento interno para responder solicitudes de derechos dentro de los plazos legales?

Sí, documentado y probado Sí, pero informal No

17. ¿Llevan un registro de las solicitudes recibidas y sus respuestas?

Sí No

V. Relación con Terceros y Encargados del Tratamiento

Peso: 10% (10 puntos)

18. ¿Comparten datos personales con terceros proveedores?

Sí No

19. En caso afirmativo, ¿qué tipo de proveedores?

Plataformas de marketing/email marketing CRM o sistemas de gestión Servicios en la nube (cloud) Pasarelas de pago Call centers o atención al cliente Asesores externos

20. ¿Tienen contratos de encargado de tratamiento con estos proveedores?

Sí, con todos Sí, con algunos No No sabemos qué es eso

21. ¿Los contratos incluyen cláusulas que obliguen a los proveedores a cumplir con la Ley 21.719?

Sí Parcialmente No

22. ¿Verifican que sus proveedores implementen medidas de seguridad adecuadas?

Sí, mediante auditorías o certificaciones Solo lo preguntamos contractualmente No

VI. Medidas de Seguridad y Ciberseguridad

Peso: 20% (20 puntos)

23. ¿Qué medidas técnicas de seguridad tienen implementadas?

Encriptación de datos Control de accesos (usuarios y contraseñas) Firewalls y antivirus Backups periódicos Monitoreo de sistemas Ninguna específica

24. ¿Qué medidas organizativas tienen implementadas?

Políticas internas de seguridad Capacitación a empleados en protección de datos Acuerdos de confidencialidad con personal Procedimientos de respuesta a incidentes Auditorías periódicas Ninguna específica

25. ¿Tienen un protocolo para gestionar brechas de seguridad de datos personales?

Sí, documentado y probado Sí, pero informal No No sabemos si aplica

26. ¿Saben que la Ley 21.719 exige notificar brechas de seguridad a la Agencia de Protección de Datos y a los afectados?

Sí No

VII. Evaluación de Impacto y Obligaciones Adicionales

Peso: 8% (8 puntos)

27. ¿Realizan tratamientos de datos a gran escala?

Sí No No lo sabemos

28. ¿Tratan datos sensibles de forma habitual?

Sí No

29. ¿Han realizado una Evaluación de Impacto en Protección de Datos (EIPD)?

Sí No, pero sabemos que debemos hacerla No No sabemos qué es

30. ¿Realizan transferencias internacionales de datos?

Sí, a países con nivel adecuado de protección Sí, a países sin nivel adecuado No No lo sabemos

31. ¿Tienen implementadas medidas adicionales para transferencias internacionales (cláusulas contractuales, consentimiento explícito, etc.)?

Sí No No aplica

VIII. Gobernanza y Cultura de Protección de Datos

Peso: 5% (5 puntos)

32. ¿Existe un compromiso formal de la alta dirección con la protección de datos?

Sí, documentado Sí, pero informal No

33. ¿Han designado a un responsable o Delegado de Protección de Datos (DPD)?

Sí, interno Sí, externo No, pero estamos evaluándolo No

34. ¿Han capacitado a sus empleados en protección de datos personales?

Sí, capacitación formal y documentada Sí, pero informalmente No

35. ¿Realizan auditorías o revisiones periódicas del cumplimiento?

Sí, internas Sí, externas No

IX. Sanciones y Riesgos

Peso: 2% (2 puntos)

36. ¿Conocen las sanciones que establece la Ley 21.719?

Sí, multas de hasta 20.000 UTM (aprox. $1.200 millones) Sí, pero no los montos exactos No

37. ¿Han identificado los principales riesgos de cumplimiento en su organización?

Sí, documentados Parcialmente No

38. ¿Han recibido reclamos o denuncias relacionadas con tratamiento de datos?

Sí No

X. Prioridades y Plan de Acción

Estas preguntas son de planificación y no afectan la puntuación.

39. ¿Cuál es su principal preocupación respecto al cumplimiento de la Ley 21.719?

Falta de inventario de datos Consentimientos inadecuados Falta de procedimientos para derechos ARCO Contratos con terceros Medidas de seguridad Capacitación del personal Presupuesto

40. ¿Qué recursos tienen disponibles para el proyecto de cumplimiento?

Presupuesto asignado Personal dedicado Apoyo de áreas internas (TI, Legal) Necesitan asesoría externa completa

41. ¿Cuál es su plazo objetivo para estar en cumplimiento?

Antes del 1 de diciembre de 2026 En los próximos 6 meses En el próximo año Sin plazo definido

Cuestionario de Diagnóstico Ley 21.719

I. Información General de la Empresa

II. Inventario y Clasificación de Datos

III. Consentimiento y Transparencia

IV. Derechos de los Titulares (ARCO+)

V. Relación con Terceros y Encargados del Tratamiento

VI. Medidas de Seguridad y Ciberseguridad

VII. Evaluación de Impacto y Obligaciones Adicionales

VIII. Gobernanza y Cultura de Protección de Datos

IX. Sanciones y Riesgos

X. Prioridades y Plan de Acción

Resultados del Diagnóstico

Penalizaciones Aplicadas

Desglose por Sección

Recomendaciones Priorizadas