Publicado originalmente por Actualidad Jurídica el 24 de agosto de 2026
En conversación con Actualidad Jurídica, el blog de DOE, Pablo Viollier doctorando en Derecho de la Universidad Central y consultor senior en DataCompliance, analizó los cambios que introduce la Ley N°21.719 respecto del tratamiento de datos personales contenidos en fuentes accesibles al público. En ese contexto, abordó el rol del interés legítimo, los límites a la extracción masiva de información, los desafíos para el entrenamiento de sistemas de inteligencia artificial y el tránsito desde una lógica de protección de la vida privada hacia una de autodeterminación informativa.
En términos generales, ¿por qué es problemático asumir que un dato personal puede ser tratado libremente solo porque se encuentra disponible en una fuente de acceso al público?
Una de las principales debilidades que contenía la antigua Ley de Protección de la Vida Privada, es decir, la Ley N° 19.628 antes de la reforma introducida por la Ley N° 21.719, era la regulación sobre los datos contenidos en fuentes accesibles al público.
Eso fue ampliamente reconocido por la doctrina durante la tramitación de la Ley N° 21.719, y también en un informe de la Comisión de Evaluación de la Ley de la Cámara de Diputados. El objetivo del análisis era comparar la regulación de las fuentes accesibles al público en la antigua Ley N° 19.628 y contrastarla con la regulación posterior a la reforma.
En la regulación previa, el solo hecho de que un dato estuviera contenido en una fuente accesible al público operaba como una excepción al consentimiento del titular. Era una excepción muy amplia, porque no solo permitía tratar el dato personal sin consentimiento, sino que además funcionaba como una excepción al principio de finalidad.
¿Qué significaba eso? Que la regla general de la legislación era la autodeterminación informativa y el consentimiento, junto con otras bases de licitud, mientras que la excepción era el hecho de que el dato se encontrara contenido en una fuente accesible al público.
Pero los datos contenidos en fuentes accesibles al público abarcan información muy relevante: todo lo que está disponible en internet, registros públicos, el padrón electoral, entre otros. Por eso, finalmente, esta regla invertía un poco la lógica y transformaba el tratamiento libre en una especie de regla general, dejando la protección como una excepción.
Si la nueva ley ya no establece las fuentes de acceso público como una base de licitud propiamente tal, ¿qué bases podrían invocar los responsables del tratamiento y qué exigencias deberían cumplir?
La principal conclusión es que, en la ley sobre protección de datos personales posterior a la reforma, el hecho de que el dato esté contenido en una fuente accesible al público no es, en sí mismo, una excepción.
Eso no significa que tratar datos contenidos en fuentes accesibles al público esté prohibido. Lo que significa es que, como cualquier procesamiento de datos, tendrá que ampararse en alguna de las bases de licitud.
Puede ser el consentimiento, que por regla general no resulta escalable para procesamientos de gran volumen, o alguna de las excepciones contempladas en la ley, ya sea en el artículo 13, el artículo 16, el artículo 16 bis o en una ley de carácter especial.
La base más relevante para estos efectos es el interés legítimo.
Para poder procesar un dato sobre la base de un interés legítimo, será necesario realizar una evaluación caso a caso, determinando si en ese caso concreto prevalece el interés legítimo invocado por el responsable o si prevalecen los derechos de los titulares.
Ese es un elemento que se debe comprobar caso a caso y documentar. El interés legítimo es una de las pocas bases de licitud en que la decisión no la toma el titular ni la legislación al describir la hipótesis bajo la cual se puede procesar el dato, sino el responsable, que decide unilateralmente cuándo y cómo procesarlo.
La contrapartida de esa decisión unilateral es la obligación de informar al titular, lo que representa un desafío muy importante para los procesamientos a gran escala.
Además, existe la obligación de documentar el proceso de evaluación, de forma que, al momento de ser fiscalizado por la Agencia, el responsable pueda demostrar que realizó un test de interés legítimo y que ese ejercicio dio positivo.
Hace poco la Corte Suprema se pronunció sobre un caso relativo a la extracción masiva de datos del sistema del Poder Judicial. ¿Qué reflexiones deja esta sentencia a la luz del nuevo régimen de protección de datos y, en particular, respecto de las fuentes accesibles al público?
Es un tema muy interesante. En el caso del Poder Judicial hay una particularidad, porque los términos y condiciones del sitio prohibían la recopilación masiva de esta información. Por lo tanto, ahí existía una infracción a los mismos términos y condiciones del sitio, lo que hace que sea un caso bastante evidente.
Pero para efectos de la industria de la inteligencia artificial, muchos de los grandes algoritmos y modelos de lenguaje se basan en el entrenamiento masivo de datos contenidos en fuentes accesibles al público, especialmente en internet.
Se recopilan comentarios de YouTube, comentarios de Reddit, blogs y otros contenidos generados por seres humanos para entrenar estos modelos de lenguaje.
Ahí la gran discusión es si el interés legítimo podría ser una base de licitud a invocar para ese tratamiento.
La primera dificultad es que esos sitios pueden permitir o prohibir ese tratamiento dentro de sus términos y condiciones. Cloudflare, por ejemplo, aprobó hace poco un mecanismo técnico para que los administradores de plataformas o sitios web puedan configurar si permiten o no el ingreso de robots de recopilación de información en sus sitios.
Pero la principal dificultad será acreditar el cumplimiento del principio de proporcionalidad.
Existe una tensión entre la legislación de protección de datos personales y la forma en que operan los desarrollos de sistemas de inteligencia artificial. Estos sistemas buscan recopilar la mayor cantidad de información posible porque, por regla general, mientras más información recopilan, más precisos son los algoritmos entrenados.
Sin embargo, la legislación de protección de datos personales apunta en el sentido contrario: recolectar la menor cantidad de información posible, conforme al principio de proporcionalidad chileno, equivalente al principio de minimización de datos en el Reglamento General de Protección de Datos.
Por lo tanto, existe una tensión y la respuesta dependerá caso a caso.
El caso de Internet Archive o Wayback Machine, por tratarse de una iniciativa filantrópica y de interés público, probablemente supere el test de interés legítimo. En cambio, desarrollos de carácter comercial probablemente tendrán un estándar más exigente al momento de realizar esa evaluación, especialmente a la luz de los principios de proporcionalidad y finalidad.
Respecto de las bases construidas con datos que, bajo la Ley N° 19.628, fueron tratados desde fuentes de acceso público, una vez que entre en vigencia la Ley N° 21.719, ¿el responsable deberá identificar una nueva base de licitud para continuar tratándolos o podría invocar la continuidad anterior?
Ahí hay una discusión muy interesante sobre el efecto retroactivo de la Ley N° 21.719.
En principio, la entrada en vigencia de la ley no implica una afectación de los procesamientos ya realizados. Sin embargo, en este caso hay que discutir si la base de entrenamiento de un algoritmo sigue utilizando el dato y, por lo tanto, si ese tratamiento debe adecuarse al nuevo régimen.
Si el tratamiento originalmente se basó en la excepción de fuente accesible al público del artículo 4°, inciso final, de la Ley N° 19.628, esa excepción ya no existe en la nueva legislación. Por lo tanto, habría que encontrar una nueva base de licitud.
Ahí aparecen discusiones relevantes. Primero, sobre el efecto retroactivo de la ley. Segundo, sobre la posibilidad de anonimizar esas bases de datos, porque lo ideal sería que, una vez anonimizadas, puedan ser utilizadas para entrenamiento. Sin embargo, existen dificultades técnicas y costos asociados a ese proceso.
También aparece la discusión sobre las posibles sanciones. En Estados Unidos y Corea, algunas agencias han hablado del desmembramiento del algoritmo como sanción. Es decir, si hubo un procesamiento ilícito de datos personales al momento de entrenar un algoritmo, esa ilicitud podría contaminar la licitud del algoritmo mismo.
A esa sanción se le ha denominado algorithmic disgorgement, una especie de desmembramiento del algoritmo como consecuencia del procesamiento ilícito de datos.
Habría que ver si las facultades administrativas de la nueva Agencia de Protección de Datos permitirían una sanción de esas características, pero es algo que se está explorando a nivel comparado.
Usted mencionó que el cambio de nombre de la ley también refleja un cambio en el derecho fundamental protegido. ¿Por qué es relevante esa distinción?
Creo que es muy ilustrativo el cambio de nombre de la ley.
Antes de la reforma, se llamaba Ley de Protección de la Vida Privada, lo que respondía a una especie de derecho de exclusión. Bajo esa lógica, tenía mucho sentido que el dato público no estuviera protegido, porque el dato público no es privado.
En cambio, con la nueva ley de protección de datos personales, la protección no apunta solo a la privacidad, sino a la autodeterminación informativa como derecho fundamental autónomo.
Esa autodeterminación informativa, entendida como el poder de control que tienen los titulares sobre sus datos, es indiferente a si el dato es público o privado. Ese derecho de control se mantiene incluso respecto de datos públicos, con ciertas limitaciones.
Por eso, el cambio de nombre de la ley también da cuenta de un cambio en el derecho fundamental protegido. Bajo la lógica de la autodeterminación informativa, tiene sentido sostener que el hecho de que un dato sea público no necesariamente significa que se puede procesar libremente.
Pablo Viollier 