Drones y la <em>Ley 21.719</em>

Por qué una imagen aérea puede ser dato personal

La ley define al titular de datos como la persona natural identificada o identificable a quien conciernen los datos. No exige que la persona salga de frente ni que se lea su nombre: basta con que sea identificable, sola o cruzando esa imagen con otra información.

En un vuelo típico eso pasa más seguido de lo que parece:

• Una patente legible en un estacionamiento perimetral.
• Un trabajador reconocible por su casco, su chaleco con nombre o su posición en la faena.
• Una fachada con número más la hora del vuelo: eso ubica a una persona en un lugar y en un momento.
• El rostro captado con zoom. Si además pasa por un sistema de reconocimiento facial, ya no es un dato personal cualquiera: los rasgos faciales son dato biométrico (artículo 16 ter) y los datos biométricos son datos sensibles, con reglas mucho más estrictas.
• La geolocalización asociada al material. El artículo 16 sexies la trata expresamente y obliga a informar al titular qué se trata, para qué y por cuánto tiempo.

Y ojo con esto: la ley define tratamiento como cualquier operación que permita recolectar, procesar, almacenar, comunicar, transmitir o utilizar datos personales. Guardar el material ya es tratamiento. No hace falta publicarlo ni analizarlo.

Qué cambia el 1 de diciembre de 2026

La ley 19.628 llevaba 25 años sin dientes. Lo que llega no es un ajuste: es un régimen completo, con un fiscalizador y una escala de multas. Estos son los cinco cambios que le pegan directo a una empresa que vuela.

1. Necesitas una base de licitud, y tienes que poder acreditarla. El artículo 12 pone como regla general el consentimiento del titular. El artículo 13 abre otras cinco fuentes que permiten tratar datos sin consentimiento: obligación legal, ejecución de un contrato, interés legítimo del responsable o de un tercero, defensa de un derecho ante tribunales, y datos de obligaciones económicas. La vigilancia perimetral se suele apoyar en el interés legítimo (artículo 13 letra d). Pero el mismo artículo cierra con una frase que conviene subrayar: el responsable deberá acreditar la licitud del tratamiento. La carga de la prueba es tuya.

2. Aparecen derechos que alguien va a ejercer. Acceso (artículo 5), rectificación (artículo 6), supresión (artículo 7), oposición (artículo 8), bloqueo (artículo 8 ter) y portabilidad (artículo 9). Un vecino, un trabajador o un contratista puede escribirte y pedir saber si tiene imágenes suyas, y pedir que las borres. El artículo 11 fija un procedimiento ante el responsable: no basta con no contestar.

3. Tienes que publicar información. El artículo 14 ter obliga a mantener permanentemente disponible en el sitio web —o medio equivalente— la política de tratamiento con su fecha y versión, quién es el responsable, un canal de contacto para las solicitudes, qué categorías de datos tratas, para qué, cuál es la base de legitimidad, las medidas de seguridad y el período durante el que se conservarán los datos.

4. Tienes que reportar los incidentes. El artículo 14 sexies obliga a reportar a la Agencia las vulneraciones de seguridad que produzcan destrucción, filtración, pérdida, alteración o acceso no autorizado a datos personales, cuando exista riesgo razonable para los titulares. Acá hay que ser preciso: la ley no dice 72 horas. Dice por los medios más expeditos posibles y sin dilaciones indebidas. Las 72 horas son el plazo del reglamento europeo, que buena parte de la industria usa como referencia práctica. Es una referencia razonable, pero no es el texto de la ley chilena. Además, hay que registrar esas comunicaciones: naturaleza del incidente, efectos, categorías de datos, número aproximado de afectados y medidas adoptadas.

5. Hay multas de verdad. El artículo 35 fija la escala: infracciones leves, amonestación escrita o multa de hasta 5.000 UTM; graves, hasta 10.000 UTM; gravísimas, hasta 20.000 UTM. Si el infractor no implementa las medidas propuestas por la Agencia en 60 días, la multa lleva un recargo del 50%. Y para las grandes empresas —las que no califican como empresa de menor tamaño según la ley 20.416— la multa en caso de reincidencia puede llegar al 2% de los ingresos anuales si la infracción es grave y al 4% si es gravísima.

Vigilancia perimetral: el caso más expuesto

De todos los usos empresariales del dron, la televigilancia es el que queda más al descubierto. Y hay un artículo que casi nadie ha leído todavía.

El artículo 15 ter obliga a hacer una evaluación de impacto en protección de datos personales, antes de iniciar el tratamiento, cuando este pueda producir alto riesgo para los titulares. Y establece cuatro casos en que la evaluación se requiere siempre. Dos de ellos describen una ronda aérea con bastante exactitud:

• Tratamiento masivo de datos o a gran escala (letra b).
• Tratamiento que implique observación o monitoreo sistemático de una zona de acceso público (letra c).

Un dron que recorre el perímetro de una planta todos los días, a la misma hora, y que en ese recorrido barre la calle, el estacionamiento público o el borde del camino, es exactamente eso: monitoreo sistemático de una zona de acceso público. Si esa es tu operación, la evaluación de impacto no es opcional ni depende de tu criterio.

Esto conecta con algo que ya explicamos en la guía de drones para seguridad y vigilancia: el área de cobertura y el encuadre se definen en el escritorio, no en el aire. Solo que ahora esa decisión hay que documentarla.

Cuatro decisiones que conviene tomar antes de diciembre, y dejar por escrito:

1. Delimita el área de cobertura y justifica por qué necesitas cada metro. El principio de proporcionalidad del artículo 3 letra c exige que los datos se limiten estrictamente a los necesarios, adecuados y pertinentes para el fin.
2. Define la finalidad en una frase. "Seguridad perimetral de la instalación" es una finalidad. "Por si sirve" no lo es, y el artículo 3 letra b prohíbe usar los datos con fines distintos a los informados al recolectarlos.
3. Configura las rutas y el gimbal para no apuntar a propiedades vecinas. La protección desde el diseño y por defecto es un deber expreso: artículo 14 quáter.
4. Escribe la evaluación de impacto aunque tengas dudas de si te aplica. Cuesta menos que discutirlo después.

Retención, acceso y borrado del material de vuelo

La pregunta que más nos llegó desde que se publicó la ley: cuánto tiempo se puede guardar el material. La respuesta está en el artículo 3 letra c y no da un número:

Los datos personales pueden ser conservados solo por el período de tiempo que sea necesario para cumplir con los fines del tratamiento, luego de lo cual deben ser suprimidos o anonimizados. Un período mayor requiere autorización legal o consentimiento del titular.

O sea: el plazo lo defines tú, pero tienes que poder justificarlo contra la finalidad que declaraste, y tienes que publicarlo (artículo 14 ter letra i). Guardar todo para siempre porque el disco es barato dejó de ser una opción neutra: pasó a ser una infracción.

Cómo se ordena esto en la práctica. Tres capas, con plazos distintos:

La anonimización es la salida más limpia y la más ignorada. Si desenfocas patentes y rostros en el entregable final, ese archivo deja de ser dato personal y sale del alcance de la ley. En fotogrametría e inspección eso casi nunca degrada el producto.

Sobre el acceso: el artículo 14 quinquies obliga a adoptar medidas técnicas y organizativas apropiadas al riesgo, e incluye expresamente la seudonimización y el cifrado, la capacidad de restaurar el acceso tras un incidente y un proceso de verificación regular de que esas medidas funcionan. Y agrega la frase que cambia la conversación con la gerencia: ante un incidente, y en caso de controversia judicial o administrativa, le corresponde al responsable acreditar la existencia y el funcionamiento de las medidas de seguridad adoptadas. Tener las medidas no basta: hay que poder probarlas.

En concreto, eso significa tres cosas para la tarjeta SD que sale del dron: quién la retira, dónde se descarga y quién más puede abrir esa carpeta. Cómo se ordena la custodia física está en la guía de política interna de uso de drones.

Cuando el vuelo lo hace un proveedor: el contrato de encargado del tratamiento

Acá está el error más caro que vamos a ver el próximo año, y es un error de contrato, no de vuelo.

Si contratas a una empresa externa para que vuele tu planta, tú sigues siendo el responsable del tratamiento. La ley define al responsable como quien decide sobre los fines y medios del tratamiento, con independencia de si los datos son tratados directamente por él o a través de un tercero mandatario o encargado (artículo 2 letra n). Contratar no transfiere la responsabilidad: la reparte.

El artículo 15 bis regula esa relación y exige que el encargo conste en un contrato que establezca, como mínimo:

• El objeto del encargo y su duración.
• La finalidad del tratamiento.
• El tipo de datos personales tratados.
• Las categorías de titulares a quienes conciernen los datos.
• Los derechos y obligaciones de las partes.

Y agrega cuatro reglas que hay que leer con cuidado antes de firmar:

1. Prohibido tratar los datos para un objeto distinto del convenido, y prohibido cederlos o entregarlos sin autorización expresa y específica.
2. Prohibido subcontratar parte o el total del encargo salvo autorización específica y por escrito. El encargado que delega sigue siendo solidariamente responsable y no puede excusarse diciendo que delegó.
3. Si el encargado se sale del encargo, pasa a ser considerado responsable de datos para todos los efectos legales, responde personalmente por sus infracciones y solidariamente contigo por los daños.
4. Cumplida la prestación, los datos deben ser suprimidos o devueltos al responsable. Está en el texto, con esas palabras.

Ese último punto responde de una la pregunta del portafolio. Si el proveedor quiere quedarse con el material para su carrete comercial, eso es un tratamiento con una finalidad distinta y necesita autorización expresa. En la práctica, si vas a permitirlo, se acuerda por escrito y sobre material anonimizado.

Dato útil: la Agencia pondrá a disposición del público modelos tipo de contrato en su página web (artículo 15 bis, inciso tercero). Cuando estén publicados, conviene partir de ahí en vez de inventar el anexo. Y el filtro para elegir proveedor está desarrollado en la guía de checklist para evaluar un proveedor de drones: a la lista técnica y aeronáutica hay que sumarle, desde ahora, la cláusula de datos.

Checklist de 8 puntos antes de diciembre

Ocho tareas concretas. Ninguna requiere comprar software. Todas requieren que alguien las escriba.

1. Inventaria dónde hay imágenes. Tarjetas SD, discos de la sala de control, nubes de proveedores, WhatsApp de la jefatura de turno. Si no sabes dónde está el material, no puedes cumplir nada de lo que sigue.
2. Escribe la finalidad de cada vuelo recurrente y la base de licitud que lo sostiene (artículos 12 y 13). Si es interés legítimo, deja anotado cuál es ese interés: la ley obliga a poder informarlo.
3. Define y publica los plazos de retención por tipo de material, y configura el borrado para que ocurra solo (artículo 3 letra c y artículo 14 ter letra i).
4. Publica la política de tratamiento con fecha y versión, y un canal de contacto real para las solicitudes de los titulares (artículo 14 ter).
5. Arma el procedimiento de respuesta a una solicitud de acceso, rectificación, supresión, oposición, bloqueo o portabilidad: quién la recibe, quién busca el material, quién firma (artículos 5 a 9 y 11).
6. Haz la evaluación de impacto si tienes vigilancia perimetral o cualquier monitoreo sistemático de zona de acceso público (artículo 15 ter).
7. Revisa el contrato con tu proveedor de vuelo y agrégale el anexo de encargado del tratamiento con los cinco elementos del artículo 15 bis. Si el proveedor no sabe de qué le hablas, ya tienes una señal.
8. Capacita al equipo que vuela y al que archiva. El principio de responsabilidad del artículo 3 letra e no distingue entre quien decide y quien ejecuta: la empresa responde por ambos. Nosotros armamos cursos de drones para empresas en faena u oficina, y este módulo entra en el programa cuando el cliente lo pide.

Sobre las pymes, para cerrar bien: el artículo sexto transitorio establece que durante los primeros doce meses de vigencia de la ley, cuando proceda una sanción contra una empresa calificada como de menor tamaño según la ley 20.416, la Agencia podrá aplicar como sanción una amonestación por escrito. Léelo con calma: dice podrá, no deberá. Y esa amonestación igual se registra. No es una exención, es un margen de aterrizaje que dura un año. Complementariamente, el artículo 14 septies permite que la Agencia fije estándares de cumplimiento diferenciados según el tamaño de la empresa, mediante instrucción general.