Bases de licitud en la Ley 21.719: consentimiento, contrato, obligación legal e interés legítimo

Una de las confusiones más frecuentes cuando una empresa comienza a prepararse para la Ley 21.719 es pensar que todo tratamiento de datos personales necesita consentimiento.

Eso puede llevar a llenar formularios, contratos, sitios web y procesos internos de casillas de aceptación que no siempre corresponden.

La pregunta correcta es otra:

¿Qué autoriza legalmente a nuestra empresa a tratar este dato personal para esta finalidad?

Esa respuesta es la base o fuente de licitud del tratamiento.

En algunos procesos será el consentimiento de la persona. En otros, el tratamiento será necesario para ejecutar un contrato, cumplir una obligación legal o satisfacer un interés legítimo. La Ley 21.719 contempla además otros supuestos específicos que revisaremos más adelante.

La diferencia es importante porque una empresa no debería elegir una base de licitud solo porque parece conveniente. Debe poder explicar por qué corresponde, para qué finalidad utiliza los datos y cómo esa decisión se refleja después en formularios, contratos, sistemas, CRM, proveedores y procesos internos.

Si tu organización todavía está ordenando el panorama general, conviene partir por nuestro checklist de la Ley 21.719 para empresas y la guía sobre cómo preparar tu empresa para la Ley 21.719 en Chile.

Qué significa tener una base de licitud

Una base de licitud es el fundamento que permite realizar una determinada operación de tratamiento de datos personales.

La empresa no debería preguntarse solamente qué datos tiene. También debería ser capaz de explicar por qué puede utilizarlos.

Pensemos en una empresa que tiene nombre, correo electrónico y teléfono de una persona.

Esos mismos tres datos podrían aparecer en situaciones completamente diferentes. Una persona puede haber solicitado una cotización, puede ser un cliente con un servicio contratado, puede haberse inscrito voluntariamente en comunicaciones comerciales o sus datos pueden estar siendo tratados para cumplir una obligación establecida por ley.

Los datos pueden ser exactamente los mismos, pero la finalidad y el fundamento del tratamiento pueden cambiar.

Por eso la base de licitud debería analizarse por actividad y finalidad, y no simplemente por base de datos o sistema.

Este enfoque se conecta directamente con el Registro de Actividades de Tratamiento o RAT, porque una empresa que construye un mapa real de sus tratamientos debería identificar también cuál es la fuente de licitud que respalda cada uno.

Consentimiento: la regla general, pero no la única alternativa

La Ley 21.719 establece como regla general que el tratamiento de datos personales es lícito cuando el titular entrega su consentimiento.

Ese consentimiento debe ser libre, informado y específico respecto de la finalidad para la cual serán tratados los datos. Además, debe entregarse previamente y de manera inequívoca, mediante una declaración o una acción afirmativa que permita entender claramente la voluntad de la persona.

Esto cambia bastante la lógica de las clásicas autorizaciones genéricas.

Una frase como “acepto el tratamiento de mis datos” puede ser insuficiente para una operación compleja si la persona no entiende qué información será utilizada, con qué finalidad y en qué contexto.

También importa la trazabilidad. Si una empresa basa un tratamiento en consentimiento, debería poder demostrar posteriormente qué aceptó la persona y bajo qué condiciones.

Ese desafío lo abordamos en mayor detalle en nuestro artículo sobre qué debe incluir un documento de aceptación de uso de datos para cumplir con la Ley 21.719.

La ley establece además que el consentimiento puede ser revocado en cualquier momento y sin expresión de causa. Por eso no basta con diseñar bien el momento de aceptación. También hay que pensar cómo se administrará después una revocación dentro de los sistemas.

Pedir consentimiento para todo también puede ser un error

Una empresa podría pensar que la estrategia más segura es pedir autorización para cada proceso.

Pero esa lógica también tiene problemas.

Si un tratamiento es realmente necesario para prestar un servicio contratado, no tendría mucho sentido presentar ese tratamiento como algo completamente opcional. Además, la propia ley contempla que el consentimiento puede no considerarse libre cuando se obtiene durante la ejecución de un contrato o la prestación de un servicio para recolectar información que no es necesaria para ese contrato o servicio.

Esto obliga a separar mejor las finalidades.

Una cosa es utilizar los datos necesarios para entregar un producto o ejecutar un servicio.

Otra distinta es aprovechar esos mismos datos posteriormente para una actividad adicional que no era necesaria para cumplir el contrato.

Aquí aparece una de las decisiones más importantes de la nueva regulación: no acumular autorizaciones, sino identificar correctamente qué justifica cada tratamiento.

Contrato: cuando tratar el dato es necesario para prestar el servicio

La Ley 21.719 permite tratar datos personales sin requerir consentimiento cuando el tratamiento sea necesario para la celebración o ejecución de un contrato entre el titular y el responsable.

También contempla las medidas precontractuales adoptadas a solicitud de la propia persona.

Un ejemplo simple permite entenderlo.

Si alguien solicita una cotización a una empresa, será necesario utilizar ciertos datos para preparar y responder esa solicitud. Si posteriormente contrata el servicio, probablemente será necesario seguir tratando determinados datos para ejecutar la relación contractual.

Eso no significa que el contrato permita hacer cualquier cosa con esa información.

La palabra importante es necesario.

Que una persona sea cliente no transforma automáticamente todos sus datos en una base disponible para cualquier finalidad futura.

La finalidad sigue siendo determinante.

Una empresa debería poder diferenciar claramente qué tratamiento resulta necesario para ejecutar el contrato y qué usos adicionales requieren analizar otra fuente de licitud.

Obligación legal: cuando una norma exige tratar determinada información

Otra fuente de licitud aparece cuando el tratamiento es necesario para cumplir una obligación legal o cuando la propia ley dispone que debe realizarse.

Aquí la empresa no utiliza el dato porque obtuvo una autorización voluntaria del titular, sino porque existe un fundamento normativo que justifica ese tratamiento.

Esto es especialmente importante porque evita un error frecuente: solicitar consentimiento para actividades que la empresa igualmente tiene obligación de realizar.

Si una organización utiliza esta fuente de licitud, debería poder identificar cuál es la obligación que justifica el tratamiento y limitar el uso de los datos a aquello que resulte coherente con esa finalidad.

No basta con escribir “obligación legal” dentro de una planilla. Debe existir una razón concreta detrás de esa clasificación.

Interés legítimo: una alternativa útil que no es un permiso abierto

Probablemente esta será una de las bases de licitud que más preguntas genere en las empresas.

La Ley 21.719 permite tratar datos cuando sea necesario para satisfacer intereses legítimos del responsable o de un tercero, siempre que con ello no se afecten los derechos y libertades del titular.

Esto abre posibilidades importantes, pero también exige criterio.

El interés legítimo no debería entenderse como una forma de justificar cualquier tratamiento para el cual la empresa no consiguió consentimiento.

La organización debería ser capaz de explicar qué interés persigue, por qué el tratamiento de esos datos resulta necesario y qué impacto podría tener sobre la persona.

En términos operativos, conviene dejar documentada esa evaluación.

Por ejemplo, registrar cuál es la finalidad, qué información se necesita, si existe una alternativa menos invasiva, qué expectativa razonable puede tener el titular y qué medidas se están utilizando para reducir riesgos.

La ley también establece que el titular puede solicitar información respecto del tratamiento que lo afecta y sobre el interés legítimo en que éste se fundamenta.

Por eso esta base necesita algo más que una decisión interna. Necesita transparencia.

Consentimiento e interés legítimo no son equivalentes

Esta diferencia merece especial atención.

Cuando el tratamiento depende del consentimiento, la persona puede revocarlo y la empresa necesita administrar esa decisión.

Cuando se utiliza interés legítimo, la lógica es diferente: la empresa debe ser capaz de justificar por qué existe ese interés y por qué no prevalecen los derechos y libertades del titular.

Además, la Ley 21.719 reconoce el derecho de oposición frente a determinados tratamientos basados en interés legítimo y contempla expresamente la oposición cuando los datos se utilizan exclusivamente para marketing directo, incluida la elaboración de perfiles.

Por eso no es recomendable decidir la base mirando solamente cuál parece más cómoda para la empresa.

Hay que mirar el proceso completo.

Comparación rápida de las principales bases de licitud

Base de licitud	Cuándo puede resultar aplicable	Pregunta que debería responder la empresa
Consentimiento	Cuando la persona autoriza libre, específica, informada e inequívocamente el tratamiento	¿Podemos demostrar qué aceptó y para qué finalidad?
Contrato	Cuando el tratamiento es necesario para celebrar o ejecutar un contrato o una medida precontractual solicitada por el titular	¿Necesitamos realmente este dato para cumplir el contrato?
Obligación legal	Cuando una norma obliga o autoriza legalmente el tratamiento	¿Qué norma concreta justifica este tratamiento?
Interés legítimo	Cuando existe un interés legítimo del responsable o un tercero y no se afectan los derechos y libertades del titular	¿Podemos justificar y documentar este interés y su necesidad?

Esta tabla sirve como orientación inicial. La base correcta depende del tratamiento concreto, de su finalidad y de las circunstancias en que se realiza.

La Ley 21.719 contempla otras fuentes de licitud

Consentimiento, contrato, obligación legal e interés legítimo son especialmente relevantes para la operación cotidiana de muchas empresas, pero no son los únicos supuestos contemplados por la ley.

El artículo 13 también regula tratamientos relativos a determinadas obligaciones de carácter económico, financiero, bancario o comercial, bajo las reglas específicas correspondientes, y aquellos necesarios para la formulación, ejercicio o defensa de un derecho ante tribunales de justicia u órganos públicos.

Por eso sería incorrecto transformar las cuatro bases anteriores en una lista cerrada aplicable a cualquier organización.

Además, cuando se trata de datos personales sensibles, existen reglas reforzadas y excepciones específicas. No conviene aplicar automáticamente el mismo análisis utilizado para un nombre, teléfono o correo electrónico a información de salud, biométrica u otras categorías especialmente protegidas.

El problema aparece cuando una misma base se usa para demasiadas finalidades

Una práctica frecuente consiste en captar datos una vez y luego reutilizarlos progresivamente.

La persona completa un formulario para pedir información. El registro entra al CRM. Luego pasa al equipo comercial. Después se incorpora a una campaña. Más adelante se combina con otros datos para segmentar usuarios.

Desde el punto de vista tecnológico puede parecer un solo registro.

Desde el punto de vista del tratamiento, pueden existir varias actividades y finalidades distintas.

Ese es uno de los motivos por los cuales recomendamos revisar conjuntamente formularios, CRM y automatizaciones. En nuestro artículo sobre formularios, leads y bases de datos frente a la Ley 21.719 analizamos justamente ese recorrido.

La pregunta deja de ser “¿tenemos autorización para guardar este correo?” y pasa a ser “¿qué estamos haciendo actualmente con este correo y qué justifica cada uso?”.

Cómo llevar las bases de licitud al RAT

Aquí es donde el tema legal comienza a transformarse en trabajo operativo.

El Registro de Actividades de Tratamiento debería permitir relacionar cada actividad con su finalidad y con la base de licitud que la respalda.

Una actividad podría describirse, por ejemplo, como “gestión de solicitudes comerciales”. Luego deberían identificarse los datos involucrados, finalidad, sistemas, responsables, proveedores, plazo de conservación y fuente de licitud.

Otra actividad distinta podría ser “envío de comunicaciones promocionales”.

Aunque utilice algunos de los mismos datos y el mismo CRM, su finalidad podría ser diferente y requerir otro análisis.

Esa separación permite detectar errores que permanecen ocultos cuando la empresa observa solamente sus bases de datos.

La base de licitud también debe conversar con los sistemas

Definir correctamente el fundamento jurídico es solo una parte del trabajo.

Después hay que conseguir que los sistemas sean capaces de respetarlo.

Si un tratamiento depende del consentimiento, debería existir una forma de registrar y relacionar esa aceptación con la persona y la finalidad correspondiente.

Si el consentimiento se revoca, el cambio debería llegar a los sistemas donde esa autorización controla determinados tratamientos.

Si una actividad se fundamenta en un contrato, debería ser posible distinguir cuándo termina la relación y qué datos siguen siendo necesarios después.

Si existe interés legítimo, debería quedar claridad sobre los procesos que utilizan esa información y sobre cómo se gestiona una eventual oposición.

Es aquí donde el cumplimiento deja de ser solamente documental.

La política, el RAT, los formularios, los contratos y los sistemas deberían representar una misma realidad.

Ese vínculo también es central para demostrar cumplimiento de la Ley 21.719 sin quedarse solamente en documentos.

No confundir base de licitud con política de privacidad

Una política de privacidad informa.

Una base de licitud justifica el tratamiento.

Son elementos relacionados, pero no intercambiables.

Publicar una política no transforma automáticamente en lícito todo lo que la empresa hace con los datos.

La organización primero debe determinar qué tratamientos realiza, con qué finalidad y bajo qué fundamento. Después esa realidad debe reflejarse correctamente en la información entregada a las personas.

Por eso actualizar solamente el texto del sitio web puede generar una falsa sensación de cumplimiento.

Una pregunta útil para revisar cada proceso

Antes de diciembre de 2026, una empresa debería poder tomar cualquier tratamiento relevante y responder con claridad:

¿Qué datos estamos usando, para qué los usamos y cuál es la fuente de licitud que nos permite hacerlo?

Si la respuesta es “porque el cliente aceptó”, conviene revisar exactamente qué aceptó.

Si es “porque existe un contrato”, hay que verificar si el tratamiento realmente es necesario para cumplirlo.

Si es “porque la ley nos obliga”, corresponde identificar esa obligación.

Si es “por interés legítimo”, la organización debería ser capaz de justificar el interés, la necesidad y su impacto sobre las personas.

Y si nadie sabe responder, probablemente el problema no esté todavía en el documento legal.

Está en el mapa de datos y procesos.

Evalúa tu proyecto con Datactil

En Datactil abordamos la Ley 21.719 desde la relación entre cumplimiento y operación tecnológica.

Revisamos cómo los datos entran a través de formularios, cómo circulan por CRM y automatizaciones, qué proveedores participan, qué accesos existen, dónde quedan almacenados y qué evidencia puede generar la organización.

Definir correctamente las bases de licitud es una parte de ese trabajo. El siguiente desafío es conseguir que esa decisión se refleje efectivamente en sistemas, procesos y controles.

Si tu empresa necesita revisar cómo está tratando sus datos personales y qué cambios tecnológicos debería priorizar antes de la entrada en vigencia de la nueva normativa, puedes evaluar tu proyecto con Datactil.

La preparación no debería comenzar agregando casillas de consentimiento a todo.

Debería comenzar entendiendo por qué cada dato está siendo tratado y consiguiendo que esa respuesta pueda demostrarse.