🔒 Ley 21.719 y Prevención de Riesgos: qué datos de tus trabajadores debes proteger antes de diciembre 2026

Hay una fecha que muchas áreas de prevención de riesgos todavía no tienen en el radar: el 1 de diciembre de 2026. Ese día entra en vigencia plena la Ley 21.719, la nueva Ley de Protección de Datos Personales de Chile, y con ella aparece por primera vez una autoridad con facultades reales para fiscalizar y multar — la Agencia de Protección de Datos Personales (APDP). Multas de hasta 20.000 UTM, equivalentes a más de un millón de dólares, para empresas que no puedan demostrar que tratan la información conforme a la ley.

El problema es que cuando se habla de datos personales en una empresa, casi siempre se piensa en clientes, prospectos o usuarios de plataformas web. Rara vez se piensa en lo que gestiona prevención de riesgos todos los días: fichas de trabajadores, registros de entrega de EPP, actas de capacitación, informes de incidentes, datos de salud ocupacional, biométricos de control de acceso en faena. Toda esa información está cubierta por la Ley 21.719. Y si no se gestiona correctamente, es un riesgo legal que recae sobre el empleador.

📋 Qué dice la Ley 21.719 y por qué le importa a prevención de riesgos

La Ley 21.719 reemplaza el marco de la antigua Ley 19.628, vigente desde 1999, que operaba sin una autoridad de control efectiva ni sanciones disuasivas. El cambio central no es solo normativo: es que ahora existe un ente fiscalizador con dientes. La APDP puede abrir investigaciones, imponer multas y ordenar la suspensión del tratamiento de datos hasta por 30 días.

En el ámbito laboral, la ley es clara: el empleador es responsable del tratamiento de los datos personales de sus trabajadores. Eso incluye cómo se recopilan, cómo se almacenan, con quién se comparten y por cuánto tiempo se conservan. El artículo 154 ter del Código del Trabajo ya establecía que el empleador debe mantener reserva de toda la información y datos privados del trabajador a que tenga acceso con ocasión de la relación laboral. La Ley 21.719 eleva ese estándar a uno mucho más exigente: responsabilidad proactiva, evidencia documentada y derechos concretos para el trabajador.

🧩 Qué datos maneja prevención de riesgos — y cuáles quedan cubiertos por la ley

• Cuando se hace el inventario real de información que circula en un área de prevención de riesgos, la lista es más larga de lo que parece:
• Fichas de trabajadores con RUT, datos de contacto y cargo — datos personales básicos cubiertos por la ley.
• Registros de entrega de EPP con firma del trabajador — información personal vinculada a condiciones de trabajo.
• Actas de capacitación e inducciones con nombre, firma y fecha — tratamiento de datos con fines laborales que requiere base legal explícita.
• Informes de accidentes e incidentes con descripción de lesiones y circunstancias — datos que pueden incluir información de salud, considerada sensible bajo la ley.
• Registros de salud ocupacional, exámenes preocupacionales y de vigilancia médica — datos de salud con protección reforzada.
• Control de acceso biométrico en faena (huella dactilar, reconocimiento facial) — datos biométricos, categoría especialmente regulada que exige consentimiento explícito y evaluación de impacto previa.
• Datos de trabajadores de empresas contratistas gestionados por la empresa principal — el empleador principal también responde por esta información.

⚠️ Los puntos críticos que debes revisar antes de diciembre 2026

1. Base legal para tratar los datos que ya tienes. La ley exige que cada dato personal tenga una razón legítima para ser tratado: ejecución del contrato laboral, cumplimiento de una obligación legal (como el DS 44), o consentimiento informado del trabajador. Revisar qué información se recopila en los formularios de prevención y si existe una base legal documentada para cada tipo de dato es el primer paso que ningún empleador puede saltarse.
2. Consentimiento y datos biométricos en faena. El control de acceso mediante huella dactilar es una práctica extendida en obras y plantas. Bajo la Ley 21.719, los datos biométricos son una categoría especialmente protegida: requieren consentimiento explícito del trabajador, evaluación de impacto en protección de datos previa a su uso, y medidas de seguridad reforzadas. Una empresa que usa lectura de huella sin haber documentado este proceso está en zona de riesgo.
3. Datos de salud en registros de accidentes e informes médicos. Toda información relativa a la salud de un trabajador — incluyendo las circunstancias de un accidente, el diagnóstico derivado o los resultados de un examen de vigilancia médica — es considerada dato sensible. Su tratamiento requiere condiciones más estrictas que un dato de contacto. Si esa información está en planillas sin control de acceso o se comparte por correo sin restricciones, hay un problema concreto.
4. Compartir datos de trabajadores con contratistas, mutuales y organismos externos. La empresa que entrega datos de sus trabajadores a un contratista, a la mutual de seguridad o a cualquier tercero sigue siendo responsable de ese tratamiento. La ley exige documentar con quién se comparte la información, bajo qué condiciones y con qué finalidad. Una circular enviada al contratista con datos personales de trabajadores sin un acuerdo de tratamiento documentado es un incumplimiento.
5. Conservación y eliminación de registros. La ley establece el principio de limitación del plazo de conservación: los datos deben eliminarse cuando ya no sean necesarios para la finalidad que los originó. Un archivo con fichas de trabajadores que dejaron la empresa hace cinco años, o registros de capacitaciones que nunca se depuran, es una exposición innecesaria que la APDP puede cuestionar.
6. Derechos del trabajador como titular de datos. La Ley 21.719 reconoce derechos concretos al trabajador: acceder a sus datos, solicitar su rectificación, oponerse a ciertos tratamientos y pedir la eliminación cuando corresponda. El empleador debe tener un canal y un procedimiento definido para responder esas solicitudes en los plazos que establece la ley. No tenerlo no es una omisión menor: es un incumplimiento directo.

👉 En Worklite.cl, los registros de prevención de riesgos — entrega de EPP, IRL, capacitaciones, incidentes — se gestionan con firma digital, trazabilidad completa y control de acceso por rol. Eso significa que cuando la APDP o la Dirección del Trabajo soliciten evidencia, la información está organizada, fechada y disponible — no dispersa en planillas o carpetas físicas sin control.

🔍 Lo que la APDP va a fiscalizar — y cómo prepararse

La Agencia de Protección de Datos Personales no va a pedir buena voluntad: va a pedir evidencia. Logs con fecha, registros firmados, políticas internas comunicadas a los trabajadores, procedimientos documentados para responder solicitudes de derechos. Una política de privacidad publicada en algún rincón de la intranet, sin trazabilidad operativa, no cumple el estándar.

Para el área de prevención de riesgos, eso se traduce en algo concreto: los sistemas donde se gestiona la información de los trabajadores deben poder demostrar quién accedió a qué dato, cuándo y con qué propósito. Una planilla de Excel compartida por WhatsApp no tiene esa trazabilidad. Un software con control de acceso por rol, registro de actividad y firma digital, sí.

🏁 Conclusión

La Ley 21.719 no es un problema del área legal o de TI solamente. Es un problema del empleador completo — y eso incluye todo lo que gestiona prevención de riesgos. Los datos de los trabajadores en faena, los registros de salud, los biométricos de acceso y los informes de accidentes son información personal que desde el 1 de diciembre de 2026 queda sujeta a fiscalización con consecuencias económicas reales.

✅ Con Worklite.cl, la gestión documental de prevención de riesgos deja de ser un archivo sin control para convertirse en un sistema trazable, con acceso restringido por rol y registros firmados digitalmente — listo para cumplir con el estándar que exige la nueva ley.