Anexo de tratamiento de datos: qué exigirle a su proveedor TI antes de diciembre

El 1 de diciembre de 2026 entran en vigencia las obligaciones de la Ley 21.719, que moderniza el tratamiento de datos personales en Chile. Para una empresa que trabaja con proveedores tecnológicos, eso significa un documento nuevo que probablemente todavía no tiene firmado: el anexo de tratamiento de datos.

Este artículo explica qué es, con qué proveedores hace falta, qué debe decir y cómo conseguirlo sin abrir una negociación de meses. Está escrito desde la experiencia de haber tenido que resolverlo en casa primero.

Por qué aparece esta obligación

La ley distingue dos papeles. El responsable decide para qué y cómo se tratan los datos: es su empresa con los datos de sus clientes y trabajadores. El encargado los trata por cuenta del responsable: su proveedor de correo, de alojamiento, de soporte, su CRM.

Cuando existe esa relación, el artículo 15 bis exige que conste por escrito qué puede hacer el encargado con esos datos. Y añade algo que conviene leer despacio:

Si el encargado destina los datos a una finalidad distinta de la convenida, los comunica infringiendo el contrato o incumple sus obligaciones, responde como responsable del tratamiento.

La consecuencia práctica: sin contrato no hay «finalidad convenida» que oponer. Si el proveedor hace algo indebido, la empresa queda sin el documento que delimita responsabilidades.

Con qué proveedores hace falta

Con todos los que tocan datos de personas identificables. La lista suele ser más larga de lo que se recuerda:

• Correo y marketing — quien envía sus campañas ve los correos de sus contactos.
• Alojamiento y nube — quien guarda la base de datos las tiene todas.
• CDN y protección perimetral — ve el tráfico y las direcciones IP.
• Analítica y publicidad — trata identificadores de navegación.
• Proveedores de inteligencia artificial — si se les envían datos de clientes o contactos para generar textos, análisis o resúmenes.
• Soporte TI y desarrollo — si acceden a sistemas con datos personales.

Ese quinto punto sorprende a mucha gente. Si su equipo comercial usa una herramienta de IA para redactar correos personalizados con datos de contactos reales, ese proveedor es un encargado y normalmente está fuera de Chile.

El malentendido más caro

La reacción habitual al conocer la obligación es pensar en redactar un contrato y mandarlo a firmar a cada proveedor. Con proveedores grandes eso no funciona: no firman documentos ajenos.

Publican su propio anexo y se acepta desde la cuenta, con una casilla o un formulario. Y eso cumple: el artículo 15 bis exige que conste por escrito, no una firma manuscrita.

Lo que sí hay que hacer es conservar la prueba: la fecha de aceptación y el enlace a la versión aceptada. Eso es lo que se enseña si alguien pregunta.

La excepción son los proveedores pequeños —el técnico de confianza, la empresa de soporte local, el desarrollador independiente—. Ahí sí toca enviarles un anexo, porque rara vez tienen uno propio.

Qué debe decir el anexo

Seis puntos que la ley exige fijar, y que conviene comprobar uno a uno antes de aceptar:

1. Objeto y finalidad

Para qué trata los datos el proveedor. Debe ser específico: «prestar el servicio contratado» no delimita nada. Y debe decir expresamente que no los usará para fines propios — incluido, en 2026, el entrenamiento de modelos.

2. Tipo de datos y categorías de titulares

Qué datos y de quién. Si hay datos sensibles —salud, origen, creencias, biométricos— o de menores, el régimen es más estricto y el anexo debe reflejarlo.

3. Duración

Mientras dure el servicio, más el plazo para devolver o eliminar.

4. Subencargados

Si el proveedor puede subcontratar a otros. Lo razonable es exigir autorización previa o, al menos, aviso con derecho a objetar. Un proveedor que subcontrata libremente sin informar convierte su lista de encargados en algo que usted no controla.

5. Seguridad y confidencialidad

Qué medidas aplica y el compromiso de secreto, que subsiste cuando el contrato termina.

6. Qué pasa al terminar

Devolución o eliminación de los datos, a elección suya, incluidas las copias. Con constancia por escrito de que se hizo.

La pregunta que filtra proveedores

Hay una forma rápida de saber con quién se está tratando: preguntar si tienen anexo de tratamiento conforme a la Ley 21.719 y pedir el enlace.

Un proveedor preparado lo manda en minutos. Uno que no sabe de qué le hablan tampoco tendrá resuelto lo demás — y en diciembre va a ser su problema, porque la responsabilidad no se transfiere por desconocimiento.

Si está evaluando externalizar soporte o desarrollo, esta pregunta merece estar en la misma conversación que el precio y los tiempos de respuesta. Está incluida en las nueve que recomendamos en la guía de outsourcing informático.

Las transferencias internacionales

Casi todos los proveedores tecnológicos tratan datos fuera de Chile. Eso no está prohibido, pero exige que la transferencia se apoye en alguno de los supuestos que la ley reconoce, y que el anexo lo diga.

El error frecuente es escribir en la política de privacidad que existen «cláusulas contractuales suscritas» sin tenerlas. Es una afirmación fácil de desmentir: basta con que alguien pida ver el contrato.

Si va a decir algo sobre sus transferencias, que describa el estado real. «Estamos completando los acuerdos con cada proveedor, con plazo a diciembre de 2026» es una frase perfectamente defendible. «Tenemos cláusulas suscritas» sin tenerlas, no.

Un orden de trabajo que funciona

1. Haga el inventario. Qué proveedores tocan datos personales, qué datos, y en qué país. Sin esto lo demás es adivinar.
2. Separe los grandes de los pequeños. Los grandes tienen anexo publicado: se acepta y se guarda la prueba. Los pequeños necesitan uno suyo.
3. Empiece por los críticos. El que guarda su base de datos y el que envía sus correos son más urgentes que el que le vende licencias.
4. Deje constancia de cada aceptación con fecha. Un inventario sin fechas no acredita nada.
5. Revise lo que ya publicó. Si su política de privacidad afirma cosas sobre proveedores o transferencias, compruebe que siguen siendo ciertas.

Lo que este artículo no es

No es asesoría jurídica. Es la descripción de un problema operativo que tuvimos que resolver primero en nuestra propia casa: inventariar proveedores, descubrir que dos no estaban registrados, corregir afirmaciones de nuestra política que no se sostenían y dejar constancia de cada aceptación.

La calificación legal de su caso concreto la hace un abogado. Lo que sí podemos decir con conocimiento propio es cómo se ve el trabajo por dentro y dónde aparecen los huecos.

Si necesita apoyo para el inventario técnico —qué sistemas tratan qué datos y hacia dónde salen— es parte de lo que revisamos en una asesoría informática. Y si su proveedor actual de outsourcing informático todavía no le ha hablado de esto a falta de pocos meses, esa también es información útil.