La primera radiografía completa al nuevo régimen de responsabilidad civil por daños derivados del mal uso de datos personales acaba de llegar desde la academia, y su conclusión central funciona como alerta para litigantes y empresas: en Chile ya no bastará con probar ante un tribunal que alguien trató mal nuestros datos. Antes de abrir la puerta de la indemnización, la futura Agencia de Protección de Datos Personales deberá declarar, mediante una resolución firme, que efectivamente existió infracción. El diseño es inédito y promete generar intensos debates interpretativos en los próximos años.
El análisis lleva la firma de Luca Martino Acevedo, Dante Pesce Peña y Francisco Maturana Casarotto, abogados asociados del estudio Colombara Estrategia Legal, y fue publicado en la Revista de Derecho Privado: Debates y Tendencias, editada por el Departamento de Derecho Privado de la Facultad de Derecho de la Universidad de Chile. Su objeto de estudio es el artículo 47 de la Ley 21719, la reforma que modernizó la protección de datos personales en el país y que creó una vía especial para demandar indemnización cuando los datos son tratados ilegalmente.
LA NUEVA PUERTA DE ENTRADA: UN CANDADO ADMINISTRATIVO
El hallazgo que recorre todo el texto es lo que los autores denominan prejudicialidad administrativa. Se trata de una exigencia que no existía en el derecho chileno con esta intensidad: para que una persona pueda ejercer la acción civil de indemnización, la Agencia de Protección de Datos Personales debe pronunciarse antes y declarar la infracción. Solo cuando esa resolución quede firme, la víctima podrá demandar.
La figura es más intensa que otros filtros previos conocidos en el ordenamiento jurídico chileno. Los autores lo comparan con lo que ocurre ante el Tribunal de Defensa de la Libre Competencia, pero marcan una diferencia esencial: en aquel caso quien habilita el paso a la sede judicial es un tribunal especializado; en la nueva ley, quien abre esa puerta es un órgano administrativo técnico. Esa sola característica, advierten, obligará a los operadores jurídicos a repensar cómo se articulan la justicia y la fiscalización administrativa.
A pesar del candado, el estudio descarta que se trate de una responsabilidad civil completamente nueva. Lo que crea la Ley 21719 es un subsistema especial dentro de la responsabilidad extracontractual clásica. Convive con el Código Civil, pero con reglas propias que alteran de manera importante el equilibrio tradicional entre quien demanda y quien debe defenderse.
REGLAS ESPECIALES Y UNA PRUEBA QUE SE INVIERTE
La primera diferencia relevante está en los plazos. La acción prescribe en cinco años, no en los cuatro que normalmente rigen la responsabilidad extracontractual del Código Civil. A ello se suma un procedimiento sumario, pensado para dar respuesta más rápida a la víctima. Pero el cambio más profundo está en materia probatoria.
Una vez que la Agencia declara la infracción, esa declaración opera como una presunción de culpa. La persona afectada ya no tiene que probar que el responsable actuó con negligencia: le basta con acreditar el daño sufrido y el vínculo entre ese daño y la infracción declarada. El peso de la prueba se traslada a quien trató mal los datos, que deberá demostrar que actuó con la diligencia debida. Para las víctimas, se trata de una ventaja considerable; para las empresas que manejan datos personales, un nuevo escenario de riesgo procesal.
LOS DATOS BIOMÉTRICOS Y LA VULNERABILIDAD DE LOS MENORES
Uno de los aportes más sugerentes del artículo es el análisis dedicado a los datos biométricos: iris, huella dactilar, rasgos faciales o voz. La advertencia es contundente: a diferencia de una contraseña o de un correo electrónico, estos datos no se pueden cambiar cuando quedan comprometidos. El daño, una vez producido, permanece con el titular de manera indefinida.
Los autores recurren a dos casos recientes para ilustrar el punto. El primero es el de Worldcoin, la empresa que escaneó iris de menores de edad a cambio de criptomonedas. El segundo es el de Emotiv Inc., vinculado a la obtención de neurodatos mediante un dispositivo cerebral. En ambos, la Corte Suprema ya trató el fenómeno como un daño continuo en el tiempo y no como un hecho aislado y agotado. Esa mirada, sostienen los investigadores, es la que mejor captura la naturaleza del perjuicio en estas materias.
El estudio agrega una capa adicional cuando las víctimas son niños, niñas o adolescentes. Como ocurrió en el caso Worldcoin, la capacidad real de estos titulares para comprender a qué estaban accediendo resulta limitada. Esa vulnerabilidad, dicen los autores, debe operar como un factor que agrava la indemnización, porque el consentimiento obtenido en ese contexto es particularmente frágil.
LOS ESPACIOS QUE QUEDARÁN EN DISCUSIÓN
La investigación no se limita a describir las virtudes del nuevo régimen. También ilumina los riesgos prácticos que podrían transformarse en fuentes de conflicto. El primero es el silencio de la Agencia. Si el organismo fiscalizador se demora o simplemente no resuelve la solicitud de declaración de infracción, la víctima podría quedar atrapada en un limbo procesal, sin poder demandar civilmente por una demora que no le es imputable.
Frente a ello, los autores proponen una salida interpretativa: entender la prejudicialidad como un mecanismo facultativo y no como una barrera absoluta. Para sostener esa lectura se apoyan en la doctrina de la Corte Suprema sobre tutela judicial efectiva. La idea es que el acceso a la justicia no quede indefinidamente supeditado a la diligencia de un órgano administrativo.
Otro frente abierto es el de la eventual doble sanción. La ley contempla que sobre una misma conducta puedan recaer una multa administrativa impuesta por la Agencia, una indemnización civil a favor de la víctima y, cuando el afectado tenga también la calidad de consumidor, los daños punitivos de la Ley del Consumidor. ¿Es eso un doble castigo prohibido? El estudio dedica una sección completa a responder que no.
Para los autores, la coexistencia de esas tres vías no vulnera el principio de non bis in idem, porque cada una persigue una función distinta: una sanciona la infracción al orden regulatorio, la otra repara el daño sufrido por la persona y la tercera cumple un rol disuasivo. Además, protegen bienes jurídicos diferentes. En consecuencia, advierten que los tribunales deberán resistir la tentación de aplicar automáticamente la lógica del doble juzgamiento a un sistema que fue diseñado con propósitos complementarios.
LAS ACCIONES COLECTIVAS SIGUEN VIVAS
Hay un tercer punto que resulta central para el litigio estratégico. La nueva ley le quitó al Servicio Nacional del Consumidor la competencia para fiscalizar materias de datos personales. Esa modificación pudo leerse como el fin de las acciones colectivas en este ámbito. Los autores matizan esa lectura: la pérdida de competencia fiscalizadora del Sernac no elimina la posibilidad de acciones colectivas cuando una filtración masiva de datos afecta al mismo tiempo a miles de personas.
Esta herramienta, explican, sigue disponible porque la acción individual del artículo 47 no está diseñada para cubrir daños masivos y difusos. En escenarios como una brecha de seguridad que comprometa información de una base completa de clientes, la acción colectiva aparece como el vehículo idóneo para canalizar la reparación de todos los afectados a la vez.
UNA HOJA DE RUTA PARA UN TERRENO AÚN SIN TRAZAR
El valor práctico de la publicación es inmediato. La Agencia de Protección de Datos Personales está recién en marcha y la Ley 21719 todavía no cuenta con jurisprudencia consolidada. En ese escenario, el artículo de Martino, Pesce y Maturana funciona como una hoja de ruta temprana para abogados, jueces y empresas. Mapea con detalle cómo debería operar el nuevo sistema en la práctica y anticipa varios de los conflictos interpretativos que previsiblemente llegarán a los tribunales.
Para quienes litigan, el mensaje es claro: el nuevo régimen no es una simple ampliación de la responsabilidad civil clásica, sino un sistema con lógica propia, condiciones de admisibilidad particulares y una carga probatoria redistribuida. Para las empresas que recolectan y procesan datos personales, la advertencia es más severa aún: los datos biométricos exigen estándares más altos de cuidado, porque el daño que se produce con su mal uso no admite vuelta atrás. La discisión, que recién comienza, será seguida con atención por todo el mundo jurídico nacional.
LA FUENTE
El análisis completo puede revisarse en el artículo Responsabilidad civil emanada de la nueva regulación de la protección de datos personales, de Luca Martino Acevedo, Dante Pesce Peña y Francisco Maturana Casarotto, publicado en la Revista de Derecho Privado: Debates y Tendencias, Núm. 3, 2026, pp. 21-56, del Departamento de Derecho Privado de la Facultad de Derecho de la Universidad de Chile. DOI: 10.5354/3087-2332.2026.83739.
Nota del Editor Fotografía referencial generada por Inteligencia Artificial.
Acerca del Autor
