Derechos ARSOP en la Ley 21.719: guía para empresas chilenas
Qué son los derechos ARSOP (acceso, rectificación, supresión, oposición y portabilidad, conocidos también como ARCOP), plazos legales para responder y cómo gestionarlos sin exponer a tu empresa a multas.
Si tu empresa trata datos personales de clientes, empleados o proveedores, tarde o temprano alguien va a ejercer sus derechos ARSOP. La pregunta no es si va a pasar, sino si tu empresa sabrá responder dentro del plazo legal — o si va a improvisar con una planilla de Excel y un correo perdido en la bandeja de entrada.
Qué son los derechos ARSOP (comúnmente llamados ARCOP)
La Ley 21.719 amplió el clásico ARCO (heredado de la ley anterior) agregando la portabilidad. En el mercado chileno el conjunto se conoce coloquialmente como "ARCOP", pero como el término legal del cuarto derecho es supresión y no "cancelación", el acrónimo técnicamente preciso es ARSOP: Acceso, Rectificación, Supresión, Oposición y Portabilidad. Son cinco derechos que todo titular de datos puede ejercer frente a cualquier responsable de tratamiento:
Acceso
El titular puede solicitar qué datos suyos tiene la empresa, con qué finalidad los trata, de dónde los obtuvo y a quién se los ha comunicado.
Rectificación
El titular puede exigir que se corrijan datos inexactos, incompletos o desactualizados. Una dirección antigua, un RUT mal digitado, un cargo que ya no corresponde.
Supresión (a veces llamada "cancelación")
El término legal en la Ley 21.719 es supresión (Art. 4, Art. 7), no cancelación. El titular puede pedir que se eliminen sus datos cuando ya no sean necesarios para la finalidad original, cuando retire su consentimiento, o cuando el tratamiento sea ilícito.
Oposición
El titular puede oponerse a un tratamiento específico — por ejemplo, a recibir marketing directo — incluso si el tratamiento en general es lícito.
Portabilidad
El derecho nuevo de la Ley 21.719: el titular puede exigir que se le entreguen sus datos en un formato estructurado y de uso común, para trasladarlos a otro responsable si así lo desea. El Art. 9 va más allá: permite que los datos se transmitan directamente de responsable a responsable cuando sea técnicamente posible, sin pasar por el titular.
La ley también contempla un sexto derecho, separado de los cinco anteriores: el derecho de bloqueo del tratamiento (Art. 8° ter), que suspende temporalmente el uso de los datos mientras se resuelve una solicitud de rectificación o supresión, o mientras se evalúa una oposición.
El plazo legal: 30 días corridos, prorrogables
De acuerdo al Artículo 11 de la Ley 21.719, el responsable debe pronunciarse a más tardar dentro de los 30 días corridos siguientes a la fecha de ingreso de la solicitud, prorrogables una sola vez por 30 días corridos adicionales. No hay margen de interpretación: pasado ese plazo sin respuesta, la empresa queda expuesta a una infracción.
El plazo corre desde que la solicitud ingresa, no desde que la empresa termina de verificar la identidad del solicitante. Por eso la verificación debe ser rápida: cada día que se demora en confirmar quién solicita es un día menos dentro del plazo legal, no un día "extra" antes de que el plazo empiece a correr.
El primer filtro: verificar la identidad del solicitante
Antes de entregar, corregir o eliminar cualquier dato, hay que confirmar que quien solicita es realmente el titular. Entregar datos personales a quien no corresponde es en sí mismo una filtración de datos — el remedio se convierte en el problema.
Las formas más comunes de verificación:
- Código OTP al correo registrado del titular (el método más usado en Chile)
- Validación cruzada con datos que solo el titular debería conocer
- Firma electrónica en casos de mayor sensibilidad
Casos donde el derecho tiene límites
No todos los derechos ARSOP son absolutos. Algunos ejemplos frecuentes en la práctica chilena:
| Situación | Qué corresponde | |---|---| | Ex empleado pide eliminar su ficha laboral completa | Se elimina lo que ya no es obligatorio conservar, pero se retiene lo que exige la legislación laboral y tributaria | | Cliente pide portabilidad de datos que están mezclados con datos de terceros | Se entregan solo los datos propios del titular, anonimizando o excluyendo a terceros | | Titular se opone a un tratamiento con base legal distinta al consentimiento (ej. obligación contractual) | La oposición no aplica automáticamente — depende de la base legal del tratamiento |
Negar un derecho sin fundamento legal es una infracción. Concederlo sin revisar estas excepciones también lo es — ambos errores exponen a la empresa.
Qué pasa si la empresa no responde a tiempo
La ley gradúa la severidad según qué tan mal se gestionó la solicitud:
- Responder fuera de plazo o en forma incompleta es infracción leve (Art. 34 bis, letra c).
- Impedir u obstaculizar el ejercicio de un derecho ARSOP es infracción grave (Art. 34 ter, letra e).
- Incumplir una resolución de la Agencia que ordena satisfacer un derecho ARSOP o de bloqueo es infracción gravísima (Art. 34 quáter, letra i).
Las multas pueden llegar a los cientos de millones de pesos según la gravedad y reincidencia (ver multas de la Ley 21.719). Además, quedar sin registro de cómo se gestionó una solicitud es, por sí solo, una debilidad que la Agencia detecta rápido en una fiscalización.
Cómo gestionar solicitudes ARSOP sin depender de un correo perdido
La forma más común en que las empresas fallan no es por mala intención, sino por falta de proceso: la solicitud llega a un correo genérico, nadie la deriva a tiempo, y el plazo de 30 días se cumple sin que nadie se haya dado cuenta.
Un proceso mínimo viable necesita:
- Un canal único donde el titular pueda presentar su solicitud (no dispersar por WhatsApp, redes sociales o el correo de un vendedor).
- Verificación de identidad automática antes de aceptar la solicitud.
- Alertas de plazo — a partir del día 20 debería sonar una alarma interna.
- Registro completo: qué se pidió, qué se entregó, qué se retuvo y por qué, con fecha y responsable.
Preguntas frecuentes
¿Los derechos ARSOP aplican también a empleados? Sí. Un trabajador o ex trabajador puede ejercer sus derechos ARSOP igual que cualquier cliente. El plazo y la exigencia son los mismos.
¿Se puede cobrar por responder una solicitud ARSOP? Rectificación, supresión y oposición son siempre gratuitas (Art. 10). El acceso también es gratuito, al menos una vez por trimestre; recién si el titular ejerce acceso o portabilidad más de una vez en el mismo trimestre, la empresa puede cobrar los costos directos de esa solicitud adicional.
¿Qué pasa si el titular no puede verificar su identidad? La empresa puede rechazar la solicitud fundadamente, pero debe explicar por qué y qué alternativa de verificación existe.
¿La portabilidad obliga a compartir datos con la competencia directamente? Puede hacerlo: el Art. 9 reconoce el derecho del titular a que sus datos se transmitan directamente de responsable a responsable cuando sea técnicamente posible, sin que él tenga que descargarlos y reenviarlos. Si esa transmisión directa no es viable, la alternativa es entregarle los datos a él en formato estructurado para que decida a dónde los traslada.
Un portal, no una planilla
Gestionar derechos ARSOP con correos y hojas de cálculo funciona hasta que llega la primera fiscalización o la primera solicitud que se pasa de plazo. Portal ARCOP de Askesis automatiza la verificación de identidad, el conteo de plazo legal y el registro auditable de cada solicitud — para que responder a tiempo no dependa de que nadie se acuerde.
¿Quieres saber qué tan expuesta está tu empresa hoy? Empieza con el análisis de brecha gratuito de Askesis.
Temas relacionados:
¿Quieres saber qué tan preparada está tu empresa?
Realiza el análisis de brecha Ley 21.719 gratuito de Askesis y obtén un diagnóstico en menos de 10 minutos.
Hacer el análisis gratis