Control de asistencia con huella dactilar y la Ley 21.719: qué revisar antes de diciembre

Si tu empresa marca asistencia con huella dactilar, tienes una tarea pendiente antes del 1 de diciembre de 2026, fecha en que entra en vigencia la Ley 21.719 sobre protección de datos personales. Conviene precisar algo desde el inicio, porque el lenguaje suelto genera confusión: la Ley 21.719 no deroga la Ley 19.628, sino que la modifica casi por completo y le cambia el nombre. Los artículos que verás citados aquí —el 16 ter, el 14 ter, el 15 ter— son artículos de la Ley 19.628 tal como queda reescrita. La huella no es un dato cualquiera: la ley la clasifica como dato sensible y, además, le dedica un artículo propio, el 16 ter, con reglas que no aplican al resto de los datos de tus trabajadores. Eso no significa que tengas que sacar el reloj biométrico, pero sí que el margen de maniobra es estrecho y conviene medirlo con el texto en la mano.

¿Puedo seguir usando huella dactilar para el control de asistencia?

Sí, pero por una sola puerta. La Ley 21.719 no prohíbe el control de asistencia con huella dactilar. Lo que hace el artículo 16 ter es cerrar las vías de entrada generales y dejar una: el consentimiento expreso del artículo 16 inciso primero, acompañado de cuatro informaciones específicas que debes entregarle al trabajador. Fuera de eso, la ley sólo admite tratar biometría sin consentimiento en la lista acotada del inciso segundo del artículo 16 bis —ligada en lo esencial al ámbito sanitario y de investigación, más la defensa de un derecho ante tribunales y la autorización legal expresa—, y ninguna de esas hipótesis cubre el registro de la jornada. A eso se suma el artículo 14 quinquies, explícito en algo incómodo: ante un incidente y una controversia, la carga de acreditar que las medidas de seguridad existían y funcionaban es tuya, no de quien reclama.

¿Por qué la huella dactilar es un dato sensible en Chile?

Porque el artículo 2 letra g) enumera los datos biométricos de forma expresa. Los datos sensibles son una categoría reforzada: no se tratan con las reglas generales, sino con un régimen más estricto. Y la lista chilena tiene sorpresas para Recursos Humanos, porque incluye la situación socioeconómica, algo que el reglamento europeo no considera sensible.

g) Datos personales sensibles: tendrán esta condición aquellos datos personales que se refieren a las características físicas o morales de las personas o a hechos o circunstancias de su vida privada o intimidad, que revelen el origen étnico o racial, la afiliación política, sindical o gremial, la situación socioeconómica, las convicciones ideológicas o filosóficas, las creencias religiosas, los datos relativos a la salud, al perfil biológico humano, los datos biométricos, y la información relativa a la vida sexual, a la orientación sexual y a la identidad de género de una persona natural.

Ley 21.719, artículo 2 letra g), que reescribe la Ley 19.628 (BCN)

• Datos biométricos: la huella dactilar y, en general, los rasgos físicos, fisiológicos o conductuales usados para identificar de forma única a una persona.
• Datos relativos a la salud y al perfil biológico humano: licencias médicas, exámenes preocupacionales, gestiones con la mutual.
• Situación socioeconómica: liquidaciones de sueldo, anticipos, descuentos, nivel de renta.
• Afiliación política, sindical o gremial: la nómina de socios del sindicato es dato sensible.
• Origen étnico o racial, convicciones ideológicas o filosóficas y creencias religiosas.
• Vida sexual, orientación sexual e identidad de género.

Qué exige exactamente el artículo 16 ter

Este es el artículo que decide el caso, y conviene leerlo con calma porque se ordena en tres incisos. El primero define qué es un dato biométrico. El segundo fija la regla: sólo se puede tratar cumpliendo el inciso primero del artículo 16 —el consentimiento expreso— y siempre que entregues al titular cuatro informaciones específicas. El tercero remite las excepciones al inciso segundo del artículo 16 bis, no a las del artículo 16. Esa última remisión es fácil de pasar por alto y es, en los hechos, la que decide todo el análisis.

Sólo podrán tratarse estos datos cuando se cumpliere con lo dispuesto en el inciso primero del artículo 16 y siempre que el responsable proporcione al titular la siguiente información específica: a) La identificación del sistema biométrico usado; b) La finalidad específica para la cual los datos recolectados por el sistema biométrico serán utilizados; c) El período durante el cual los datos biométricos serán utilizados, y d) La forma en que el titular puede ejercer sus derechos. Los datos personales biométricos podrán tratarse sin consentimiento sólo en los casos señalados en el inciso segundo del artículo 16 bis.

Ley 21.719, artículo 16 ter, que incorpora este artículo a la Ley 19.628 (BCN)

Traducido a la práctica, tu carpeta de cumplimiento del reloj biométrico tiene cuatro documentos obligatorios además del consentimiento. Son concretos y se pueden preparar hoy mismo, sin esperar a que la Agencia se constituya.

1. Identificación del sistema biométrico usado: marca, modelo, proveedor y qué tecnología aplica (por ejemplo, si guarda una plantilla matemática de la huella y no la imagen).
2. Finalidad específica de los datos que recolecta ese sistema: registro de asistencia y jornada, no "fines de gestión de personal" en general.
3. Período durante el cual los datos biométricos serán utilizados: un plazo concreto, no "mientras dure la relación laboral y lo que sea necesario después".
4. Forma en que el trabajador puede ejercer sus derechos: acceso, rectificación, supresión, oposición, bloqueo, portabilidad y oposición a decisiones individuales automatizadas y perfilamiento del artículo 8 bis, con el canal exacto y el plazo de respuesta, que el artículo 11 fija en 30 días corridos prorrogables por una sola vez hasta por otros 30.

El consentimiento es obligatorio, y también es exigente

El artículo 16 fija el consentimiento expreso, otorgado por declaración escrita, verbal o medio tecnológico equivalente. Y el artículo 12 le pone condiciones duras: debe ser libre, informado y específico en cuanto a su finalidad, manifestado de forma previa e inequívoca, y revocable en cualquier momento, sin expresión de causa. Los medios para otorgarlo y revocarlo deben ser expeditos, fidedignos, gratuitos y estar permanentemente disponibles. La carga de probar que ese consentimiento existió es del responsable, o sea de tu empresa.

Traducido a la operación diaria: si un trabajador revoca su consentimiento un lunes, ese mismo lunes necesitas otra forma de registrar su asistencia. La revocación, eso sí, no tiene efecto retroactivo sobre lo ya tratado. Además, la ley presume que el consentimiento no fue libremente otorgado cuando se recaba en el marco de un contrato o servicio en que no es necesario efectuar esa recolección. Esa presunción admite una sola salida —cuando quien ofrece el bien o servicio exige el consentimiento como única contraprestación—, que no es el caso del control de asistencia. Si tu control de asistencia puede funcionar sin huella, la presunción es un riesgo concreto que hay que anticipar por escrito. Conviene revisarlo dentro de un plan ordenado como el que describimos en la guía para implementar la Ley 21.719 paso a paso.

¿No sirve la excepción laboral del artículo 16?

Es una confusión que vale la pena desarmar con el texto en la mano. El artículo 16 inciso segundo letra e) sí contempla una excepción al consentimiento cuando el tratamiento es necesario para el ejercicio de derechos y el cumplimiento de obligaciones en el ámbito laboral o de seguridad social. Pero el artículo 16 ter no se remite a ese inciso: se remite al inciso primero del artículo 16 para la regla general, y al inciso segundo del artículo 16 bis para las excepciones. Ese inciso segundo del 16 bis contiene una lista acotada, ligada en lo esencial al ámbito sanitario y de investigación —salvaguarda de la vida, salud o integridad, alerta sanitaria decretada, fines históricos, estadísticos o científicos, y medicina preventiva o laboral con evaluación de la capacidad laboral—, a la que se suman dos hipótesis que no son sanitarias: la formulación, ejercicio o defensa de un derecho ante tribunales u órgano administrativo, y la autorización legal expresa. Ninguna de esas hipótesis describe marcar la entrada a las 8:30.

O sea: la letra e) del artículo 16 te sirve para otros datos sensibles del trabajador, pero no para su huella. Para biometría, el camino es el consentimiento expreso más los cuatro deberes de información.

Leer bien esta cadena de remisiones es trabajo jurídico: exige interpretar tres artículos que se llaman entre sí, ponderar hipótesis de interpretación estricta y aplicarlas a la realidad concreta de tu empresa. Dejar el resultado escrito, versionado, publicado y con evidencia archivada es trabajo operativo. Son dos oficios distintos y los dos son necesarios; ninguno reemplaza al otro. Si tu caso tiene aristas —trabajadores en faena, turnos rotativos, subcontratación, un proveedor de reloj que aloja las plantillas fuera de Chile— vale la pena leer cuándo necesitas un abogado para la Ley 21.719 y llegar a esa conversación con el mapa ya levantado.

¿Hay que hacer una evaluación de impacto?

Depende, y conviene distinguir con cuidado. El artículo 15 ter exige una evaluación de impacto previa al inicio del tratamiento cuando sea probable un alto riesgo para los derechos de los titulares, y la vuelve obligatoria siempre en cuatro casos.

1. Evaluación sistemática y exhaustiva de aspectos personales basada en tratamiento o decisiones automatizadas, como la elaboración de perfiles, que produzca efectos jurídicos significativos.
2. Tratamiento masivo de datos o a gran escala.
3. Tratamiento que implique observación o monitoreo sistemático de una zona de acceso público.
4. Tratamiento de datos sensibles y especialmente protegidos, en las hipótesis de excepción del consentimiento.

De esos cuatro casos, el que puede alcanzar a un reloj biométrico es el segundo: si registras la huella de toda la dotación y tu dotación es grande, el tratamiento masivo o a gran escala se discute en serio. El cuarto caso, en cambio, no se activa en el escenario típico, porque exige estar tratando datos sensibles bajo una excepción al consentimiento y para biometría esas excepciones son las del artículo 16 bis inciso segundo. Si tu reloj funciona con consentimiento expreso, esa letra no te aplica. Lo que sí te aplica siempre es la regla general del inciso primero del artículo 15 ter: la biometría es un dato que no se puede cambiar cuando se filtra, y esa característica pesa mucho en cualquier análisis de alto riesgo probable. La ley encarga a la Agencia publicar una lista orientativa y las orientaciones mínimas para hacer la evaluación; al 10 de agosto de 2026 la Agencia aún no ha sido constituida y no consta que esa lista se haya publicado. Eso no te exime: la obligación nace de la ley, no de la lista.

¿Qué alternativas existen al reloj biométrico?

Cambiar de medio no te saca de la Ley 21.719, porque cualquier registro de asistencia trata datos personales. Pero sí baja el estándar exigible, porque dejas de manejar una categoría sensible y salir del artículo 16 ter te devuelve las bases de licitud del artículo 13, incluida la ejecución del contrato.

¿Qué otros datos de trabajadores quedan alcanzados?

La huella es la punta del iceberg. Una carpeta de personal puede contener varias categorías sensibles al mismo tiempo, así que vale la pena revisar dónde vive esa carpeta y quién tiene acceso a ella. Hay un matiz útil en el artículo 14 septies: los estándares mínimos de los deberes de información y seguridad se gradúan según el tipo de dato, si el responsable es persona natural o jurídica, el tamaño de la entidad conforme al artículo 2 de la Ley 20.416, la actividad y el volumen, naturaleza y finalidad de los datos. Esos estándares diferenciados los fija la Agencia por instrucción general y todavía no están escritos, así que hoy la referencia disponible es el texto de la ley.

Un matiz honesto sobre las remuneraciones, porque el punto es discutible y conviene decirlo. La situación socioeconómica es dato sensible por el artículo 2 letra g), pero el artículo 13 letra a) abre una base de licitud sin consentimiento para los datos referidos a obligaciones de carácter económico, financiero, bancario o comercial tratados conforme al Título III, incluidos los referidos a la situación socioeconómica del titular. Esa vía está pensada para la información comercial y crediticia que regula el Título III, no para la carpeta de remuneraciones que tu empresa administra como empleadora, que se apoya más naturalmente en el cumplimiento de obligaciones legales del artículo 13 letra b). La distinción no está zanjada en el texto, así que si tu modelo de negocio implica compartir información de renta con terceros, conviene resolverla con un especialista antes de definir la base.

¿Qué pasa con las cámaras de seguridad en el lugar de trabajo?

Hay dos puntos que conviene tener presentes. El primero es que el artículo 15 ter exige evaluación de impacto siempre que haya observación o monitoreo sistemático de una zona de acceso público. Si tus cámaras enfocan la vereda o la vía pública, el supuesto se activa con claridad; en accesos de edificios privados y salas de atención abiertas al público la calificación es discutible y conviene evaluarla caso a caso, sobre todo mientras la Agencia no publique su lista orientativa. El segundo es el artículo 14 ter, que obliga a mantener permanentemente disponible al público —en tu sitio web o medio equivalente— la finalidad, la base de legitimidad y el período de conservación de esas grabaciones, entre los doce ítems que exige ese artículo. Y si el sistema hace reconocimiento facial para identificar personas, ya no estás grabando imágenes: estás tratando datos biométricos, con el artículo 16 ter completo encima, incluidos los cuatro deberes de información.

¿Qué pasa si se filtra la base de huellas?

El artículo 14 sexies obliga a reportar la vulneración a la Agencia por los medios más expeditos posibles y sin dilaciones indebidas, cuando exista un riesgo razonable para los derechos y libertades de los titulares. Conviene descartar de entrada una cifra importada: la ley chilena no fija un plazo de 72 horas. Ese número viene del reglamento europeo y no aparece en el texto de la Ley 21.719. Además debes llevar un registro interno de la vulneración —naturaleza, efectos, categorías de datos, número aproximado de afectados y medidas adoptadas— y, como la huella es dato sensible, comunicar el hecho a cada trabajador afectado en lenguaje claro y sencillo, singularizando los datos comprometidos, las consecuencias posibles y las medidas adoptadas. Si notificar uno a uno no fuera posible, la propia ley manda publicar un aviso en un medio de comunicación social masivo de alcance nacional. Y si el reloj lo administra un proveedor, el artículo 15 bis lo obliga a reportarte la vulneración a ti.

En cuanto a sanciones, la ley clasifica las infracciones en leves, graves y gravísimas, con topes de 5.000, 10.000 y 20.000 UTM respectivamente. Con la UTM de agosto de 2026, de $71.649, el tope de las gravísimas equivale a unos $1.433 millones, cifra referencial: la UTM se reajusta todos los meses y lo que importa es el valor vigente al momento de la sanción. Hay dos reglas más que conviene tener a la vista: ante multas por infracciones gravísimas reiteradas dentro de 24 meses, el artículo 38 permite a la Agencia suspender las operaciones de tratamiento hasta por 30 días, prorrogables; y el artículo 40 fija en 4 años la prescripción de las acciones para perseguir la responsabilidad. Antes de asustarte con el tope, revisa cómo funcionan realmente las multas de la Ley 21.719: los topes son máximos, y el porcentaje sobre ingresos anuales sólo alcanza a empresas que no son de menor tamaño y que reinciden en infracciones graves o gravísimas.

Hay además una ventana relevante para PyMEs. El artículo sexto transitorio permite que, durante los primeros doce meses de vigencia, la Agencia aplique una amonestación por escrito a las empresas calificadas como de menor tamaño en vez de una multa. Dos matices honestos: es una facultad de la Agencia, no un derecho tuyo, y esa amonestación igual se inscribe en el Registro Nacional de Sanciones y Cumplimiento, que es público y gratuito, con anotaciones accesibles durante 5 años.

Qué revisar en Recursos Humanos antes del 1 de diciembre de 2026

Esta es la parte operativa, y se puede avanzar bastante sin esperar a que la Agencia se constituya. Los pasos van ordenados por dependencia: cada uno produce la evidencia que necesita el siguiente, así que conviene recorrerlos en ese orden y no saltarse el primero.

1. Ubica dónde vive la huellaNo basta con el reloj. Anota si la plantilla se guarda en el equipo, en un servidor propio, en la nube del proveedor y en qué respaldos. No puedes proteger lo que no sabes dónde está.
2. Levanta el consentimiento expreso de cada trabajadorEl artículo 16 ter remite al inciso primero del artículo 16, así que el consentimiento expreso no es una opción entre varias: es la vía. Debe ser previo, específico en cuanto a la finalidad y constar por escrito, verbalmente o por medio tecnológico equivalente, con evidencia archivada, porque la carga de probarlo es tuya.
3. Redacta las cuatro informaciones del artículo 16 terIdentificación del sistema biométrico usado, finalidad específica de los datos que recolecta, período durante el cual se utilizarán y forma concreta en que el trabajador ejerce sus derechos, incluida la oposición a decisiones individuales automatizadas y perfilamiento del artículo 8 bis. Es la obligación más accionable del artículo: se redacta hoy, con la información que ya tienes del proveedor.
4. Diseña el plan B para las revocacionesEl consentimiento se revoca en cualquier momento, sin expresar causa, por un medio gratuito y siempre disponible. Necesitas un método alternativo de registro operativo el mismo día en que alguien revoque, y un procedimiento para suprimir su plantilla biométrica.
5. Evalúa si corresponde una evaluación de impactoRevisa la regla general de alto riesgo probable del artículo 15 ter y, sobre todo, la letra b) sobre tratamiento masivo o a gran escala. Si corresponde, hazla antes de seguir tratando, no después.
6. Revisa el contrato con el proveedor del relojEl artículo 15 bis exige que el contrato con el encargado fije objeto, duración, finalidad, tipo de datos, categorías de titulares y derechos y obligaciones de las partes. El proveedor no puede subcontratar sin autorización específica y por escrito, y si delega sigue siendo solidariamente responsable.
7. Define un plazo de conservación y borra lo que sobraEl período de conservación es uno de los ítems que el artículo 14 ter obliga a publicar, y el período de uso de los datos biométricos es uno de los cuatro del artículo 16 ter. Guardar marcas de asistencia de hace ocho años sin motivo es riesgo puro.
8. Documenta las medidas de seguridadEl artículo 14 quinquies menciona expresamente seudonimización y cifrado, la capacidad de restaurar el acceso ante un incidente y la verificación regular de la eficacia. Escribe qué haces y guarda evidencia: la carga de acreditarlo es tuya.
9. Publica la información del artículo 14 terPolítica de tratamiento con fecha y versión, canal de contacto, categorías de datos, base de legitimidad, plazos de conservación y los derechos del titular. Una política genérica copiada de internet no cumple este artículo.

Si prefieres partir de un diagnóstico en vez de una hoja en blanco, la auditoría de protección de datos en línea de Check21 cuesta $49.990 CLP de pago único y entrega un informe de brechas, un plan de acción priorizado, las matrices de tratamiento y un kit documental. Es una herramienta de ordenamiento documental: sirve para llegar con el inventario, las brechas y la evidencia ya levantados a la revisión jurídica de tu caso.

La lectura práctica es simple. Que la Agencia no esté constituida no suspende ni aplaza las obligaciones que nacen el 1 de diciembre de 2026, y que se discuta una postergación no es lo mismo que una postergación publicada en el Diario Oficial. Si tu empresa marca asistencia con huella, el trabajo de estos meses es de archivo: levantar el consentimiento expreso, redactar las cuatro informaciones del artículo 16 ter, revisar el contrato con el proveedor y dejar evidencia de las medidas de seguridad. Y hay una decisión de fondo que conviene tomar con asesoría: si el reloj biométrico sigue siendo el medio adecuado, o si un medio no sensible resuelve lo mismo con menos exigencias. Esa evaluación es un análisis jurídico y de negocio; lo que puedes hacer hoy es llegar a ella con el inventario, las brechas y los documentos ya sobre la mesa.