Qué datos personales no debería pedir una pyme: pide menos y reduce riesgos

TL;DR: qué datos personales no debería pedir una pyme: la respuesta práctica es aplicar minimización y evitar datos innecesarios en formularios. La Ley 21.719 exige tratamiento transparente, proporcional y seguro de datos personales, con vigencia plena desde el 1 de diciembre de 2026.

Qué datos personales no debería pedir una pyme depende del proceso, pero la regla general es clara: si no puedes explicar para qué necesitas un dato, no deberías pedirlo. La qué datos personales no debería pedir una pyme importa porque la Ley 21.719 moderniza el marco chileno de protección de datos personales, crea la Agencia de Protección de Datos Personales y eleva el estándar de cumplimiento para organizaciones públicas y privadas. Fuente oficial: Ley 21.719 en la Biblioteca del Congreso Nacional.

Qué datos personales no debería pedir una pyme en formularios y procesos

La qué datos personales no debería pedir una pyme debe aterrizar en procesos concretos, no solo en documentos. Una PYME debería poder responder qué datos personales trata, de dónde vienen, para qué se usan, quién puede verlos, con qué proveedores se comparten, cuánto tiempo se conservan y cómo se eliminan cuando dejan de ser necesarios.

La Ley 21.719 incorpora principios como licitud, finalidad, proporcionalidad, calidad, responsabilidad, seguridad, transparencia y confidencialidad. En términos prácticos, la finalidad exige que el uso del dato tenga un propósito específico; la proporcionalidad exige no pedir datos de más; la seguridad exige proteger contra pérdida, filtración o acceso no autorizado; y la transparencia exige informar de forma clara a las personas. Fuente oficial: Ley 21.719, BCN.

El artículo 14 ter exige que el responsable mantenga disponible información relevante sobre política de tratamiento, categorías de datos, finalidades, base de legitimidad, destinatarios, medidas de seguridad, derechos de titulares, transferencias internacionales, periodo de conservación y fuente de los datos. Para una empresa chica, esta obligación se traduce en una política clara y procesos internos que realmente coincidan con lo publicado.

La Secretaría de Gobierno Digital recomienda levantar categorías de datos, finalidades, base de legitimidad, fuente, destinatarios, plazos de conservación, sistemas asociados, áreas con acceso, transferencias internacionales y riesgos. Aunque su guía está orientada a la Administración del Estado, sirve como metodología práctica para PYMEs que necesitan empezar ordenadamente. Fuente oficial: Guía práctica de implementación.

Datos que conviene evitar si no son estrictamente necesarios

Área o criterio	Pregunta o ejemplo	Acción recomendada
RUT	Solo quieres responder una consulta	Nombre y correo.
Fecha de nacimiento	No verificas edad ni identidad	Rango etario opcional si es estadístico.
Dirección completa	No hay despacho ni visita	Comuna o región, si basta.
Estado civil	No tiene relación con el servicio	No solicitar.
Datos de salud	No es proceso médico o laboral justificado	No solicitar.

Para avanzar sin trabarse, conviene partir por una lista corta de acciones verificables:

• Revisa si el dato es indispensable para responder o prestar el servicio.
• Confirma que la finalidad esté informada antes de recolectar.
• Evalúa si el campo puede ser opcional.
• Busca una alternativa menos invasiva.
• Define quién tendrá acceso al dato.
• Define por cuánto tiempo se conservará.
• Revisa si se compartirá con un proveedor.
• Identifica si el dato es sensible.

La seguridad no reemplaza la privacidad. Una base puede estar protegida con contraseñas y aun así ser problemática si contiene datos innecesarios, si se usa para una finalidad no informada o si se conserva indefinidamente. Al mismo tiempo, una política de privacidad no sirve si los accesos están abiertos, si no hay respaldos o si los proveedores tratan datos sin instrucciones.

El artículo 14 quinquies exige medidas de seguridad adecuadas para resguardar confidencialidad, integridad, disponibilidad y resiliencia de los sistemas de tratamiento. El artículo 14 sexies contempla deberes de reporte ante vulneraciones de seguridad cuando exista riesgo razonable para derechos y libertades de los titulares. Estas reglas hacen que la prevención y la respuesta ante incidentes sean parte central del cumplimiento.

También hay que revisar proveedores. Si un CRM, contador, software de facturación, plataforma de marketing, hosting, mesa de ayuda o proveedor TI trata datos por cuenta de la empresa, el encargo debe estar documentado. El artículo 15 bis exige contratos o actos jurídicos con objeto, duración, finalidad, tipo de datos, categorías de titulares y obligaciones de las partes.

Las multas de la Ley 21.719 se expresan en UTM. Con la UTM de junio de 2026 informada por el SII en $71.506, los máximos referenciales son los siguientes; el valor en pesos debe recalcularse con la UTM vigente al momento aplicable. Fuente oficial: SII, UTM 2026.

Tipo de infracción	Tope en UTM	Referencia CLP junio 2026
Leve	5.000 UTM	$357.530.000
Grave	10.000 UTM	$715.060.000
Gravísima	20.000 UTM	$1.430.120.000

Una PYME no necesita resolver todo en una semana. Sí necesita partir con lo básico: inventario, minimización, permisos, política, proveedores, seguridad y protocolo de respuesta. Ese orden permite priorizar los procesos con más riesgo, especialmente si hay datos sensibles, datos de trabajadores, bases de clientes, datos bancarios o información de niños, niñas y adolescentes.

Enlaces internos sugeridos:

• Privacidad de informacion: recolecta menos y protege más
• Datos personales de una persona: ejemplos simples para empresas
• Proteccion de datos que es: definición clara y ejemplos para empresas

Preguntas frecuentes

¿Qué datos personales no debería pedir una pyme?
No debería pedir datos que no sean necesarios para la finalidad del proceso, como RUT, fecha de nacimiento, dirección completa, estado civil, datos familiares o salud cuando solo se requiere contacto básico.

¿El RUT siempre es necesario?
No. Puede ser necesario para facturación, contratos o verificación formal, pero no para una consulta web o newsletter.

¿Puedo pedir fecha de nacimiento en un formulario?
Solo deberías pedirla si existe una razón clara, como verificar edad para un servicio específico.

¿Qué pasa si ya tengo formularios con datos excesivos?
Debes revisarlos, eliminar campos innecesarios, ajustar la política de tratamiento y evaluar qué hacer con los datos ya recolectados.

¿Pedir menos datos afecta las ventas?
Normalmente ayuda. Formularios más simples reducen fricción y mejoran confianza.

Conclusión

La qué datos personales no debería pedir una pyme debe convertirse en una rutina de gestión, no en un documento aislado. Si tu empresa ordena datos, finalidades, accesos, proveedores y plazos antes del 1 de diciembre de 2026, reducirá riesgos legales, operativos y reputacionales.