Derechos ARSOP: qué son y cómo debe gestionarlos tu empresa bajo la Ley 21.719

La Ley 21.719 reconoce a las personas el derecho a conocer qué datos personales tratan las organizaciones sobre ellas, a corregirlos, a eliminarlos, a oponerse a ciertos usos y a transferirlos. Estos cinco derechos se agrupan bajo el acrónimo ARSOP: Acceso, Rectificación, Supresión, Oposición y Portabilidad.

Para las organizaciones, ARSOP no es solo un concepto regulatorio. Es un conjunto de obligaciones operativas con plazos, canales y evidencia específicos. El incumplimiento en la gestión de estas solicitudes no es solo un error de procedimiento: es una infracción autónoma sancionable por la Agencia de Protección de Datos, independientemente de si la respuesta de fondo era correcta.

Este artículo explica qué implica cada derecho, qué plazos rigen, cómo estructurar el proceso de respuesta y qué evidencia debe generarse en cada etapa.

Los cinco derechos ARSOP

Derecho	Qué permite al titular	Referencia legal
Acceso (A)	Conocer qué datos personales trata la organización sobre él, con qué finalidad, a quién se comunican y durante cuánto tiempo se conservan.	Art. 5 Ley 21.719
Rectificación (R)	Solicitar la corrección de datos inexactos, incompletos o desactualizados. La organización debe coordinar la actualización en todos los sistemas donde el dato exista.	Art. 6 Ley 21.719
Supresión (S)	Solicitar la eliminación de sus datos cuando no existe base legal vigente para el tratamiento o cuando revoca el consentimiento que lo sustentaba. Incluye notificación a terceros receptores.	Art. 7 Ley 21.719
Oposición (O)	Oponerse al tratamiento de sus datos cuando se basa en interés legítimo, marketing directo o perfilamiento. Incluye el derecho a no ser objeto de decisiones automatizadas con efectos significativos.	Arts. 8, 8 bis Ley 21.719
Portabilidad (P)	Recibir sus datos en formato estructurado, de uso común y lectura mecánica, y transferirlos a otro responsable del tratamiento.	Art. 9 Ley 21.719

El plazo de 30 días: la regla más importante de ARSOP

Toda solicitud ARSOP debe responderse dentro de los 30 días corridos desde su recepción. Este plazo no se suspende: corre desde el día en que la solicitud llega a la organización, con independencia de si la verificación de identidad del solicitante está completa o en curso.

Concepto	Plazo	Consecuencia del incumplimiento
Respuesta a solicitud ARSOP	30 días corridos desde la recepción	Infracción autónoma sancionable con multa de hasta 5.000 UTM
Prórroga del plazo	30 días adicionales	Solo válida si se comunica al titular ANTES de que venza el primer plazo
Respuesta a solicitud fundada de bloqueo	2 días hábiles desde su recepción	Mientras no se resuelva, no pueden tratarse los datos comprendidos en el requerimiento; el almacenamiento no se ve afectado
Reclamación ante la Agencia	30 días desde vencimiento o rechazo	Disponible para el titular cuando el responsable no responde o rechaza sin fundamento

El bloqueo temporal: una obligación que pocas empresas conocen

Al ejercer rectificación, supresión u oposición, el titular puede solicitar fundadamente el bloqueo temporal. El responsable debe responder esta solicitud dentro de los dos días hábiles siguientes a su recepción. Mientras no la resuelva, no puede tratar los datos comprendidos en el requerimiento, sin que ello afecte su almacenamiento. Si rechaza el bloqueo, debe fundar su respuesta y comunicar electrónicamente su decisión a la Agencia.

Arquitectura operativa para gestionar solicitudes ARSOP

Una gestión ARSOP efectiva requiere cuatro componentes que funcionen de forma coordinada:

Componente	Qué debe incluir
1. Canal de recepción de solicitudes	Un mecanismo accesible para que los titulares envíen sus solicitudes: formulario web, email dedicado o ventanilla presencial. La Ley 21.719 exige que exista. Su ausencia es una infracción autónoma. El canal debe permitir identificar al solicitante y el tipo de derecho ejercido.
2. Verificación de identidad	Un proceso para confirmar que quien solicita es efectivamente el titular o su representante legal. Debe estar documentado: qué medios se usaron, qué resultado se obtuvo y cuándo se completó la verificación.
3. Motor de plazos y alertas	Un sistema de control del plazo de 30 días que active alertas preventivas (D-7, D-3, D-1) para evitar vencimientos. Sin este control, el riesgo de infracción autónoma por plazo es alto en organizaciones con volumen de solicitudes.
4. Registro auditable	Un historial completo de cada solicitud: quién la recibió, cuándo, qué tipo de derecho, cómo se verificó la identidad, qué resolución se tomó y cuándo se comunicó. Este registro es la evidencia que la organización necesita ante la Agencia.

La ley exige que los mecanismos sean tecnológicos y sencillos

La Ley 21.719 no deja este punto a la discreción de cada organización: los responsables de datos están obligados a implementar mecanismos y herramientas tecnológicas que permitan al titular ejercer sus derechos en forma expedita, ágil y eficaz, y que esos medios sean sencillos en su operación.

Eso descarta implícitamente ciertos modelos de atención. Un formulario en papel, un email genérico de contacto sin proceso detrás o una solicitud que depende de que el titular llame a un número de teléfono no cumplen con el estándar de “expedito” ni de “sencillo”. La ley imagina un canal estructurado, accesible y con capacidad real de respuesta dentro del plazo de 30 días corridos.

La ley exige mecanismos tecnológicos sencillos que permitan ejercer los derechos en forma expedita, ágil y eficaz. La gestión interna debe asegurar respuestas oportunas y respaldos adecuados. A medida que aumenta el volumen o la complejidad de las solicitudes, la gestión manual puede dificultar el control de plazos, la coordinación y la trazabilidad; la automatización ayuda a reducir esos riesgos.

Qué hacer cuando una solicitud no puede resolverse favorablemente

No todas las solicitudes ARSOP deben resolverse de forma favorable al titular. Hay casos en que la organización puede rechazar una solicitud con fundamento:

• Supresión: cuando exista una base de licitud vigente que justifica la conservación de los datos (obligación legal, interés legítimo prevalente, contrato vigente)
• Supresión: cuando la eliminación afecte derechos legítimos de terceros
• Oposición: cuando el responsable acredite motivos legítimos imperiosos que prevalezcan sobre los intereses del titular
• Acceso: cuando la información solicitada incluya datos de terceros que no pueden divulgarse sin afectar sus derechos

En todos estos casos, el rechazo debe cumplir tres condiciones:

• Ser comunicado al titular dentro del plazo de 30 días corridos
• Indicar la causal específica que justifica el rechazo, con fundamento suficiente
• Quedar documentado en el registro auditable de la organización

La relación entre ARSOP y el RAT

El Registro de Actividades de Tratamiento es el instrumento que hace posible responder solicitudes ARSOP de forma eficiente. Sin un RAT actualizado, la organización no puede saber dónde están los datos del titular que solicita acceso, en qué sistemas debe ejecutar una supresión o qué tratamientos debe suspender ante una oposición.

La integración entre el módulo ARSOP y el RAT opera en dos direcciones:

• El RAT localiza los datos: cuando llega una solicitud de acceso o supresión, el RAT identifica en qué actividades de tratamiento y sistemas está involucrado el titular
• ARSOP actualiza el RAT: una supresión ejecutada implica actualizar las actividades de tratamiento afectadas en el RAT, reflejando que esos datos ya no están disponibles

Cuándo un titular puede reclamar ante la Agencia

Si la organización no responde dentro del plazo de 30 días corridos, o si rechaza la solicitud sin fundamento suficiente, el titular puede reclamar ante la Agencia de Protección de Datos Personales dentro de 30 días corridos desde que se produjo el incumplimiento o el rechazo.

La Agencia puede iniciar un procedimiento sancionatorio de oficio a partir de esa reclamación. La organización tendrá que demostrar que gestionó la solicitud correctamente, lo que hace que el registro auditable sea determinante: si no existe documentación del proceso, la posición defensiva es muy débil.

¿Tu empresa tiene un proceso estructurado para gestionar solicitudes ARSOP?

LeyDeDatos automatiza el ciclo de vida completo: portal del titular, control de plazos, plantillas de respuesta y registro auditable. Todo en 30 días corridos.

Solicita una demostración

Preguntas frecuentes (FAQ)

¿Qué significa ARSOP en protección de datos?

ARSOP es el acrónimo de los cinco derechos que la Ley 21.719 reconoce a los titulares de datos personales: Acceso, Rectificación, Supresión, Oposición y Portabilidad. Toda organización que trate datos personales en Chile debe tener un proceso para recibir, gestionar y responder estas solicitudes.

¿Cuál es el plazo para responder una solicitud ARSOP?

30 días corridos desde la recepción de la solicitud. El plazo puede prorrogarse por 30 días adicionales si la complejidad lo justifica, pero la prórroga debe comunicarse al titular antes de que venza el primer plazo. El incumplimiento del plazo es una infracción autónoma sancionable.

¿Qué es una infracción autónoma en el contexto ARSOP?

Es una infracción sancionable por sí misma, con independencia de si la respuesta de fondo era correcta. No responder en plazo, no habilitar un canal de recepción o no comunicar la prórroga a tiempo son infracciones autónomas bajo la Ley 21.719, aunque el titular hubiera obtenido lo que pedía.

¿Puede una empresa rechazar una solicitud ARSOP?

Sí, pero debe hacerlo con fundamento documentado. Un rechazo injustificado o sin documentar la causal es una infracción grave. Los motivos válidos de rechazo incluyen la existencia de una base de licitud que impide la supresión, la imposibilidad de verificar la identidad del solicitante o la afectación de derechos de terceros.

¿Dónde puede reclamar un titular si la empresa no responde su solicitud ARSOP?

Ante la Agencia de Protección de Datos Personales, dentro de 30 días corridos desde que venció el plazo de respuesta o desde que la empresa rechazó la solicitud sin fundamento. La Agencia puede iniciar un procedimiento sancionatorio contra el responsable.