Cuando una empresa arma su Matriz IPER, su IRL, su registro de EPP y sus investigaciones de accidentes, está haciendo dos cosas al mismo tiempo sin necesariamente darse cuenta de la segunda: cumpliendo el DS 44, y generando una de las bases de datos de trabajadores más sensibles que existe en la organización. Nombre, RUT, firma, cargo, historial de exposición a riesgos y — en cualquier investigación de accidente — información de salud.
La Ley 21.719 —cuya fecha de vigencia plena que rige hoy es el 1 de diciembre de 2026, con un proyecto de postergación en trámite— clasifica los datos de salud como datos sensibles, con un estándar de protección más alto que el de un dato personal común. Un sistema DS 44 no es un anexo menor de esa obligación: es, probablemente, uno de los repositorios de datos sensibles más activos que tiene una empresa con operación física.
Por qué esto no es un problema nuevo, es el mismo dato dos veces regulado
No hace falta un sistema nuevo para cumplir la Ley 21.719 sobre estos datos — hace falta que el sistema que ya existe (o que se está por implementar) para el DS 44 sea tratado también como lo que es: una actividad de tratamiento de datos personales que debe quedar declarada en el Registro de Actividades de Tratamiento (RAT), con su finalidad, su base de licitud, sus plazos de conservación y quién tiene acceso.
La buena noticia es que la base de licitud para este tratamiento específico ya está resuelta: es cumplimiento de una obligación legal (el propio DS 44 y la Ley 16.744), no consentimiento. Eso saca de la ecuación la parte más compleja de la Ley 21.719 para otros tratamientos — pedir y poder acreditar consentimiento — pero no exime del resto: seguridad, minimización, plazos de conservación y derechos de los titulares siguen aplicando igual.
Los tres cruces que casi ninguna empresa ha revisado
1. Registro de la actividad en el RAT. Si el levantamiento de actividades de tratamiento para la Ley 21.719 no incluyó explícitamente "gestión DS 44" o "investigación de accidentes" como una actividad propia, con su propio análisis, el registro está incompleto — y un registro incompleto no distingue estar preparado de parecerlo.
2. Seguridad proporcional al dato de salud. El expediente de una investigación de accidentes con diagnóstico médico no debería vivir en la misma carpeta compartida que el resto de la documentación operativa, con el mismo nivel de acceso para cualquier persona del área de prevención. La Ley 21.719 exige medidas de seguridad acordes a la sensibilidad del dato, no un estándar único para toda la información de la empresa.
3. Plazos de conservación y derechos del trabajador. Un trabajador que dejó la empresa hace cinco años y cuya IPER, IRL y ficha de EPP siguen en el sistema sin ningún criterio de conservación definido es exactamente el tipo de hallazgo que un cuestionario de cliente corporativo o una fiscalización va a levantar. Además, ese trabajador conserva derechos de acceso y rectificación sobre sus propios datos, incluso si la empresa no está obligada a eliminarlos por tratarse de registros legales.
Un mismo proyecto, no dos iniciativas paralelas
Tratar el sistema DS 44 y el cumplimiento de la Ley 21.719 como dos proyectos separados suele terminar en que cada equipo revisa su propia mitad y nadie revisa el cruce entre ambos. La forma más eficiente de resolverlo es la inversa: cuando se construye o se ordena el sistema DS 44, declarar esa actividad directamente en el RAT como parte del mismo trabajo, con la clasificación de dato sensible que corresponde y las medidas de seguridad ya incorporadas desde el diseño — no agregadas después como un parche.
Las dos obligaciones, además, comparten algo más que el dato: comparten el calendario. El DS 44 ya está vigente y se fiscaliza hoy; la Ley 21.719 tiene como fecha de vigencia plena, a hoy, el 1 de diciembre de 2026 (ver el aviso regulatorio). Una empresa que está ordenando su sistema de gestión de riesgos tiene, en ese mismo proceso, la oportunidad de resolver de una vez el cruce con protección de datos — en vez de descubrirlo más adelante como un hallazgo separado.
Si su empresa ya tiene o está construyendo su sistema DS 44, el diagnóstico DS 44 de Constata revisa el estado de los ocho instrumentos, y el diagnóstico de la Ley 21.719 revisa el estado de sus actividades de tratamiento — doce preguntas cada uno, resultado inmediato, sin dejar datos de contacto.
