La Ley N° 21.719 convierte los rasgos faciales en un dato personal sensible, mientras municipios e instituciones amplían la videovigilancia con inteligencia artificial y la nueva Agencia de Protección de Datos aún no se constituye. Análisis del marco chileno, la experiencia comparada y las obligaciones que enfrentan instituciones, empresas y personas.

El 1 de diciembre de 2026 comienza a regir el régimen sustantivo de la Ley N° 21.719, y con él una regla que redefine las condiciones de cualquier cámara instalada en un espacio público chileno: los rasgos faciales pasan a ser un dato personal sensible. El cambio ocurre en un momento singular. Municipios de distinto tamaño incorporan analítica de video e inteligencia artificial a sus sistemas de televigilancia, una ley recién publicada (la Ley N° 21.802) menciona por primera vez el reconocimiento facial entre las herramientas que los municipios pueden poner a disposición de la persecución penal, y un proyecto de ley sobre inteligencia artificial, todavía en tramitación, propone prohibir la identificación biométrica remota en tiempo real, aunque con una excepción para la seguridad pública. A esa convergencia se suma una circunstancia que complica el cuadro: la autoridad llamada a fiscalizar el nuevo régimen aún no se encuentra constituida.

Este análisis ofrece un panorama del marco legal aplicable al reconocimiento facial en el espacio público, contrasta la experiencia comparada más reciente y precisa las obligaciones que la nueva legislación impone a instituciones, empresas y personas. La discusión no admite respuestas categóricas. La tecnología no está prohibida ni permitida sin condiciones: la ley fija un conjunto de requisitos de licitud, proporcionalidad y transparencia cuyo incumplimiento genera responsabilidad. Comprender ese equilibrio, y no la sola disponibilidad del dispositivo, es lo que permite decidir de manera informada.

El problema: seguridad, proporcionalidad y autodeterminación informativa

El reconocimiento facial en el espacio público plantea un conflicto entre bienes legítimos. De un lado, la seguridad pública y la persecución penal, cuya eficacia puede verse favorecida por la identificación automatizada de personas buscadas. Del otro, derechos fundamentales como la protección de datos, la vida privada y, de manera menos evidente, las libertades de reunión y de expresión, que tienden a inhibirse cuando las personas se saben permanentemente identificables al transitar por la calle. La socióloga estadounidense Shoshana Zuboff ha observado que, en un espacio sometido a vigilancia permanente, pierde sentido hablar de consentimiento informado o de exclusión voluntaria, pues nadie puede sustraerse por completo al espacio público que transita a diario. La idea tiene una traducción jurídica directa: si no existe una opción real de evitar la captación, el consentimiento deja de ser libre, y el tratamiento del dato sensible debe apoyarse en otra base de licitud y superar un examen estricto de proporcionalidad.

El derecho constitucional chileno reconoce la autodeterminación informativa como una manifestación de la protección de datos personales incorporada al artículo 19 N°4 de la Constitución. Toda medida que la restrinja debe superar un examen de idoneidad, necesidad y proporcionalidad en sentido estricto: que sirva a un fin legítimo, que no exista un medio menos lesivo igualmente eficaz, y que el sacrificio del derecho no resulte excesivo frente al beneficio perseguido. Un dato relevante para ese examen es que la identificación facial no es infalible, y que su margen de error no se distribuye de manera uniforme.

La evidencia técnica disponible muestra que la precisión de estos sistemas varía según el grupo demográfico. El National Institute of Standards and Technology (Instituto Nacional de Estándares y Tecnología, NIST) de Estados Unidos, en su estudio de referencia de 2019 sobre efectos demográficos (informe NISTIR 8280), evaluó 189 algoritmos de 99 desarrolladores y detectó tasas de falsos positivos más altas en mujeres, en personas afrodescendientes y de origen asiático, y de manera acentuada en mujeres afrodescendientes. Investigaciones académicas anteriores (el estudio Gender Shades, de 2018), en tareas de clasificación de género a partir del rostro, habían encontrado diferencias de error de más de 30 puntos porcentuales entre mujeres de piel oscura y hombres de piel clara. Aunque esas mediciones no equivalen exactamente a la identificación uno a uno que realiza un sistema de seguridad, ilustran un riesgo que el propio Estado chileno ya constató: en pruebas realizadas en el país en 2018, la Policía de Investigaciones (PDI) reportó altos porcentajes de falsos positivos. Un sistema que se equivoca de manera desigual entre grupos no plantea sólo un problema de datos, sino también de igualdad ante la ley.

El marco chileno: de la Constitución a la Ley N° 21.719

El fundamento es constitucional. La Ley N° 21.096, publicada el 16 de junio de 2018, incorporó al artículo 19 N°4 de la Constitución la protección de los datos personales, disponiendo que su tratamiento se efectuará «en la forma y condiciones que determine la ley». El estándar aplicable a la vía pública es ese numeral, referido a la vida privada y a los datos personales, y no el artículo 19 N°5, que protege la inviolabilidad del hogar y de las comunicaciones privadas y no alcanza al espacio público.

La ley que desarrolla ese mandato es hoy la Ley N° 21.719, publicada el 13 de diciembre de 2024, que reforma la Ley N° 19.628 y crea la Agencia de Protección de Datos Personales. Su régimen sustantivo entra en vigencia el 1 de diciembre de 2026, tras un período de adecuación de 24 meses. Tres definiciones resultan decisivas para el reconocimiento facial. Primero, los datos biométricos son datos personales sensibles: la ley los incluye entre las categorías de datos sensibles del artículo 2° de la Ley N° 19.628 y los define en su artículo 16 ter como aquellos referidos a las características físicas, fisiológicas o conductuales que permiten la identificación única de una persona, con mención expresa de los rasgos faciales. Segundo, el tratamiento de datos sensibles exige, por regla general, el consentimiento expreso del titular, junto con deberes específicos de información sobre el sistema, su finalidad y la forma de ejercer los derechos, y sólo procede sin consentimiento en las hipótesis tasadas por la ley (artículo 16). Tercero, el tratamiento por órganos públicos, incluidas las municipalidades, se rige por un título especial (Título IV, artículos 20 y siguientes) que les permite tratar datos sin consentimiento cuando ello resulta necesario para el cumplimiento de sus funciones legales, dentro del ámbito de su competencia y con sujeción a los principios de la ley.

La reforma incorpora, además, la evaluación de impacto en protección de datos (artículo 15 ter) como exigencia previa para los tratamientos que puedan generar un alto riesgo para los derechos de los titulares, categoría en la que puede quedar comprendida la vigilancia sistemática de zonas de acceso público mediante datos sensibles. El régimen sancionatorio clasifica las infracciones en leves, graves y gravísimas, con multas de hasta 5.000, 10.000 y 20.000 unidades tributarias mensuales (UTM), respectivamente, esta última del orden de $1.400 millones según el valor de la unidad, además de sanciones agravadas en caso de reincidencia. El tratamiento de datos sensibles sin una base de licitud válida se ubica entre las infracciones más severas.

Una ley vigente sin autoridad plenamente operativa

A mediados de 2026 se suma a esa arquitectura una circunstancia que conviene no pasar por alto. La Ley N° 21.719 encomienda la fiscalización y la potestad sancionatoria a la Agencia de Protección de Datos Personales, cuyo Consejo Directivo debía quedar constituido con antelación a la entrada en vigencia. En mayo de 2026, sin embargo, el Senado rechazó la propuesta de consejeros presentada por el Ejecutivo, al no reunirse el quórum de dos tercios que exige su nombramiento (la propuesta obtuvo 19 votos a favor y 12 en contra), y el plazo legal para constituir el órgano transcurrió sin designación.

El resultado es una situación inusual. Desde el 1 de diciembre de 2026 las obligaciones de la ley serán plenamente exigibles, pero el organismo llamado a interpretarlas, a dictar su normativa técnica y a ejercer la potestad sancionatoria podría no encontrarse operativo. Para instituciones y empresas, esa incertidumbre no suspende el deber de cumplir. Antes bien, aconseja adecuarse con anticipación, porque las obligaciones nacen de la ley y no de la puesta en marcha de la Agencia, y la eventual regularización posterior del órgano no saneará los tratamientos que hayan sido ilícitos en el intertanto.

Seguridad municipal e inteligencia artificial: dos normas en sentido inverso

Dos desarrollos legislativos recientes tensionan el cuadro en direcciones opuestas. La Ley N° 21.802, publicada el 11 de febrero de 2026, fortaleció la institucionalidad municipal en seguridad pública y, en su artículo 5, letra c), contempla la colaboración de los municipios con el Ministerio Público mediante, entre otras formas, «el acceso en línea a información contenida en sistemas informáticos o de televigilancia que puedan favorecer la persecución penal, como sistemas de reconocimiento facial, lectores de patentes vehiculares o plataformas de análisis de datos». Es la primera vez que una ley chilena nombra de manera expresa el reconocimiento facial como una herramienta cuyo acceso los municipios pueden poner a disposición de la persecución penal.

En sentido contrario avanza el proyecto de ley que regula los sistemas de inteligencia artificial, refundido en los boletines 16.821-19 y 15.869-19, aprobado en particular por la Cámara de Diputados el 13 de octubre de 2025 y actualmente en segundo trámite constitucional en el Senado. Ese proyecto, siguiendo el modelo europeo de clasificación por niveles de riesgo, propone situar la identificación biométrica remota en tiempo real en espacios de acceso público entre los usos de riesgo inaceptable, es decir, prohibidos, aunque con una excepción para la seguridad pública y la persecución penal. Las indicaciones que buscaban acotar esa excepción, exigiendo autorización judicial previa, fueron rechazadas en comisión.

La convivencia de estas reglas no es contradictoria si se las lee de manera sistemática. Una norma ya vigente habilita a los municipios a compartir accesos de reconocimiento facial con la fiscalía; otra, la Ley N° 21.719, exige base de licitud, proporcionalidad y evaluación de impacto para tratar el rostro como dato sensible; y un proyecto en trámite pretende prohibir esa misma identificación en tiempo real, salvo por seguridad pública. La habilitación para colaborar con la persecución penal no exime del cumplimiento del régimen de protección de datos ni del examen de proporcionalidad. Exige, de quien despliega la tecnología, una fundamentación jurídica cuidadosa. Ese mismo estándar alcanza a las plataformas de análisis masivo de datos que hoy se ofrecen a municipios y empresas, y que analizamos por separado.

La experiencia comparada

La discusión chilena no ocurre en el vacío. En los últimos años, tribunales y autoridades de distintos países han fijado estándares que conviene tener a la vista, y que en general no cuestionan la tecnología en sí, sino su uso sin marco legal preciso, sin evaluación de impacto y sin control de sesgos.

En el Reino Unido, el caso R (Bridges) v Chief Constable of South Wales Police ([2020] EWCA Civ 1058), resuelto por la Court of Appeal (Corte de Apelaciones de Inglaterra y Gales), declaró ilegal el uso policial de reconocimiento facial en vivo por tres razones: un marco legal que dejaba una discrecionalidad excesiva sobre dónde desplegarlo y a quién incluir en las listas de vigilancia, una evaluación de impacto deficiente y la falta de verificación de posibles sesgos de raza y sexo del software. El fallo no prohibió la tecnología, sino que exigió un marco más preciso. La respuesta institucional posterior es ilustrativa: a fines de 2025 el Home Office (Ministerio del Interior del Reino Unido) abrió una consulta pública para crear un marco legal específico sobre reconocimiento facial y biometría policial, mientras la Metropolitan Police (Policía Metropolitana de Londres) instalaba sus primeras cámaras fijas permanentes de este tipo. Las cifras oficiales que acompañan ese despliegue forman parte del debate: la propia policía informó más de 900 detenciones atribuidas a la tecnología entre septiembre de 2024 y septiembre de 2025 y, en un plan piloto reciente, una única alerta errónea entre más de 470.000 personas contrastadas. Esos datos, provenientes de la autoridad policial, conviven con las objeciones de organismos de derechos humanos sobre su proporcionalidad.

En la Unión Europea, el Reglamento de Inteligencia Artificial (Reglamento (UE) 2024/1689, conocido como AI Act), cuyas prohibiciones rigen desde el 2 de febrero de 2025, establece como regla la prohibición de la identificación biométrica remota en tiempo real en espacios de acceso público con fines policiales (artículo 5), con excepciones tasadas (búsqueda de víctimas, amenaza terrorista inminente o localización de sospechosos de delitos graves) sujetas a autorización judicial o administrativa previa y a una evaluación de impacto en los derechos fundamentales. Para los demás operadores, los sistemas de identificación biométrica remota se consideran de alto riesgo y quedan sometidos a exigencias estrictas. La aplicación de estas reglas es gradual y, en 2026, un paquete de simplificación conocido como Digital Omnibus, acordado por el Parlamento y el Consejo, pospuso la exigibilidad de las obligaciones de los sistemas de alto riesgo hasta el 2 de diciembre de 2027.

En España, la Agencia Española de Protección de Datos (AEPD) sancionó en 2021 a la cadena de supermercados Mercadona con una multa de 3,15 millones de euros (procedimiento PS/00120/2021), rebajada luego a 2,52 millones por pago voluntario y reconocimiento de responsabilidad, por un sistema de reconocimiento facial instalado en 48 tiendas para detectar a personas con órdenes de alejamiento. La autoridad concluyó que el tratamiento estaba prohibido por el artículo 9.1 del Reglamento General de Protección de Datos (RGPD, Reglamento (UE) 2016/679), al no contar con una base habilitante suficiente para tratar categorías especiales de datos, y reprochó que la empresa hubiera confundido la utilidad del sistema con su necesidad, sometiendo a identificación biométrica a la totalidad de sus clientes para localizar a unos pocos. El principio subyacente, la proporcionalidad y la minimización de datos, es el mismo que recoge la ley chilena.

En Estados Unidos, a falta de una ley federal, el estado de Illinois cuenta desde 2008 con la Biometric Information Privacy Act (Ley de Privacidad de la Información Biométrica, BIPA; 740 ILCS 14), que exige consentimiento previo por escrito y fija indemnizaciones legales de entre 1.000 y 5.000 dólares por cada infracción. Esa norma ha generado litigios de gran cuantía, incluido un acuerdo de Facebook (hoy Meta) por US$650 millones, y su interpretación jurisprudencial, que en un momento permitió contabilizar cada captura como una infracción separada, llevó en 2024 a una reforma legal que limitó la acumulación de daños. Varias ciudades, como San Francisco, han prohibido además el uso de reconocimiento facial por sus organismos públicos. El contraste con el enfoque europeo y chileno es instructivo: donde la ley europea regula sobre todo el uso, el modelo de Illinois disuade a través de la responsabilidad civil.

En América Latina la tendencia es convergente. En Argentina, el Sistema de Reconocimiento Facial de Prófugos (SRFP) de la Ciudad de Buenos Aires fue declarado inconstitucional en su implementación en 2022, decisión confirmada en 2023, tras comprobarse que se había utilizado para consultar datos de millones de personas ajenas a las listas de buscados y que faltaban los controles y la evaluación de impacto exigibles. En Brasil, donde la Lei Geral de Proteção de Dados (Ley General de Protección de Datos, LGPD; Lei N° 13.709 de 2018) también califica los datos biométricos como sensibles, la 6ª Vara de Fazenda Pública de São Paulo suspendió en 2022 el sistema de reconocimiento facial del Metrô de São Paulo por no acreditar su finalidad ni cumplir las exigencias de esa ley. A ello se suma la actuación coordinada de las autoridades europeas frente a la empresa Clearview AI, que acumula sanciones millonarias en varios países (entre ellas, 30,5 millones de euros impuestos por la autoridad neerlandesa en 2024) por haber construido una base de datos de más de 30.000 millones de imágenes de rostros sin base legal.

En el plano internacional, la Oficina de la Alta Comisionada de las Naciones Unidas para los Derechos Humanos (ACNUDH) llamó a extremar las salvaguardas frente a estas tecnologías y, en su informe A/HRC/48/31 de 2021, recomendó una moratoria en el uso de sistemas que no cumplan los estándares de derechos humanos, posición reiterada en informes posteriores.

Lo que ya ocurre en Chile

El debate tampoco es hipotético en Chile, donde ya conviven, sin un marco uniforme, distintas formas de reconocimiento facial. Dos casos ilustran el punto. En Temuco, el proyecto de videovigilancia con inteligencia artificial anunciado a mediados de 2026, con financiamiento del Banco Interamericano de Desarrollo (BID), se ha planteado por ahora sin reconocimiento facial, limitado al análisis de comportamiento, lo que constituye un ejemplo de diseño más acotado. Coexisten con él, no obstante, otras iniciativas, como la instalación en un liceo de la ciudad, durante 2025, de un pórtico de acceso con cámara de reconocimiento facial, medida que la Superintendencia de Educación cuestionó y fiscalizó por no ajustarse a la normativa del sector. En Las Condes, el sistema promovido años atrás dio lugar a una advertencia del Consejo para la Transparencia (CPLT) sobre los altos porcentajes de falsos positivos detectados en las pruebas, cercanos al 90% en un ensayo realizado en un centro comercial de la comuna, antecedente que el propio organismo consideró para calificar la medida de desproporcionada. Ambos casos muestran las dos caras del mismo vacío: la de un uso que se adelanta a la regla y la de una tecnología cuya fiabilidad ha sido puesta en duda.

Qué implica para instituciones, empresas y personas

Para las instituciones y los órganos públicos que operan o proyectan sistemas de videovigilancia, la adecuación no admite espera. La habilitación legal para colaborar con la persecución penal no sustituye la necesidad de una base de licitud válida, de una finalidad determinada y acotada a la seguridad, ni de una evaluación de impacto cuando el tratamiento sea de alto riesgo. A ello se agregan deberes que la práctica comparada ha vuelto ineludibles:

  • Informar a la ciudadanía sobre la existencia y la finalidad del sistema.
  • Limitar los plazos de conservación de las imágenes.
  • Adoptar medidas de seguridad que impidan el acceso de terceros.
  • Garantizar los derechos de acceso y cancelación de las personas.
  • Documentar el examen de proporcionalidad que justifica la medida.

Orientaciones anteriores, como las recomendaciones que el Consejo para la Transparencia dictó en 2017 para la videovigilancia municipal, anticiparon buena parte de estas exigencias, que la nueva ley eleva a deber jurídico.

Para las empresas, el punto crítico es doble. Como responsables del tratamiento, deben contar con una base de licitud, practicar la evaluación de impacto y observar los principios de finalidad y minimización, evitando el error que la experiencia comparada ha sancionado: someter a identificación biométrica a un universo amplio de personas para alcanzar a unas pocas. Como proveedoras de tecnología a un tercero, la distribución de las responsabilidades de seguridad, los plazos, las auditorías y las consecuencias de un incidente deben quedar definidas por escrito. Una filtración de datos biométricos no es un problema reputacional menor: puede constituir un incidente reportable bajo la Ley Marco de Ciberseguridad (Ley N° 21.663), cuyas obligaciones de gestión de riesgos y notificación rigen desde 2025, y activar responsabilidades bajo la Ley N° 21.459 sobre delitos informáticos. La adecuación temprana, dentro de un programa de cumplimiento en protección de datos, es la vía para transformar una exposición legal en una ventaja competitiva.

Para las personas, la nueva legislación fortalece un conjunto de facultades que conviene conocer. Cualquier ciudadano tiene derecho a saber qué sistemas de videovigilancia opera su municipio, con qué finalidad y bajo qué resguardos, información que puede requerir por la vía de la transparencia. La ley de datos reconoce, además, derechos de acceso, rectificación, cancelación y oposición sobre la información personal, y frente a un tratamiento que se estime ilegal o arbitrario el ordenamiento contempla el recurso de protección, sin perjuicio del reclamo ante la futura Agencia una vez constituida. La jurisprudencia chilena en la materia es todavía escasa y no ha resuelto un caso de reconocimiento facial en el espacio público, pero el marco para reclamar existe y se robustece con la reforma.

Una decisión que exige fundamento, no sólo tecnología

El reconocimiento facial en el espacio público no es, bajo el derecho chileno, una tecnología prohibida ni una herramienta de libre disposición. Es un tratamiento de datos sensibles sometido a condiciones: una base de licitud, un examen serio de necesidad y proporcionalidad, una evaluación de impacto, y deberes de transparencia y seguridad. La experiencia comparada enseña que los despliegues anulados o sancionados no lo fueron por la tecnología en sí, sino por haber prescindido de ese marco. La pregunta que corresponde formular, entonces, no es si la tecnología existe o si la seguridad la justifica en abstracto, sino si su uso concreto satisface las condiciones que la ley impone. Esa es una decisión jurídica antes que técnica, y su acierto dependerá de la calidad de la fundamentación que la sostenga.

Este artículo tiene carácter informativo y general, y no constituye asesoría jurídica para un caso concreto. Si su institución, empresa u organización necesita adecuar un sistema de videovigilancia o de tratamiento de datos biométricos a la Ley N° 21.719, o si usted considera afectados sus derechos, contáctenos para un análisis específico.