Derechos ARCOP en la Ley 21.719: cómo debe responder tu empresa

El acrónimo ARCO —acceso, rectificación, cancelación y oposición— es una convención de la industria de protección de datos, tomada originalmente del modelo español, y nunca apareció en el texto de la antigua Ley 19.628 ni aparece en la Ley 21.719. El artículo 4°, que reemplaza íntegramente el antiguo Título I, reconoce a todo titular de datos personales el derecho de acceso, rectificación, supresión, oposición, portabilidad y bloqueo de sus datos. Cuando el mercado local agrega la portabilidad a la sigla clásica, el resultado es “ARCOP” o “ARCO+”; ninguna de las dos formas es un término legal, y ambas conviven en la literatura especializada para nombrar el mismo conjunto de seis derechos.

Los seis derechos, uno por uno

• Acceso (artículo 5°): confirmar si se tratan datos del titular y acceder a ellos, incluyendo origen, finalidad, destinatarios y plazo de conservación.
• Rectificación (artículo 6°): corregir datos inexactos, desactualizados o incompletos.
• Supresión (artículo 7°): eliminar datos cuando ya no son necesarios, se revocó el consentimiento, se obtuvieron ilícitamente o son datos caducos, entre otras causales.
• Oposición (artículo 8°): oponerse a un tratamiento específico, por ejemplo cuando se funda en intereses legítimos del responsable o en marketing directo.
• Portabilidad (artículo 9°): recibir una copia de los datos en un formato electrónico estructurado, genérico y de uso común, que permita ser operado por distintos sistemas, o transferirlos a otro responsable, cuando el tratamiento es automatizado y se basa en el consentimiento.
• Bloqueo (artículo 8° ter): suspender temporalmente el tratamiento mientras se resuelve una solicitud de rectificación, supresión u oposición.

El derecho se llama “supresión”, no “cancelación”: así lo nombra el artículo 4°. La diferencia no es solo semántica: bajo la antigua Ley 19.628 el derecho equivalente se conocía como “cancelación”; el nuevo texto adopta “supresión”, más cercano al estándar europeo, aunque el contenido del derecho —eliminar datos que ya no tienen fundamento legal para tratarse— es equivalente. Si tu política de privacidad o tu formulario de contacto todavía dice “cancelación”, conviene actualizar el lenguaje para que coincida con el de la ley, sin que eso cambie el fondo de lo que debes resolver.

El artículo 11 exige que la solicitud contenga, como mínimo, la individualización del titular —o de su representante legal o mandatario— y la autenticación de su identidad “de acuerdo con los procedimientos, formas y modalidades que establezca la Agencia”. La ley delega en la Agencia de Protección de Datos Personales el detalle de cómo verificar identidad, y ese procedimiento no está fijado en el texto legal.

Mientras la Agencia no publique ese procedimiento, la práctica razonable es contrastar los antecedentes que aporta quien solicita contra los datos que la empresa ya tiene registrados —correo, RUT, número de cliente— y exigir un medio de contacto verificable para la respuesta. No es necesario levantar un proceso de verificación biométrica ni contratar un servicio externo si el volumen de solicitudes no lo justifica; sí es necesario poder demostrar, ante una eventual reclamación, que hiciste un esfuerzo razonable por confirmar que quien pide los datos es su titular.

Qué debe declarar el titular según el derecho que ejerce

La ley no exige acoger toda solicitud; exige que la denegación, total o parcial, esté fundada. El artículo 11 obliga al responsable a indicar la causa invocada y los antecedentes que la justifican, y a informar al titular, en esa misma respuesta, que dispone de 30 días hábiles para reclamar ante la Agencia. Una denegación sin causa expresa, o con una causa genérica no verificable, equivale en la práctica a no responder.

Causales concretas por derecho

La portabilidad y el consentimiento están unidos por definición: la ley solo reconoce este derecho cuando el tratamiento es automatizado y se basa en el consentimiento del titular. Si tu empresa trata esos datos con otro fundamento legal —un contrato, una obligación legal—, la portabilidad no procede y la denegación debe explicar justamente eso. El artículo 12 agrega una obligación relevante para este análisis: el consentimiento puede revocarse en cualquier momento, sin expresión de causa y sin efecto retroactivo, y es tu empresa —no el titular— quien debe poder probar que contó con el consentimiento y que el tratamiento fue lícito, leal y transparente.

Gestionar solicitudes de derechos no es un problema legal aislado: es un proceso operativo que cruza atención al cliente, TI y cumplimiento. Cognitiva construyó la siguiente matriz para que un comité de cumplimiento clasifique cada solicitud entrante sin reevaluar el procedimiento completo caso a caso.

La matriz no reemplaza la evaluación individual de cada caso, pero evita el error más frecuente en las primeras semanas de un procedimiento nuevo: tratar las seis solicitudes como si fueran una sola, con el mismo plazo y el mismo responsable. Antes del 1 de diciembre de 2026, definir quién recibe, quién verifica, quién decide y quién guarda el respaldo es más urgente que redactar la política de privacidad perfecta.

Este procedimiento se cruza con otras obligaciones de la Ley 21.719 que Cognitiva ya cubrió en este blog: el riesgo institucional de una Agencia todavía en formación, las decisiones automatizadas que también generan solicitudes de revisión humana, y la hoja de ruta general de 90 días para ordenar el cumplimiento completo antes de diciembre de 2026.