Su expediente de acoso es tratamiento de datos sensibles: qué cambia en diciembre de 2026

Cuando una empresa arma la carpeta de una denuncia de acoso, rara vez piensa que está construyendo una base de datos de categoría especial. Pero eso es exactamente lo que es: declaraciones sobre la vida privada de personas, licencias médicas, derivaciones a atención psicológica, a veces afiliación sindical, y en denuncias de acoso sexual, información sobre la vida sexual de los involucrados.

Hasta hoy, ese expediente se manejaba principalmente bajo el deber de confidencialidad del procedimiento (artículo 211-B del Código del Trabajo). Desde el 1 de diciembre de 2026, con la plena vigencia de la Ley 21.719 de protección de datos personales, pasa a estar además bajo un régimen con sanciones propias: multas de hasta 20.000 UTM y obligación de notificar brechas a la Agencia dentro de 72 horas.

El cruce que casi nadie está mirando

Las dos normas apuntan al mismo expediente desde ángulos distintos:

	Ley Karin (21.643)	Ley de datos (21.719)
Qué protege	La integridad de las personas en el trabajo	Los datos personales de esas personas
Qué exige del expediente	Confidencialidad, trazabilidad, conclusiones fundadas	Licitud, seguridad, mínimo privilegio, retención acotada
Quién fiscaliza	Dirección del Trabajo	Agencia de Protección de Datos
Sanción	1 a 60 UTM por infracción (art. 506 CT), acumulables	Hasta 20.000 UTM

El punto incómodo: una misma carpeta mal manejada puede generar exposición en los dos frentes. Una investigación impecable en lo laboral, guardada en un drive compartido con acceso de toda la gerencia, resuelve un problema y crea otro.

Las cuatro prácticas que hoy son comunes y en 2027 serán caras

1. El expediente en un drive compartido. Es, de lejos, lo más frecuente. "Carpeta RRHH → Denuncias" con acceso para todo el equipo de personas, a veces heredado por quien entra al área. Sin registro de quién abrió qué.

2. Los nombres en todas partes. Los correos internos de coordinación, los asuntos de las reuniones en el calendario, los archivos nombrados "denuncia-juanperez-acoso.docx". Cada uno de esos puntos es una exposición innecesaria.

3. Guardar todo para siempre. El expediente de una denuncia de 2024 sigue ahí, íntegro, en 2029, sin que nadie haya decidido si debía seguir estando.

4. Enviar el expediente completo por correo. A la mutualidad, al abogado externo, al gerente que "quería estar al tanto". Adjuntos con datos sensibles viajando sin control.

Cómo se arma un expediente que aguante las dos leyes

Seudonimizar en las vistas que no lo necesitan. El detalle identificatorio es imprescindible para el investigador y para el informe final. No lo es para el tablero de seguimiento que mira la gerencia, ni para las estadísticas del área. Trabajar con identificadores (por ejemplo, "Caso C-2026-014, persona denunciante D-001") en todo lo que no requiera nombre reduce la superficie de exposición sin perder utilidad.

Acceso por caso, no por área. Que alguien trabaje en Recursos Humanos no lo habilita a ver todos los expedientes. El acceso debería otorgarse por caso y por rol: el investigador ve el suyo; la empresa ve estado, plazos y entregables, no las declaraciones ni la identidad de los testigos.

Registro de accesos. Poder responder "quién vio esto y cuándo" es tan importante como controlar quién puede verlo. En una eventual investigación por filtración, la ausencia de registro deja a la empresa sin defensa.

Retención decidida, no heredada. Definir cuánto se conserva cada tipo de documento, y ejecutarlo. Hay una tensión real acá: conviene conservar prueba mientras existan riesgos de juicio, pero no se pueden mantener datos personales indefinidamente sin justificación. Es un punto que conviene resolver con asesoría específica [VERIFICAR CON ABOGADO].

Plan de brechas antes de la brecha. Setenta y dos horas es muy poco tiempo para improvisar. El plan mínimo: quién detecta, quién decide si es notificable, quién redacta la notificación, quién comunica a los afectados.

El caso especial de la denuncia anónima o con reserva

La Ley Karin permite denunciar sin exponer la identidad, y el procedimiento exige confidencialidad. Eso genera una obligación concreta de diseño: la identidad debe poder separarse del contenido del expediente.

En la práctica significa mantener el vínculo identidad-caso en un registro aparte, con acceso mucho más restringido que el del expediente mismo. Si esa separación no existe, cualquier acceso al expediente es también un acceso a la identidad, y la reserva prometida al denunciante es solo una promesa.

Qué conviene hacer este año

Faltan meses para diciembre de 2026, y la ventaja de actuar ahora es que los expedientes que se abran desde hoy nacen conformes — no hay que migrar nada después.

• Inventariar dónde viven hoy los expedientes de denuncias (incluidos correos y carpetas personales)
• Cerrar accesos amplios: pasar de "acceso por área" a "acceso por caso"
• Sacar nombres de asuntos de correo, nombres de archivo y eventos de calendario
• Definir y escribir la política de retención por tipo de documento
• Definir el procedimiento de respuesta a brechas (72 horas)
• Revisar cómo se comparten antecedentes con terceros (mutualidad, abogados, contratistas)
• Dejar registro de accesos en los expedientes nuevos

Ninguna de estas medidas exige tecnología cara. Exigen decidir, escribir la decisión y aplicarla — que es, al final, lo mismo que exige la Ley Karin.

---

¿Quiere revisar cómo está manejando hoy los expedientes de denuncias? El diagnóstico es gratis y cubre tanto el cumplimiento del procedimiento como el manejo de la información. Agende aquí.