Nombre, RUT, teléfono, historial de pagos y el registro de cada vez que alguien entró. La Ley 21.719 entra en plena vigencia el 1 de diciembre de 2026, crea una agencia que fiscaliza de oficio, y no distingue por tamaño de empresa.
Información general. No es asesoría legal.Fecha de plena vigencia. Se publicó en diciembre de 2024 con veinticuatro meses de vacancia.
Para notificar una brecha de seguridad a la Agencia, y a los afectados si el riesgo es alto.
UTM de multa máxima. En reincidencia, hasta el 4% de los ingresos anuales.
No es una casilla de consentimiento al final del formulario. Son obligaciones sobre cómo guardas, para qué guardas y qué pasa cuando algo sale mal.
No basta con que sea útil «por si acaso». Cada dato que pides tiene que tener declarado para qué lo usas y con qué base legal lo tratas.
Acceder, rectificar, oponerse, pedir supresión y portabilidad. Y tú tienes que poder responderle, no solo recibir el correo.
Si se filtran datos, hay que notificar a la Agencia dentro de ese plazo, y a los socios afectados si el riesgo es alto. Eso exige saber qué se filtró.
No necesita que alguien te denuncie. Y hay un Registro Nacional de Sanciones que se publica.
Resolver esto una vez que el sistema está hecho significa rehacer el modelo de datos, la auditoría y los flujos de baja. Por eso en GymCtrl es una condición previa, no una tarea pendiente.
Es lo barato y es lo que se ve seguido: un checkbox de consentimiento y una página de política. No cambia qué datos se guardan, ni por cuánto tiempo, ni quién puede verlos, que es exactamente lo que la ley mira.
Cada campo del sistema tuvo que justificar para qué existe. Los que no pudieron, se discuten o se sacan. Es más trabajo al principio y menos superficie de riesgo para siempre.
El dato que no guardas no se te puede filtrar
No como promesa de marketing: son decisiones registradas en el diseño del sistema, y cada una dejó fuera un dato que habría sido cómodo tener.
El sistema guarda dirección y comuna del socio, normalizadas, y nada más. La ubicación exacta no tiene una finalidad que justifique el riesgo de guardarla.
La condición de menor de edad nunca se almacena: se deriva de la fecha de nacimiento cuando hace falta. Un dato que no está guardado no puede filtrarse ni quedar desactualizado.
«En riesgo» o «sin actividad» son cálculos sobre el historial de accesos, no etiquetas pegadas a la ficha de una persona.
Lo que el socio entrega para entrenar mejor queda con un consentimiento registrado, tratamiento por tratamiento, que él mismo puede retirar desde su app cuando quiera. No es una casilla que marcó una vez y nadie volvió a mirar.
Conviene decirlo claro, porque es la parte que más se malinterpreta al comprar software.
Ante la ley, el responsable del tratamiento es el gimnasio, no el proveedor del software. Un sistema bien hecho te da las herramientas (registro de quién accedió a qué, flujos para responder los derechos del socio, permisos por rol, datos mínimos), pero no te reemplaza en las decisiones que son tuyas.
Lo que sigue siendo tu trabajo:
Esta página es información general y no es asesoría legal. Para tu caso concreto, y sobre todo si tratas datos de salud o tienes socios menores de edad, corresponde una revisión profesional.
Sí. La ley no distingue por tamaño de empresa. Un gimnasio de un local guarda los mismos datos personales que uno de diez, y las mismas obligaciones lo alcanzan.
Sirve para poder cumplir. Responder qué datos tienes de una persona, quién los vio y borrarlos cuando corresponde es muy difícil con planillas repartidas, y razonablemente simple con un sistema que lo registre.
No existe tal certificación, y desconfía de quien te la ofrezca. Lo que sí podemos decir es qué decisiones de diseño tomamos y por qué, que es lo que está más arriba en esta página.
El sistema no guarda ninguno. No hay campo de condiciones médicas en la ficha del socio, y no es un olvido: son datos sensibles con un tratamiento mucho más estricto, y la forma más segura de manejarlos es no tenerlos. Lo que el socio sí registra para entrenar, su peso, su porcentaje de grasa y sus medidas, se revisó dato por dato y quedó clasificado como seguimiento deportivo, no como dato de salud. Su entrenador las ve solo si el socio se lo autoriza, y puede quitarle ese permiso cuando quiera. Fotos del cuerpo para seguir el progreso no existen: tienen otra expectativa de privacidad, y esa puerta se decidió no abrirla.
Suman un titular más: el tutor, que tiene derechos propios sobre sus datos. El consentimiento queda como registro inmutable, porque es la prueba de que el tratamiento fue lícito.
Si llevas un gimnasio en Chile y esto te dejó con preguntas, déjanos tu correo. Cuando GymCtrl esté disponible te escribimos.