¿Lata, leve o levísima? La culpa del responsable de datos personales

El 1 de diciembre de 2026 entra en vigencia la Ley N° 21.719, que modifica sustancialmente la Ley N° 19.628 y crea la Agencia de Protección de Datos Personales[1]. Buena parte de la discusión se ha concentrado en la nueva Agencia, en sus multas y en los programas de cumplimiento. Me interesa una pregunta más clásica, que cualquier civilista formularía apenas leyera que el responsable de datos «deberá indemnizar» los daños que cause: ¿de qué culpa responde? ¿Lata, leve o levísima?

La pregunta no es ociosa. En una columna anterior en este mismo medio sostuve que la culpa leve debe ser el estándar general de la responsabilidad extracontractual, y que exigir culpa levísima a cualquier persona, en cualquier actividad, carece de fundamento textual y desincentiva la vida social ordinaria[2]. El tratamiento de datos personales pone a prueba esa tesis, porque se trata de una actividad especializada, masiva y riesgosa, en que la tentación de exigir el máximo cuidado es evidente.

La primera respuesta que surge viene del artículo 1547 del Código Civil: el deudor responde de culpa lata en los contratos útiles solo al acreedor, de culpa leve en los de beneficio recíproco y de culpa levísima en aquellos en que es el único que reporta beneficio. Como el tratamiento de datos suele enmarcarse en una relación de consumo o de prestación de servicios, que beneficia a ambas partes, la conclusión sería la culpa leve. Pero esa respuesta deja un flanco abierto: ¿qué ocurre cuando no hay contrato? El titular de los datos muchas veces no ha contratado con nadie. Sus datos pudieron obtenerse de terceros, tratarse en virtud de un interés legítimo o quedar en manos de un encargado con quien nunca tuvo relación. Si se aplicara la lógica del artículo 1547 a esos casos, el resultado sería inquietante: quien trata datos ajenos en su exclusivo provecho, por ejemplo con fines comerciales o de perfilamiento, quedaría en la posición del deudor que es el único beneficiado, y respondería de culpa levísima.

Creo que ese razonamiento parte de una premisa equivocada. Los deberes del responsable no nacen del contrato, sino de la ley, y existen haya o no una relación convencional con el titular. La propia Ley N° 21.719 lo deja ver: al regular el tratamiento por cuenta de terceros, en el artículo 15 bis, dispone que el encargado que se aparta del encargo responde «solidariamente con el responsable de datos por los daños ocasionados, sin perjuicio de las responsabilidades contractuales que le correspondan frente al mandante o responsable de datos». La ley distingue así dos planos: el contractual, entre responsable y encargado, y otro distinto, frente al titular. Es en este segundo plano donde debe buscarse la respuesta.

Y allí la ley es más original de lo que parece. El nuevo artículo 47 dispone que el responsable «deberá indemnizar el daño patrimonial y extrapatrimonial que cause al o los titulares, cuando en sus operaciones de tratamiento de datos infrinja los principios establecidos en el artículo 3°, los derechos y obligaciones establecidos en esta ley y les cause perjuicio». La norma no menciona la culpa ni el dolo. Su inciso segundo agrega que la acción solo puede interponerse una vez ejecutoriada la resolución de la Agencia que acogió el reclamo del titular, o firme la sentencia que resolvió el reclamo de ilegalidad, y que se tramita conforme al procedimiento sumario. El juez civil, por tanto, no aprecia la culpa: la recibe declarada como infracción. Estamos ante una responsabilidad de culpa infraccional, en la que la culpa consiste en haber infringido un deber legal cuya infracción ha constatado previamente la autoridad administrativa.

Esto desplaza la pregunta. Ya no se trata de saber qué grado de culpa resulta del artículo 44 o del artículo 1547, sino con qué estándar de conducta se juzga si hubo infracción. Y ese estándar lo fija la propia ley. El artículo 14 quinquies obliga al responsable a adoptar las medidas necesarias «considerando el estado actual de la técnica y los costos de aplicación, junto con la naturaleza, alcance, contexto y fines del tratamiento, así como la probabilidad de los riesgos y la gravedad de sus efectos», y a aplicar medidas técnicas y organizativas apropiadas para garantizar «un nivel de seguridad adecuado al riesgo». El principio de seguridad exige, en el mismo sentido, que las medidas sean «apropiadas y acordes con el tratamiento que se vaya a efectuar y con la naturaleza de los datos», esto según el artículo 14 quinquies de la señalada nueva ley.

A mi juicio, ese estándar excluye los dos extremos. Excluye la culpa lata, porque lo exigido no es el cuidado mínimo que aun las personas negligentes emplean, sino lo adecuado al riesgo. Y excluye la culpa levísima, porque la norma ordena ponderar los costos de aplicación: un estándar que compara el costo de la precaución con la probabilidad y la gravedad del daño es, por definición, un estándar de diligencia razonable y no de diligencia máxima.

Lo que la ley describe es la culpa leve en abstracto, con un modelo de conducta que no es el hombre medio en general, sino el responsable de datos diligente, situado frente al riesgo concreto de su tratamiento. Es la fórmula que propone Corral para la responsabilidad extracontractual: partir de la diligencia normal y exigir un nivel superior según el tipo de actividad, sin llegar al máximo que implica la culpa levísima[3]. En la práctica, ese estándar puede ser muy exigente para quien trata datos sensibles a gran escala; pero lo será por la magnitud del riesgo, no por un cambio en el grado de culpa.

Queda un punto que, en la práctica, pesa más que la graduación: la prueba. En el régimen contractual, la prueba de la diligencia incumbe a quien ha debido emplearla; en el extracontractual, por regla general, es la víctima quien debe acreditar la culpa del autor. La Ley N° 21.719 resuelve esta tensión por sí misma. El inciso final del artículo 14 quinquies dispone que, ante un incidente de seguridad y en caso de controversia judicial o administrativa, «corresponderá al responsable acreditar la existencia y el funcionamiento de las medidas de seguridad adoptadas», y el principio de licitud exige que el responsable sea «capaz de acreditar la licitud del tratamiento de datos personales que realiza». La carga de la diligencia recae sobre el responsable, haya o no contrato. Con ello, la distinción entre titulares contratantes y no contratantes, que parecía decisiva, pierde casi toda su relevancia.

Conviene una advertencia terminológica. La ley califica las infracciones en leves, graves y gravísimas, y sería un error leer esa clasificación como un eco de la culpa leve, grave o levísima: se trata de una gradación de la gravedad de la conducta, no del grado de diligencia exigido. La ley tiene, eso sí, su propio tratamiento del elemento subjetivo. Varias infracciones gravísimas exigen que la conducta se realice «a sabiendas», «maliciosamente» o «en forma deliberada»; la falta de diligencia o cuidado es un criterio para determinar el monto de la multa cuando no forma parte de la infracción; y el cumplimiento diligente de los deberes de dirección y supervisión, acreditado mediante certificación, opera como atenuante[4]. Ninguna de esas reglas remite al artículo 44 del Código Civil.

Nada de esto contradice el Código de Bello. El propio artículo 1547 advierte en su inciso final que sus reglas se entienden «sin perjuicio de las disposiciones especiales de las leyes». La Ley N° 21.719 es una de ellas: no gradúa la culpa según el beneficio que reporta un contrato, sino que fija un estándar de seguridad proporcional al riesgo y distribuye por sí misma la carga de la prueba.

¿Responde entonces el responsable de datos de culpa lata, leve o levísima? De culpa leve, pero por una razón distinta de la que sugiere la intuición contractual. No porque exista un contrato que beneficie a ambas partes, sino porque la ley exige lo adecuado al riesgo, pondera los costos y pone sobre el responsable la carga de demostrar que cumplió. La pregunta por la graduación, formulada en los términos del artículo 1547, resulta en este campo la pregunta equivocada. La respuesta, sin embargo, coincide con la que vengo defendiendo para la responsabilidad civil en general: la culpa leve como estándar razonable de la vida jurídica ordinaria, ajustada a la especialidad de cada actividad, y la culpa levísima como una excepción que el legislador, tampoco esta vez, ha querido imponer.

Tomás Braniff Cortés es abogado, licenciado en Ciencias Jurídicas por la Universidad Andrés Bello y Magíster en Derecho de Daños por la Universidad Adolfo Ibáñez. Abogado asociado en Corral y García Abogados, en las áreas de litigios civiles, arbitrales y laborales y corporativa-inmobiliaria. Profesor ayudante de Derecho Civil en la Universidad Andrés Bello.

[1]Ley N° 21.719, publicada en el Diario Oficial el 13 de diciembre de 2024, con vigencia diferida al 1 de diciembre de 2026.

[2]Braniff Cortés, Tomás, «¿Culpa leve o culpa levísima? El verdadero estándar de cuidado en la responsabilidad extracontractual», Diario Constitucional, agosto de 2026.

[3]Corral Talciani, Hernán, Lecciones de responsabilidad civil extracontractual, 2013, p. 209.

[4]Sucede en los artículos 34, 34 quáter, 36 N° 5 y 37 N° 2, a modo de ejemplificación.