Gimnasio y Ley 21.719 — Caso técnico

Mapa de datos

Del carnet de socio al torniquete de entrada

Un gimnasio trata al menos dos categorías especiales de datos personales a la vez — biométricos y de salud — algo poco común fuera del rubro médico.

Dato personal	Sensibilidad	Finalidad	Base legal	Dónde vive
Nombre, RUT, teléfono, email (inscripción)	Normal	Contrato de membresía	Ejecución de contrato	Sistema de gestión de socios
Huella dactilar o reconocimiento facial	Biométrico	Control de ingreso al recinto	Consentimiento + información específica (Art. 16 ter)	Torniquete / control de acceso
Ficha de evaluación física y condiciones médicas	Datos de salud	Evaluación física, prevención de lesiones	Consentimiento explícito (Art. 16 bis)	Ficha del entrenador / app interna
Datos de pago para cobro recurrente	Crítico, no sensible per se	Cobro automático de la mensualidad	Ejecución de contrato	Pasarela de pago (tokenizado)
Datos de un hijo o hija en plan familiar	Requiere consentimiento parental	Acceso a clases infantiles o piscina	Consentimiento de padres o tutores (Art. 16 quáter)	Sistema de gestión de socios

Obligaciones específicas

Lo que la Ley 21.719 exige a un gimnasio

Los datos biométricos y de salud tienen reglas más estrictas que un dato personal normal — no basta con el consentimiento genérico del contrato de membresía.

Datos biométricos con información específica

Antes de registrar una huella o el rostro, hay que informar el sistema usado, la finalidad, el plazo de uso y cómo ejercer derechos — y siempre ofrecer una alternativa no biométrica.

"Sólo podrán tratarse estos datos cuando se cumpliere con lo dispuesto en el inciso primero del artículo 16 y siempre que el responsable proporcione al titular la siguiente información específica: a) La identificación del sistema biométrico usado; b) La finalidad específica para la cual los datos recolectados por el sistema biométrico serán utilizados; c) El período durante el cual los datos biométricos serán utilizados, y d) La forma en que el titular puede ejercer sus derechos."— Ley 21.719, Art. 16 ter

Datos de salud del socio

Una evaluación física o una condición médica declarada requieren consentimiento explícito, y están prohibidos de cederse a terceros (aseguradoras, empleadores) salvo excepción legal.

"Se prohíbe el tratamiento y la cesión de los datos relativos a la salud y al perfil biológico de un titular y las muestras biológicas asociadas a una persona identificada o identificable (...) cuando los datos o muestras han sido recolectados en el ámbito laboral, educativo, deportivo, social, de seguros, de seguridad o identificación, salvo que la ley expresamente autorice su tratamiento en casos calificados (...)."— Ley 21.719, Art. 16 bis

Menores en planes familiares

Inscribir a un hijo o hija en clases infantiles o en la piscina requiere el consentimiento de sus padres o de quien tenga su cuidado personal.

"(...) para tratar los datos personales de los niños y niñas se requiere el consentimiento otorgado por sus padres o representantes legales o por quien tiene a su cargo el cuidado personal del niño o niña, salvo que expresamente lo autorice o mandate la ley."— Ley 21.719, Art. 16 quáter

Cámaras de seguridad con proporcionalidad

Grabar solo áreas comunes, nunca camarines o duchas, con un cartel visible que informe la existencia de las cámaras.

"Los datos personales que se traten deben limitarse estrictamente a aquéllos que resulten necesarios, adecuados y pertinentes en relación con los fines del tratamiento."— Ley 21.719, Art. 3°, letra c)

Cobro recurrente tokenizado

El cargo automático mensual a la tarjeta del socio se procesa igual que cualquier checkout: nunca se guarda el número completo en los propios servidores.

"a) La seudonimización y el cifrado de datos personales. b) La capacidad de garantizar la confidencialidad, integridad, disponibilidad y resiliencia permanentes de los sistemas y servicios de tratamiento."— Ley 21.719, Art. 14 quinquies

App de reservas y entrenamiento de terceros

Si se integra con una app externa de reservas de clases o de seguimiento de entrenamiento, hay que definir su rol (encargado) y dónde procesa los datos.

"(...) el tercero mandatario o encargado realiza el tratamiento de datos personales conforme al encargo y a las instrucciones que le imparta el responsable, quedándole prohibido su tratamiento para un objeto distinto del convenido con el responsable (...)."— Ley 21.719, Art. 15 bis

Responsabilidades por relación

¿Qué te exige la ley según con quién te relacionas?

No es una sola responsabilidad — es una distinta con cada grupo de personas con las que te relacionas: tu equipo, tus proveedores y tus clientes. Aquí está cada una, explicada simple.

Con tus trabajadores

Confidencialidad de las fichas médicas que ven

Entrenadores y recepción que acceden a evaluaciones o condiciones médicas firman un compromiso de confidencialidad, vigente incluso tras dejar el gimnasio.

"El responsable de datos está obligado a mantener secreto o confidencialidad acerca de los datos personales que conciernan a un titular, salvo cuando el titular los hubiere hecho manifiestamente públicos. Este deber subsiste aún después de concluida la relación con el titular. (...) El responsable debe adoptar las medidas necesarias con el objeto que sus dependientes o las personas naturales o jurídicas que ejecuten operaciones de tratamiento de datos bajo su responsabilidad, cumplan el deber de secreto o confidencialidad establecidos en este artículo."— Ley 21.719, Art. 14 bis

Acceso restringido al sistema biométrico

No todo el personal necesita administrar el sistema de huella o rostro del control de acceso.

Con tus proveedores

Contrato de encargo con la app de reservas

Si se integra una app externa para agendar clases o seguir el entrenamiento, hay que definir su rol de encargado por contrato.

Eliminar o devolver datos si cambias de proveedor biométrico

Si dejas de usar un proveedor del sistema de huella o rostro, los datos que quedaron en su poder deben eliminarse o devolverse.

"Cumplida la prestación del servicio de tratamiento por parte del tercero mandatario o encargado, los datos que obran en su poder deben ser suprimidos o devueltos al responsable de datos, según corresponda."— Ley 21.719, Art. 15 bis

Con tus socios

Consentimiento explícito para datos de salud

Una evaluación física o una condición médica declarada requieren consentimiento explícito, aparte del contrato de membresía.

Información específica antes de usar biometría

Antes de registrar una huella o el rostro, hay que informar el sistema usado, la finalidad, el plazo de uso y cómo ejercer derechos.

Checklist técnico

Ruta de cumplimiento, paso a paso

En el orden en que normalmente se resuelve: primero lo legal, luego la configuración técnica, después la operación día a día. Marca cada punto a medida que lo implementes.

0/9 pasos completados

Fundamentos legales

Antes de registrar al primer socio

Consentimiento informado y específico para datos biométricosInformar el sistema usado, la finalidad, el plazo de uso y cómo ejercer derechos — y ofrecer siempre una alternativa no biométrica.
"Sólo podrán tratarse estos datos cuando se cumpliere con lo dispuesto en el inciso primero del artículo 16 y siempre que el responsable proporcione al titular la siguiente información específica: a) La identificación del sistema biométrico usado; b) La finalidad específica para la cual los datos recolectados por el sistema biométrico serán utilizados; c) El período durante el cual los datos biométricos serán utilizados, y d) La forma en que el titular puede ejercer sus derechos."— Ley 21.719, Art. 16 ter
Consentimiento explícito para datos de salud y evaluaciones físicasLa ficha del entrenador con condiciones médicas o resultados de evaluación requiere autorización propia, distinta del contrato de membresía.
"Se prohíbe el tratamiento y la cesión de los datos relativos a la salud y al perfil biológico de un titular y las muestras biológicas asociadas a una persona identificada o identificable (...) cuando los datos o muestras han sido recolectados en el ámbito laboral, educativo, deportivo, social, de seguros, de seguridad o identificación, salvo que la ley expresamente autorice su tratamiento en casos calificados (...)."— Ley 21.719, Art. 16 bis
Consentimiento parental para menores en planes familiaresAutorización de un padre, madre o tutor antes de inscribir a un hijo o hija en clases infantiles o piscina.
"(...) para tratar los datos personales de los niños y niñas se requiere el consentimiento otorgado por sus padres o representantes legales o por quien tiene a su cargo el cuidado personal del niño o niña, salvo que expresamente lo autorice o mandate la ley."— Ley 21.719, Art. 16 quáter

Configuración técnica

Cómo se construye en el recinto y el sistema

Tokenización de la tarjeta para el cobro recurrenteEl cargo automático mensual nunca almacena el número completo de la tarjeta en los servidores propios.
"a) La seudonimización y el cifrado de datos personales. b) La capacidad de garantizar la confidencialidad, integridad, disponibilidad y resiliencia permanentes de los sistemas y servicios de tratamiento."— Ley 21.719, Art. 14 quinquies
Cámaras de seguridad limitadas a áreas comunesNunca camarines ni duchas, con un cartel visible que informe la existencia de las cámaras.
"Los datos personales que se traten deben limitarse estrictamente a aquéllos que resulten necesarios, adecuados y pertinentes en relación con los fines del tratamiento."— Ley 21.719, Art. 3°, letra c)
DPA con la app de reservas o entrenamiento de tercerosContrato de encargo si se integra una app externa para agendar clases o hacer seguimiento del entrenamiento.
"(...) el tercero mandatario o encargado realiza el tratamiento de datos personales conforme al encargo y a las instrucciones que le imparta el responsable, quedándole prohibido su tratamiento para un objeto distinto del convenido con el responsable (...)."— Ley 21.719, Art. 15 bis

Operación y mantención

El trabajo del día a día

Retención diferenciada: biométricos/salud vs. facturaciónHuella y ficha médica se eliminan al terminar la membresía; los datos de facturación se retienen por obligación legal.
"No procede la supresión cuando el tratamiento sea necesario: (...) ii. Para el cumplimiento de una obligación legal o la ejecución de un contrato suscrito entre el titular y el responsable."— Ley 21.719, Art. 7°, num. ii
Acceso restringido a fichas médicas y evaluacionesSolo el personal autorizado (entrenadores, kinesiólogos) puede ver la ficha de salud de un socio.
"Las medidas aplicadas por el responsable deben asegurar la confidencialidad, integridad, disponibilidad y resiliencia de los sistemas de tratamiento de datos. Asimismo, deberán evitar la alteración, destrucción, pérdida, tratamiento o acceso no autorizado."— Ley 21.719, Art. 14 quinquies
Runbook de incidentes para brechas de datos biométricos o de saludA diferencia de una contraseña, una huella filtrada no se puede "cambiar" — el plan de respuesta debe ser prioritario.
"El responsable deberá reportar a la Agencia, por los medios más expeditos posibles y sin dilaciones indebidas, las vulneraciones a las medidas de seguridad que ocasionen la destrucción, filtración, pérdida o alteración accidental o ilícita de los datos personales que trate o la comunicación o acceso no autorizados a dichos datos, cuando exista un riesgo razonable para los derechos y libertades de los titulares."— Ley 21.719, Art. 14 sexies

Huella dactilar, ficha médica y cobro automático en un solo carnet