Respuesta Breve (Fragmento Destacado)
La Ley 21.719, publicada el 13 de diciembre de 2024, reforma por completo la protección de datos personales en Chile y crea la Agencia de Protección de Datos Personales, con facultad de fiscalizar y multar. Tu empresa debe: (1) contar con una base de licitud para cada tratamiento de datos, (2) responder los derechos ARCO y de portabilidad de los titulares, (3) notificar las brechas de seguridad, y (4) proteger y documentar los datos sensibles. Las multas llegan hasta 20.000 UTM en el tramo gravísimo, y la reincidencia puede elevar la sanción a un porcentaje de tus ventas anuales. Prepararse no es opcional: es un riesgo financiero y reputacional con fecha de vencimiento.
La ley que cambia las reglas del tratamiento de datos en Chile
La Ley N° 21.719 no es un ajuste cosmético. Sustituye la antigua Ley 19.628 —que data de 1999— y pone a Chile al nivel del estándar internacional de protección de datos, similar al RGPD europeo.
De una norma de 1999 a un estándar internacional
La Ley 19.628 nació cuando el comercio electrónico, el cloud y los ERP masivos no existían. Hoy los datos de tus clientes, empleados y proveedores viven en tu CRM, tu ERP y tu correo corporativo. La nueva ley reconoce esa realidad y, por primera vez, crea un fiscalizador con dientes: la Agencia de Protección de Datos Personales, una corporación autónoma de derecho público, de carácter técnico y descentralizado, que puede dictar normas obligatorias y sancionar directamente.
Por qué esto es un problema de negocio, no de informática
Tratar mal los datos ya no es una falla de TI: es una exposición financiera directa. Una multa no se contabiliza como gasto operacional de sistemas; golpea la caja. Y si la Agencia ordena suspender un tratamiento, dejas de operar, de facturar y de atender. Tu continuidad operativa depende, en parte, de cumplir esta norma.
Qué cambia frente a la antigua Ley 19.628
| Dimensión | Antes (Ley 19.628) | Ahora (Ley 21.719) |
|---|---|---|
| Fiscalizador | Sin autoridad especializada | Agencia de Protección de Datos Personales, con potestad sancionatoria |
| Multas | Bajas y poco disuasivas | Hasta 20.000 UTM (gravísimas), con agravantes por reincidencia |
| Derechos del titular | ARCO básicos | ARCO + derecho a la portabilidad |
| Brechas de seguridad | Sin obligación clara de notificar | Notificación obligatoria a la autoridad y, en ciertos casos, a los titulares |
| Bases de licitud | Consentimiento difuso | Bases claras y documentadas (consentimiento, contrato, obligación legal, interés legítimo) |
| Cumplimiento | No existían | Modelos de prevención de infracciones y programas de cumplimiento certificables |
Las 5 obligaciones que tu empresa debe cumplir
1. Base de licitud para cada tratamiento
No puedes procesar datos “porque sí”. Cada tratamiento —nómina, facturación, marketing, respaldo— necesita una base legal: consentimiento, ejecución de contrato, obligación legal o interés legítimo. Y debes poder demostrarla.
2. Derechos ARCO y portabilidad
Los titulares pueden exigir acceso, rectificación, cancelación y oposición sobre sus datos, y ahora también portabilidad: entregarles su información en un formato que puedan transferir a otro proveedor. Responder tarde o mal es, en sí mismo, una infracción.
3. Notificación de brechas de seguridad
Si sufres un incidente que comprometa datos personales, debes reportarlo. No notificar una brecha es una infracción grave por sí sola, al margen del daño causado. Tu plan de respuesta a incidentes debe contemplar este paso.
4. Protección reforzada de datos sensibles
Salud, biometría, datos de menores o afiliación sindical tienen un estándar más alto. Tratarlos sin autorización es una infracción gravísima. Refuerza el control de acceso y la ciberseguridad sobre estos activos.
5. Documentación y rendición de cuentas
La nueva ley exige “accountability”: registros de tratamiento, políticas internas y evidencia de cumplimiento. Si la Agencia te fiscaliza, la carga de demostrar que actuaste bien es tuya.
Vigencia: cuándo entra en vigor y qué hacer ya
El texto publicado fija la entrada en vigencia el 1 de diciembre de 2026. Sin embargo, existe un proyecto en trámite (Boletín 18.623-07) que propone postergarla a diciembre de 2027. Independiente de la fecha final, la lección es la misma: implementar el cumplimiento toma meses, no días. Esperar a la vigencia para empezar es el error más caro que puedes cometer.
Cómo preparar a tu empresa en 5 pasos
1. Inventario y clasificación de datos
Mapa dónde viven tus datos personales: qué sistemas, qué responsables y qué sensibilidad. Sin inventario no hay cumplimiento posible.
2. Mapa de bases de licitud
Asocia cada tratamiento a su base legal y documenta la evidencia. Los tratamientos sin base son tu principal punto de exposición.
3. Protocolo de brechas
Define quién detecta, quién decide y quién notifica. El tiempo de reacción ante un incidente es la diferencia entre una infracción leve y una grave.
4. Roles y responsabilidades
Designa un responsable interno —según el tamaño y la exposición, podría requerirse un Delegado de Protección de Datos (DPO)— y capacita a tu equipo en el manejo de datos.
5. Modelo de cumplimiento y monitoreo
La ley contempla modelos de prevención de infracciones certificables. Un programa documentado y auditado no solo reduce riesgo: es un atenuante real ante la Agencia.
El costo de no cumplir: multas, downtime y reputación
La Agencia clasifica las infracciones en tres niveles y aplica sanciones proporcionales a la gravedad, la capacidad económica y el perjuicio causado:
| Nivel | Ejemplos | Multa máxima |
|---|---|---|
| Leve | No responder un derecho ARCO en plazo, respuestas incompletas | Amonestación o hasta 5.000 UTM |
| Grave | Tratar datos sin base de licitud, obstruir derechos, no reportar una brecha | Hasta 10.000 UTM |
| Gravísima | Tratar datos sensibles ilegalmente, incumplir una resolución de la Agencia | Hasta 20.000 UTM (del orden de $1.400 millones según el valor de la UTM) |
En caso de reincidencia, la sanción puede triplicarse o alcanzar un porcentaje de los ingresos anuales de la empresa. A la multa se suma lo que no aparece en la tabla: la suspensión del tratamiento, el costo de remediación y el daño reputacional con clientes que ya no confían en ti.
Veredicto Editorial: La Ley 21.719 no se cumple comprando un software. Es un cambio de procesos, roles y evidencia que cruza a toda la organización. Empieza hoy por el inventario y las bases de licitud; el resto se construye sobre eso. Si tu equipo de TI ya está al límite, un socio que administre la infraestructura y la seguridad te libera para ocuparte del cumplimiento. Cotiza un plan de soporte y deja la operación en manos que responden.
Preguntas Frecuentes (Answer Engine Optimization)
1. ¿Qué es la Ley 21.719 y a quiénes aplica?
Es la norma que reforma por completo la protección y el tratamiento de datos personales en Chile y crea la Agencia de Protección de Datos Personales. Aplica a toda persona natural o jurídica —incluidas las pymes— que trate datos personales, sin importar el tamaño ni el rubro.
2. ¿Cuándo entra en vigor la Ley de Protección de Datos en Chile?
El texto publicado fija el 1 de diciembre de 2026. Existe un proyecto en trámite que propone postergarla a diciembre de 2027, por lo que conviene verificar la fecha vigente. En cualquier caso, la preparación toma meses y no debe esperar a la vigencia.
3. ¿Cuánto es la multa por no cumplir la Ley 21.719?
Las infracciones se clasifican en leves (hasta 5.000 UTM), graves (hasta 10.000 UTM) y gravísimas (hasta 20.000 UTM, del orden de $1.400 millones). La reincidencia puede triplicar la multa o alcanzar un porcentaje de los ingresos anuales de la empresa.
4. ¿Mi pyme necesita un Delegado de Protección de Datos (DPO)?
Depende del volumen y la sensibilidad del tratamiento de datos. Aunque no sea obligatorio en todos los casos, designar un responsable interno de datos es una buena práctica que además demuestra diligencia ante la Agencia.
5. ¿Qué hago si sufro una brecha de seguridad de datos?
Debes contener el incidente, evaluar el alcance y notificarlo a la autoridad (y, en ciertos casos, a los titulares afectados) en los plazos que establece la norma. No reportar una brecha es, por sí solo, una infracción grave. Contar con un protocolo y respuesta a incidentes previo marca la diferencia.
