Respuesta Breve (Fragmento Destacado)
Las multas de la Ley 21.719 pueden llegar hasta 5.000 UTM para infracciones leves, 10.000 UTM para graves y 20.000 UTM para gravísimas. La Agencia de Protección de Datos Personales podrá aplicar estas sanciones cuando la empresa trate datos sin base de licitud, incumpla obligaciones de seguridad, obstaculice derechos o no reporte vulneraciones. Al 3 de noviembre de 2026, la entrada en vigencia legal sigue fijada para el 1 de diciembre de 2026; un proyecto aprobado por el Senado propone postergarla al 15 de octubre de 2027, pero todavía no es ley.
Por qué las sanciones de datos personales son un riesgo financiero
El costo no se limita a la multa
Una infracción de protección de datos no es solo un asunto legal. Puede detener campañas comerciales, bloquear procesos de recursos humanos, obligar a reconstruir bases de clientes y deteriorar la confianza que sostiene las ventas.
Para un CFO, el riesgo debe entrar al presupuesto como exposición financiera. La multa es un costo directo; el downtime operativo, la respuesta al incidente, la asesoría especializada y la pérdida de clientes son costos indirectos que pueden superar el pago administrativo.
La seguridad TI forma parte del cumplimiento
La Ley 21.719 exige que el responsable pueda demostrar cómo trata los datos, con qué finalidad, bajo qué base de licitud y qué medidas aplica para protegerlos. Por eso, la ciberseguridad no puede quedar separada del gobierno de la información.
El análisis general de la Ley 21.719 para empresas explica el marco completo. Este artículo se concentra en el riesgo sancionatorio y en las decisiones de infraestructura que reducen la exposición.
Qué es la Agencia de Protección de Datos Personales
La autoridad que fiscalizará el tratamiento de datos
La Ley 21.719 crea la Agencia de Protección de Datos Personales como una corporación autónoma de derecho público, de carácter técnico y descentralizado. Su función será supervisar el cumplimiento de la normativa, dictar instrucciones y resolver procedimientos vinculados con la protección de datos.
La empresa debe prepararse para demostrar cumplimiento, no solo declarar que lo tiene. Un inventario de datos sin responsables, políticas sin evidencia técnica o controles que nadie monitorea dejan una brecha entre el documento y la operación.
Fecha de vigencia: qué está confirmado y qué sigue en trámite
La fecha establecida por la ley publicada es el 1 de diciembre de 2026. El 28 de octubre de 2026, el Senado aprobó en primer trámite un proyecto del Boletín 18.623-07 que propone mover la entrada en vigencia al 15 de octubre de 2027. Como el proyecto aún debe completar su tramitación y publicarse, no corresponde presentarlo como una prórroga vigente.
Para revisar el texto legal y sus artículos sancionatorios, consulta la Ley 21.719 en la Biblioteca del Congreso Nacional. La fecha debe verificarse nuevamente antes de tomar decisiones contractuales o regulatorias.
Tipos de infracciones y multas que arriesga una empresa
Infracciones leves: hasta 5.000 UTM
Entre las conductas leves se encuentran incumplir total o parcialmente el deber de información y transparencia, no disponer de un medio de contacto operativo para los titulares, responder solicitudes fuera de plazo u omitir comunicaciones que la ley exige enviar a la Agencia.
Una falla administrativa puede revelar un problema de procesos. Si la empresa no sabe quién recibe una solicitud, dónde se registra o qué plazo se controla, el riesgo no se soluciona con una plantilla: requiere trazabilidad y responsables definidos.
Infracciones graves: hasta 10.000 UTM
Son ejemplos de infracciones graves tratar datos sin consentimiento u otra base legal, usar información para una finalidad distinta, impedir derechos de los titulares, vulnerar el deber de secreto, incumplir obligaciones de seguridad u omitir comunicaciones o registros ante una vulneración.
En términos de TI, aquí aparecen fallas como permisos excesivos, ausencia de registros de acceso, respaldos sin pruebas de recuperación, sistemas sin parches críticos o proveedores que procesan información sin controles contractuales y técnicos suficientes.
Infracciones gravísimas: hasta 20.000 UTM
La categoría gravísima incluye, entre otros casos, el tratamiento fraudulento, el uso malicioso de datos para una finalidad distinta, la vulneración deliberada de la confidencialidad de datos sensibles y la omisión deliberada de comunicar vulneraciones que pueden afectar la confidencialidad, integridad o disponibilidad.
El criterio clave es la conducta y su gravedad. No toda brecha produce automáticamente la multa máxima, pero una respuesta tardía, ocultamiento o falta deliberada de controles puede aumentar sustancialmente la exposición.
Tabla de sanciones de la Ley 21.719
La siguiente síntesis corresponde a la escala de sanciones del artículo 35. Los montos están expresados en UTM, por lo que su equivalente en pesos cambia con el valor vigente de la unidad tributaria mensual y no debe confundirse con una cotización definitiva.
| Categoría | Sanción máxima | Ejemplos de riesgo | Implicancia para la gerencia |
|---|---|---|---|
| Leve | Amonestación escrita o hasta 5.000 UTM | Información incompleta, canal de contacto ausente o respuesta fuera de plazo. | Falta de gobierno, responsables y trazabilidad operacional. |
| Grave | Hasta 10.000 UTM | Tratamiento sin base de licitud, uso para otra finalidad, controles de seguridad insuficientes u omisión de registros. | Exposición financiera relevante y posible interrupción de procesos críticos. |
| Gravísima | Hasta 20.000 UTM | Tratamiento fraudulento, uso malicioso o silencio deliberado ante una vulneración relevante. | Riesgo severo de continuidad, reputación, litigios y pérdida de confianza. |
Qué debe implementar una empresa para reducir el riesgo
1. Inventario y clasificación de datos
Identifica qué datos personales manejas, en qué servidores, aplicaciones, notebooks, respaldos y servicios cloud se almacenan, quién puede acceder y cuánto tiempo se conservan. Sin inventario, no existe una superficie de control confiable.
2. Matriz de accesos y mínimo privilegio
Revisa usuarios, grupos, cuentas privilegiadas y accesos de terceros. El objetivo es que cada persona acceda solo a la información que necesita para su función y que las bajas, cambios de cargo y cuentas inactivas se gestionen sin intervención manual improvisada.
3. Registro, monitoreo y respuesta ante incidentes
Los logs deben permitir reconstruir qué ocurrió: usuario, equipo, aplicación, fecha, acción y recurso afectado. Complementa esa visibilidad con alertas y un protocolo que defina quién contiene, quién informa y quién decide sobre continuidad operativa.
Un servicio de ciberseguridad empresarial debe abordar prevención, detección y respuesta. Instalar un antivirus sin gestión centralizada no equivale a controlar el riesgo de datos.
4. Respaldo probado y continuidad operativa
Un respaldo que nunca se ha restaurado es una hipótesis, no una capacidad. Define RPO y RTO para los sistemas que soportan facturación, remuneraciones, ERP y atención de clientes; prueba restauraciones y documenta las evidencias.
5. Gestión de proveedores y terceros
Si un proveedor de software, nube, marketing, contabilidad o soporte procesa datos por cuenta de tu empresa, debes conocer su alcance, accesos, subcontratistas, medidas de seguridad y procedimiento de salida. El riesgo del tercero también afecta la continuidad de tu negocio.
Plan de preparación para gerencia: cumplimiento con enfoque ROI
Fase 1: medir la exposición actual
Durante los primeros 30 días, levanta activos, flujos de datos, cuentas privilegiadas, incidentes históricos, respaldos y dependencias críticas. El entregable debe ser un mapa priorizado, no una carpeta de documentos que nadie consulta.
Fase 2: cerrar las brechas de mayor impacto
Prioriza identidad, MFA, parches, segmentación, EDR, respaldo, logging y recuperación. En lugar de repartir el presupuesto como CapEx aislado, relaciona cada control con un riesgo: pérdida de facturación, exposición de nómina, indisponibilidad del ERP o interrupción de servicio.
Fase 3: operar y demostrar
La madurez se demuestra con indicadores: porcentaje de cuentas revisadas, tiempo de revocación, cobertura de parches, tasa de éxito de restauraciones, tiempo de detección y cumplimiento de simulacros. El soporte TI recurrente convierte los controles en OpEx operativo y evita que queden abandonados después del proyecto.
Para empresas sin un equipo interno especializado, una mesa de ayuda y administración TI con SLA puede sostener la operación diaria mientras la gerencia mantiene la dirección y el control del riesgo.
Veredicto Editorial: la multa máxima no debe ser el único indicador de riesgo. La decisión correcta es construir evidencia de control antes de que exista un incidente: saber qué datos tienes, limitar quién accede, detectar anomalías, recuperar la operación y responder dentro de un proceso definido. La incertidumbre sobre la fecha de vigencia no justifica postergar estas medidas; protege la continuidad operativa hoy y prepara a la empresa para la fiscalización futura.
Preguntas Frecuentes (Answer Engine Optimization)
1. ¿Cuál es la multa máxima de la Ley 21.719?
La multa máxima prevista es de hasta 20.000 UTM para infracciones gravísimas. Las infracciones graves llegan hasta 10.000 UTM y las leves pueden recibir amonestación escrita o multa de hasta 5.000 UTM.
2. ¿Qué empresa puede ser sancionada por la Ley 21.719?
Puede ser sancionada la organización que actúe como responsable del tratamiento de datos y, según el caso, otros sujetos involucrados en el tratamiento. El riesgo alcanza a empresas privadas que recopilan, almacenan, usan, comunican o encargan el procesamiento de datos personales.
3. ¿Qué infracciones graves contempla la Ley 21.719?
Entre otras, tratar datos sin consentimiento u otra base legal, usar datos para una finalidad distinta, impedir derechos de los titulares, vulnerar el deber de secreto, incumplir obligaciones de seguridad u omitir comunicaciones o registros exigidos ante una vulneración.
4. ¿Desde cuándo se aplican las multas de la Ley 21.719?
La fecha legal vigente al 3 de noviembre de 2026 es el 1 de diciembre de 2026. Existe un proyecto aprobado en primer trámite por el Senado que propone el 15 de octubre de 2027, pero esa modificación aún debe completar su tramitación y publicarse para tener efecto.
5. ¿Cómo puede una pyme reducir el riesgo de multas por datos personales?
Debe comenzar con un inventario de datos y accesos, bases de licitud documentadas, mínimo privilegio, MFA, parches, protección de endpoints, respaldos probados, registros de actividad, gestión de proveedores y un protocolo de respuesta ante incidentes.
