Resumen ejecutivo — seis cosas que la dirección debe saber
- Hay una fecha, y es dura. La ley se publicó el 13 de diciembre de 2024 y entra en plena vigencia el 1 de diciembre de 2026. Ese día debe marcarse como hito fijo en el plan.
- No es una ley nueva desde cero: es una reforma con dientes. Moderniza la Ley 19.628 de 1999 y, sobre todo, crea la Agencia de Protección de Datos Personales — una autoridad nueva y autónoma que antes no existía y que sí fiscaliza y sanciona.
- El estándar cambió de papel a evidencia. La Agencia no revisará una política de privacidad publicada en la web, sino registros datados, inventarios, logs y trazabilidad real. Cumplir es poder demostrar, no declarar.
- Las multas llegan al resultado. Hasta 20.000 UTM (~$1.400 millones a valores de 2026) por infracción gravísima; en reincidencia, hasta 60.000 UTM o el 4% de los ingresos anuales.
- Las personas ganan derechos (ARSOP). Acceso, rectificación, supresión, oposición y portabilidad, más bloqueo, con plazos de respuesta exigibles: 30 días corridos, y 2 días hábiles para el bloqueo.
- Si ya cumple GDPR, la brecha es menor. Reutilice sus políticas y registros y ajuste montos (UTM), la autoridad local y los plazos chilenos. Si parte de cero, el sprint de 90 días de esta guía crea la base real.
1. Qué cambió: de las buenas intenciones a la evidencia
La Ley 19.628 de 1999 protegía datos personales sobre el papel, pero casi no se fiscalizaba y las sanciones eran testimoniales. La Ley 21.719 corrige exactamente eso, inspirándose en el reglamento europeo (GDPR): eleva el estándar a nivel internacional y, sobre todo, crea una autoridad que puede exigir y multar.
| Elemento | Antes (Ley 19.628) | Ahora (Ley 21.719) |
|---|---|---|
| Autoridad | Sin autoridad de datos dedicada; fiscalización prácticamente inexistente | Agencia de Protección de Datos Personales, nueva y autónoma |
| Derechos | Acceso y rectificación, poco exigibles | ARSOP: acceso, rectificación, supresión, oposición y portabilidad + bloqueo + reglas sobre decisiones automatizadas |
| Consentimiento | Podía ser tácito | Libre, específico, informado, inequívoco y revocable |
| Sanciones | Casi inexistentes | Hasta 20.000 UTM; reincidencia hasta 60.000 UTM o 4% de ingresos |
| Brechas | Sin obligación de notificar | Notificación obligatoria "sin dilaciones indebidas" |
| Alcance | Nacional | Extraterritorial: alcanza a empresas fuera de Chile que tratan datos de personas en Chile |
El malentendido más caro: "ya tenemos una política de privacidad en la web"
Publicar un texto legal en el pie de página no es cumplir. La Agencia no pregunta "¿tienen política?", pregunta "muéstrenme el registro de qué datos tratan, con qué base legal, quién accedió, cuándo y con qué medidas de seguridad". El cumplimiento vive en tres capas: visibilidad (saber qué datos tienes), control (poder actuar sobre ellos) y evidencia (poder demostrarlo con registros fechados).
Un dato que se ignora con frecuencia: los datos de los propios colaboradores también son datos personales — las planillas de RR.HH., las evaluaciones de desempeño, la geolocalización de vehículos corporativos. No están fuera del alcance por ser internos.
2. A quién aplica y qué datos cubre
Aplica a toda organización que trate datos de personas en Chile, con independencia de su tamaño o país. La extraterritorialidad es clave: una empresa en Perú, México, Estados Unidos o Europa que ofrezca bienes o servicios a chilenos, o que monitoree su comportamiento, también queda sujeta. No todos los datos pesan igual:
| Tipo | Ejemplos | Nivel de protección |
|---|---|---|
| Personales | Nombre, RUT, correo, IP, historial de compras, ubicación | Estándar |
| Sensibles | Salud, origen étnico, datos biométricos y genéticos, vida sexual, ideología política | Reforzada: consentimiento expreso obligatorio |
| Especiales | Datos de niños, niñas y adolescentes; datos financieros | Controles adicionales |
3. Los siete pilares del cumplimiento
Toda la ley se puede ordenar en siete obligaciones. No hay que hacerlas perfectas de golpe, pero sí hay que poder mostrar avance real en cada una.
| Pilar | Qué exige | Evidencia que pedirá la Agencia |
|---|---|---|
| 1 · Gobernanza y DPO | Un Delegado de Protección de Datos que supervise el cumplimiento y sea el contacto con la Agencia. En una pyme, puede asumirlo el dueño o la máxima autoridad | Acta de designación, funciones y autoridad por escrito |
| 2 · Registro de Tratamiento (RAT) | El documento base: qué datos se tratan, con qué finalidad, base legal, destinatarios, plazos de conservación y medidas de seguridad | El RAT actualizado y datado |
| 3 · Bases de licitud y consentimiento | Consentimiento libre, específico, informado, inequívoco y revocable; o bien otra base lícita (contrato, obligación legal, interés legítimo) | Registro de consentimientos y su base legal por finalidad |
| 4 · Seguridad y privacidad desde el diseño | Incorporar la privacidad antes de iniciar el tratamiento y tratar solo los datos necesarios; medidas técnicas (cifrado, control de acceso, MFA) y organizativas | Políticas, configuración de controles y registros de acceso |
| 5 · Evaluación de Impacto (EIPD) | Obligatoria antes de tratamientos de alto riesgo: perfilamiento con efectos jurídicos, tratamiento masivo, monitoreo sistemático o datos sensibles bajo excepciones | El informe de evaluación de impacto |
| 6 · Gestión de terceros (DPA) | Contrato escrito con cada encargado que trate datos por cuenta de la empresa; el encargado solo actúa según instrucciones y la subcontratación requiere autorización | Los contratos de tratamiento firmados |
| 7 · Notificación de brechas | Reportar a la Agencia "sin dilaciones indebidas" y comunicar a los titulares cuando la brecha afecte datos sensibles, de menores o financieros | Bitácora de incidentes y notificaciones datadas |
El Modelo de Prevención de Infracciones: el "seguro" que conviene mirar
La ley contempla un Modelo de Prevención de Infracciones voluntario, certificable por la Agencia, con una vigencia de tres años. Incluye la designación del DPO, la identificación de riesgos, protocolos internos y mecanismos de reporte. No es obligatorio, pero opera como atenuante de las sanciones —e incluso puede eximir de responsabilidad en ciertas infracciones—, además de ordenar la casa por dentro. Para una empresa que trata datos a escala, es de las mejores inversiones de cumplimiento.
4. Los derechos ARSOP y sus plazos
Las personas pueden ejercer sus derechos y la empresa está obligada a responder en plazos concretos. No tener un canal para recibirlos es, por sí solo, una fuente de infracciones.
| Derecho | Qué permite | Plazo de respuesta |
|---|---|---|
| Acceso | Confirmar si se tratan sus datos y obtener copia | 30 días corridos (prorrogable una vez) |
| Rectificación | Corregir datos inexactos o desactualizados | 30 días corridos |
| Supresión | Eliminar datos cuando ya no son necesarios o se retira el consentimiento | 30 días corridos |
| Oposición | Oponerse a tratamientos específicos (p. ej. marketing) | 30 días corridos |
| Portabilidad | Recibir los datos en formato estructurado y transferirlos | 30 días corridos |
| Bloqueo | Suspensión temporal del tratamiento mientras se resuelve una solicitud | 2 días hábiles |
El acceso es gratuito al menos una vez por trimestre; la rectificación, la supresión y la oposición son siempre gratuitas.
5. Las sanciones, en números
| Infracción | Multa base | Reincidencia |
|---|---|---|
| Leves | Amonestación o hasta 5.000 UTM | Puede triplicarse |
| Graves | Hasta 10.000 UTM | Hasta el triple, o 2% de los ingresos anuales* |
| Gravísimas | Hasta 20.000 UTM | Hasta 60.000 UTM o 4% de los ingresos anuales* |
*El porcentaje sobre ingresos se aplica solo a empresas que no califican como de menor tamaño según la Ley 20.416. A ello se suman sanciones accesorias —suspensión de operaciones de tratamiento— y la inscripción en un registro público de sanciones.
Para dimensionar: 20.000 UTM equivalen a alrededor de $1.400 millones a valores de 2026. Una empresa mediana con ingresos anuales de $5.000 millones expuesta a una reincidencia gravísima podría enfrentar una multa del 4%, es decir, cerca de $200 millones. El riesgo dejó de ser reputacional para volverse financiero.
6. El roadmap: un plan de 90 días paso a paso
Antes del día 1, dos decisiones destraban todo lo demás: nombrar un dueño único del plan —una persona con nombre y apellido, que no puede ser "el área de TI"— y agendar una reunión cruzada Legal/Compliance + TI para repartir responsabilidades. Sin dueño, el plan dura 30 días y se diluye.
Días 1–30 · Ordenar la casa
- Inventario de datos (RAT preliminar). Cubrir primero el 80% de los datos sensibles. Responsables: TI + Legal. Entregable: RAT inicial datado.
- Mapeo de accesos privilegiados. Quién puede ver datos personales; cerrar de inmediato cuentas de excolaboradores. Responsable: TI/Ciberseguridad.
- Identificar 10 proveedores críticos que traten datos por cuenta de la empresa y no tengan DPA firmado. Responsable: Compliance.
- Canal de derechos ARSOP. Un correo dedicado más un flujo básico de atención. Responsable: Legal/RR.HH.
Días 31–60 · Gobernanza y evidencia
- Política de privacidad actualizada, publicada por canal (web, app, intranet) y versionada.
- DPAs firmados con los 10 proveedores críticos.
- Matriz de riesgo: los 5 escenarios de brecha más probables con su impacto.
- Playbook de incidentes: procedimiento con roles, canales y una plantilla de notificación lista para usar.
- Registro de evidencias: un repositorio único definido para logs, reportes y tickets.
Días 61–90 · Control y validación
- Controles técnicos: MFA en sistemas críticos, cifrado en el 100% de los equipos portátiles y una prueba de restauración de respaldos documentada.
- Simulación ARSOP de extremo a extremo: un ticket datado con evidencia de una solicitud atendida completa.
- Tabletop de incidente: un ejercicio de 90 minutos con Legal, TI y liderazgo, con minuta firmada.
- Backlog continuo: el plan de los siguientes 90 días para llegar y mantenerse a diciembre de 2026.
Cuatro victorias rápidas para esta semana
- Marcar el 1 de diciembre de 2026 como hito fijo en el roadmap corporativo.
- Agendar la reunión cruzada Legal/Compliance + TI para definir responsabilidades.
- Designar un dueño único del plan (con nombre, no un área).
- Definir checkpoints mensuales de 30 minutos con tres métricas: % de obligaciones en verde, N.º de DPAs firmados y cobertura de cifrado.
7. Transferencias internacionales y su relación con ciberseguridad
Es lícito transferir datos fuera de Chile mediante países con nivel adecuado de protección (que determinará la Agencia), cláusulas contractuales tipo, normas corporativas vinculantes, modelos de certificación o el consentimiento expreso para una transferencia determinada; además de casos específicos como la ejecución de un contrato o una urgencia médica.
Y una conexión que conviene no perder de vista: si una brecha de seguridad expone datos personales, además de notificar a la Agencia de Protección de Datos (Ley 21.719), es probable que deba reportar el incidente al CSIRT Nacional bajo la Ley 21.663 de Ciberseguridad — con plazos y organismo distintos. Dos leyes, dos relojes. Muchos de los controles técnicos que exige una sirven para la otra; conviene prepararlas de forma articulada, como explicamos en el informe sobre la Ley 21.663.
8. Conclusión
La Ley 21.719 convierte la protección de datos en una obligación legal exigible con multas que impactan directamente el resultado. Pero el mensaje para un comité ejecutivo no debería ser el miedo, sino la claridad: hay tiempo suficiente hasta diciembre de 2026 si se prioriza correctamente, y el trabajo se puede ordenar en un sprint de 90 días con un dueño y checkpoints mensuales.
La frase que conviene repetir en cada reunión es una sola: la Agencia no fiscaliza políticas, fiscaliza evidencia operativa. Los logs, los inventarios, los registros datados y la trazabilidad real son lo que separará a las organizaciones preparadas de las expuestas a multas millonarias.
Si alguien de la Agencia llamara mañana, ¿podría mostrar —hoy, con fecha— qué datos trata su empresa, con qué base legal, quién accedió a ellos y qué haría ante una brecha? Si la respuesta es "tenemos una política", todavía no empezó. Si es "tengo el registro y se lo muestro", va bien encaminado.
Metodología y fuentes
Datos legales verificados en fuentes especializadas chilenas y en el Servicio de Impuestos Internos para el valor de la UTM. Referencias principales del enunciado y de la verificación: Idónea — Guía Ley 21.719 · Prey — Guía TI Ley 21.719 · Ontier — Ley 21.719 y la Agencia · SII — Valor UTM 2026.
Nota de precisión. (1) La Agencia de Protección de Datos Personales es una autoridad nueva creada por la ley; no reemplaza al Consejo para la Transparencia (que corresponde a la Ley 20.285 de transparencia, no a datos personales). Bajo la antigua Ley 19.628 no existía una autoridad de datos dedicada. (2) Valor de las multas: 20.000 UTM equivalen a alrededor de $1.400 millones con la UTM de 2026 (~$71.649); es una cifra referencial que varía con la UTM. (3) El alcance extraterritorial está en la ley; la formulación "ofrecer bienes o servicios o monitorear el comportamiento" es la lectura análoga al GDPR con que se describe el criterio, no una cita textual del articulado. (4) Para empresas de menor tamaño, la ley contempla que durante los primeros meses de vigencia ciertas infracciones se sancionen con amonestación por escrito en lugar de multa, además de excluirlas del criterio del porcentaje sobre ingresos. (5) Este artículo es una guía divulgativa y no constituye asesoría legal; el detalle aplicable a cada empresa debe revisarse con un especialista y contra el texto vigente de la ley y los reglamentos de la Agencia. (6) El roadmap 30/60/90, los recuadros y las recomendaciones son elaboración de GrowMkTech a partir de la evidencia citada y de nuestra experiencia en proyectos de datos e IA en Chile y Latinoamérica.