Quedan menos de 9 meses para que entre en vigencia la Ley 21.719 de Proteccion de Datos Personales. Si tu empresa trata datos de clientes, empleados o proveedores y aun no ha tomado medidas, el reloj corre en tu contra. Las multas pueden llegar hasta los $1.400 millones de pesos chilenos.
Actualización, 2 de septiembre de 2026: el Gobierno ingresó al Senado un proyecto para postergar la vigencia de la ley al 1 de diciembre de 2027. Es un proyecto, no una ley: las obligaciones no cambian. Qué cambia y qué no para tu empresa.
El 1 de diciembre de 2026, Chile dara un salto historico en materia de proteccion de datos personales. La Ley 21.719 moderniza por completo el marco regulatorio chileno, elevandolo a estandares comparables con el GDPR europeo. Se crea la Agencia de Proteccion de Datos Personales, un organo autonomo con facultades fiscalizadoras y sancionadoras reales, algo que hasta ahora no existia en el pais.
Esto no es un cambio menor. Por primera vez, las empresas en Chile enfrentaran consecuencias economicas serias por el mal manejo de datos personales. En esta guia te explicamos todo lo que necesitas saber para prepararte a tiempo y evitar sanciones que pueden poner en riesgo la continuidad de tu negocio.
Que es la Ley 21.719 de Proteccion de Datos Personales
La Ley 21.719 fue publicada en el Diario Oficial el 13 de diciembre de 2024. Modifica sustancialmente la antigua Ley 19.628 sobre Proteccion de la Vida Privada, que estaba vigente desde 1999 y era considerada obsoleta e insuficiente para el contexto digital actual.
La nueva normativa establece un marco completo y moderno que incluye tres pilares fundamentales:
- Derechos ARCOP para los titulares de datos: Acceso (saber que datos tuyos tiene una empresa), Rectificacion (corregir datos inexactos), Cancelacion (solicitar la eliminacion de tus datos), Oposicion (negarte a que se traten tus datos en ciertos casos) y Portabilidad (obtener una copia de tus datos en formato electronico estructurado para llevarlos a otro proveedor).
- Bases de licitud para el tratamiento de datos: Las empresas ya no podran tratar datos personales “porque si”. Necesitaran una base legal valida: consentimiento explicito del titular, ejecucion de un contrato, obligacion legal, interes vital, interes publico o interes legitimo del responsable.
- Agencia de Proteccion de Datos Personales: Un organo autonomo, vinculado al Ministerio de Economia, con facultades para fiscalizar, investigar, interpretar la ley e imponer sanciones. Sera el equivalente chileno de las autoridades de proteccion de datos europeas.
Ademas, la ley crea el Registro Nacional de Sanciones y Cumplimiento, donde se inscribiran tanto los responsables sancionados como aquellas organizaciones que hayan adoptado modelos de prevencion de infracciones, un incentivo directo para quienes se adelanten al cumplimiento.
A quien aplica la Ley 21.719
La respuesta corta: a practicamente toda empresa que opere en Chile.
Si tu empresa recopila, almacena o utiliza datos personales de cualquier tipo, esta ley te aplica. No importa si eres una pyme con 5 empleados o una corporacion con miles de clientes. Estos son algunos ejemplos concretos:
- Tienes una base de datos de clientes con nombres, emails o telefonos.
- Envias campanas de email marketing o mensajes por WhatsApp.
- Gestionas datos de empleados (contratos, sueldos, datos de salud).
- Operas un e-commerce que registra datos de compra y despacho.
- Usas herramientas de analytics que rastrean comportamiento de usuarios.
- Tienes camaras de seguridad que graban a personas.
- Manejas fichas clinicas, expedientes legales o datos financieros de terceros.
Si alguno de estos casos describe tu operacion, la Ley 21.719 te aplica directamente. Y si tratas datos sensibles (salud, origen etnico, orientacion sexual, datos biometricos, informacion financiera), las obligaciones son aun mas estrictas.
¿No estás seguro si tu empresa está dentro del alcance de la ley? En 15 minutos revisamos tu caso y te decimos exactamente qué obligaciones te aplican.
Agenda una revisión rápida gratuita →Obligaciones principales para las empresas
La ley introduce un conjunto de obligaciones que toda organizacion debera cumplir antes del 1 de diciembre de 2026. Estas son las mas relevantes:
Registro de Actividades de Tratamiento (RAT)
Cada empresa debera mantener un registro documentado y actualizado de todas las actividades de tratamiento de datos que realiza. Este registro debe incluir: que datos se recopilan, con que finalidad, cual es la base de licitud, quienes tienen acceso, a quienes se transfieren y cuales son los plazos de conservacion. Piensa en el RAT como el “inventario” completo de todos los datos personales que maneja tu organizacion.
Evaluaciones de Impacto en Proteccion de Datos (EIPD)
Cuando el tratamiento de datos represente un riesgo alto para los derechos de las personas, la empresa debera realizar una Evaluacion de Impacto en Proteccion de Datos antes de iniciar ese tratamiento. Esto aplica especialmente cuando se procesan datos sensibles a gran escala, se implementan sistemas de decision automatizada, o se realizan perfilados sistematicos de individuos.
Notificacion de brechas de seguridad
Si ocurre una filtracion, hackeo o acceso no autorizado a datos personales, la empresa debera notificar a la Agencia de Proteccion de Datos Personales sin dilacion indebida y, cuando sea posible, dentro de las 72 horas siguientes a tomar conocimiento del incidente. Ademas, si la brecha representa un riesgo alto para los titulares afectados, tambien debera notificarlos directamente. No basta con “solucionar el problema internamente” y seguir adelante.
Delegado de Proteccion de Datos (DPO)
La designacion de un Delegado de Proteccion de Datos es obligatoria para organismos publicos y para empresas privadas que traten datos a gran escala o que manejen datos sensibles como parte central de su actividad. El DPO actua como enlace entre la organizacion y la Agencia, supervisa los procesos internos de tratamiento y asesora sobre la correcta aplicacion de la ley. Incluso si no estas obligado a tener uno, contar con esta figura puede reducir significativamente tu riesgo regulatorio.
Politicas de privacidad actualizadas
Las tipicas politicas de privacidad genericas copiadas de internet ya no sirven. La ley exige que las empresas informen de manera clara, precisa y accesible sobre: la identidad del responsable, los datos que recopilan, las finalidades del tratamiento, las bases de licitud, los derechos ARCOP del titular y como ejercerlos, los plazos de conservacion y si se realizan transferencias internacionales de datos.
Consentimiento explicito e informado
Cuando la base de licitud sea el consentimiento, este debe ser libre, informado, especifico e inequivoco. Nada de casillas pre-marcadas, textos escondidos en terminos y condiciones interminables, ni consentimientos “generales” que cubran todo. El titular debe saber exactamente para que autoriza el uso de sus datos, y debe poder retirar ese consentimiento en cualquier momento con la misma facilidad con que lo otorgo.
Sanciones: cuanto puede costar el incumplimiento
Aqui es donde la Ley 21.719 muestra su verdadero impacto. A diferencia de la normativa anterior, que carecia de un regimen sancionatorio efectivo, la nueva ley establece tres niveles de infracciones con multas significativas:
Infracciones leves: hasta 5.000 UTM (~$349 millones CLP)
Se consideran leves infracciones como: no informar adecuadamente al titular sobre el tratamiento de sus datos, no tener actualizada la politica de privacidad, o no responder a tiempo las solicitudes de ejercicio de derechos ARCOP. Pueden sancionarse con amonestacion por escrito o multa.
Infracciones graves: hasta 10.000 UTM (~$699 millones CLP)
Incluyen tratar datos personales sin una base de licitud valida, no notificar brechas de seguridad a la Agencia, realizar transferencias internacionales de datos sin cumplir los requisitos legales, u obstaculizar las labores de fiscalizacion de la Agencia. Tambien se incluyen las vulneraciones de medidas de seguridad cuando se deriven de negligencia.
Infracciones gravisimas: hasta 20.000 UTM (~$1.398 millones CLP)
Las mas severas abarcan el tratamiento fraudulento de datos, la entrega de informacion falsa a la Agencia, o reincidir en infracciones graves. En casos de reincidencia, las multas pueden triplicarse hasta 60.000 UTM.
Para empresas que no califican como pymes, existe una clausula adicional: en infracciones graves y gravisimas con reincidencia, la multa puede alcanzar el 2% o 4% de la facturacion anual de la empresa, respectivamente, si ese monto resulta mayor que la multa fija en UTM. Un porcentaje que recuerda directamente al GDPR europeo.
Dato importante para pymes: Durante el primer ano de vigencia (diciembre 2026 a diciembre 2027), las pequenas y medianas empresas estaran sujetas solo a amonestaciones, no a multas economicas. Pero eso no significa que puedas ignorar la ley: la Agencia igualmente puede fiscalizar, y al terminar ese periodo de gracia, las multas aplicaran retroactivamente a infracciones no corregidas.
Hasta $349M
Infracciones leves · 5.000 UTM
Hasta $699M
Infracciones graves · 10.000 UTM
Hasta $1.398M
Infracciones gravísimas · 20.000 UTM
Como preparar tu empresa antes de diciembre 2026
La buena noticia es que todavia tienes tiempo para prepararte. La mala noticia es que ese tiempo se esta acabando. Implementar un programa de cumplimiento serio no se hace en dos semanas. Este es un checklist practico para empezar hoy:
1. Realiza una auditoria de datos personales
Antes de cumplir con la ley, necesitas saber exactamente que datos tienes. Mapea todos los flujos de datos personales de tu organizacion: que datos recopilas, donde se almacenan, quien tiene acceso, para que se usan y si se comparten con terceros. No puedes proteger lo que no conoces.
2. Construye tu Registro de Actividades de Tratamiento
Con la auditoria como base, documenta cada actividad de tratamiento en un registro formal. Incluye la finalidad, la base de licitud, las categorias de datos, los destinatarios, los plazos de conservacion y las medidas de seguridad aplicadas. Este registro es obligatorio y la Agencia puede solicitarlo en cualquier momento.
3. Actualiza tus politicas de privacidad y consentimiento
Revisa y reescribe tus politicas de privacidad para que cumplan con los requisitos de la ley. Implementa mecanismos de consentimiento que sean claros, especificos y facilmente revocables. Revisa tambien los formularios de tu sitio web, las landing pages y cualquier punto donde recojas datos.
4. Implementa medidas de seguridad tecnicas y organizativas
Asegurate de que los datos personales esten protegidos con cifrado, controles de acceso, respaldos regulares y protocolos de respuesta a incidentes. Documenta todo: la Agencia evaluara no solo si ocurrio una brecha, sino si la empresa tenia medidas razonables implementadas para prevenirla.
5. Capacita a tu equipo
El eslabon mas debil en proteccion de datos siempre es el factor humano. Todos los colaboradores que manejan datos personales deben entender sus obligaciones bajo la nueva ley. Realiza capacitaciones periodicas y establece protocolos claros para situaciones comunes: como responder a una solicitud de acceso, que hacer ante una brecha, como obtener consentimiento valido.
6. Evalua si necesitas un Delegado de Proteccion de Datos
Si tu empresa trata datos sensibles, opera en sectores como salud, finanzas o educacion, o maneja grandes volumenes de datos personales, probablemente necesites designar un DPO. Incluso si no es obligatorio para tu caso, tener un responsable interno o externo de proteccion de datos puede ser la diferencia entre cumplimiento proactivo y una multa millonaria.
7. Adopta un modelo de prevencion de infracciones
La ley contempla que las empresas que adopten voluntariamente modelos certificados de prevencion de infracciones pueden beneficiarse de atenuantes en caso de sancion, e inscribirse en el Registro Nacional de Cumplimiento. Es una forma concreta de demostrar buena fe ante la Agencia y reducir tu exposicion al riesgo.
Este checklist toma semanas si lo haces solo. Nosotros hacemos la auditoría de datos y armamos tu Registro de Actividades de Tratamiento por ti.
Conoce cómo lo hacemos →No esperes a diciembre: actua ahora
La Ley 21.719 no es una amenaza: es una oportunidad para modernizar la forma en que tu empresa maneja los datos de sus clientes, empleados y socios comerciales. Las empresas que se adelanten al cumplimiento no solo evitaran multas, sino que construiran una ventaja competitiva basada en la confianza.
Pero la ventana se cierra. Implementar un programa de cumplimiento completo puede tomar entre 3 y 6 meses dependiendo del tamano y complejidad de tu organizacion. Si empiezas hoy, llegas con margen. Si esperas a septiembre, ya sera tarde para hacerlo bien.
Si lo que necesitas ahora es el detalle operativo, el checklist paso a paso para implementar la Ley 21.719 ordena las etapas en el orden en que conviene ejecutarlas, partiendo por el inventario de datos.
En Cercai te ayudamos a cumplir con la Ley 21.719 antes de la fecha limite. Nuestro servicio de Proteccion de Datos Personales con ShieldData combina inteligencia artificial con asesoria experta para que tu empresa este 100% preparada: desde la auditoria inicial hasta la implementacion de medidas tecnicas y la capacitacion de tu equipo.
Evaluamos el estado actual de tu empresa frente a la Ley 21.719 sin costo ni compromiso. Conoce mas sobre nuestro servicio de proteccion de datos.
Preguntas frecuentes sobre la Ley 21.719
¿Qué dice la Ley 21.719 sobre la protección de datos personales?
Establece que toda organización que trate datos personales debe hacerlo con una base legal válida —principalmente el consentimiento explícito e informado de la persona— y con obligaciones concretas de transparencia, seguridad y rendición de cuentas. En la práctica obliga a la empresa a saber qué datos tiene, por qué los tiene, dónde están, quién accede a ellos y qué hace si se filtran. Crea además una Agencia de Protección de Datos Personales con facultades fiscalizadoras y sancionatorias.
¿Desde cuándo rige la Ley 21.719 en Chile?
Desde el 1 de diciembre de 2026. Esa es la fecha en que las obligaciones se vuelven exigibles y en que la Agencia puede empezar a fiscalizar y sancionar. No hay un período de gracia posterior: las empresas deben llegar preparadas a esa fecha, no empezar a prepararse en ella.
¿A qué empresas aplica la Ley 21.719?
A toda organización que trate datos personales de personas en Chile, sin importar su tamaño ni su rubro. No hay un umbral de facturación ni de número de trabajadores que exima del cumplimiento. Una pyme con una base de clientes en una planilla está dentro del alcance igual que un banco. Lo que sí cambia según el tamaño es la proporcionalidad de las medidas exigidas y el tope de las multas.
¿Cuáles son las multas por incumplir la Ley 21.719?
Las sanciones se ordenan en tres niveles: infracciones leves hasta 5.000 UTM (alrededor de $349 millones de pesos), graves hasta 10.000 UTM (alrededor de $699 millones) y gravísimas hasta 20.000 UTM (alrededor de $1.398 millones). Para empresas que no califican como pymes existe una regla adicional: en infracciones graves y gravísimas con reincidencia, la multa puede llegar al 2% o 4% de la facturación anual respectivamente, si ese monto supera la multa fija en UTM.
¿Qué diferencia hay entre la Ley 21.719 y la Ley 19.628?
La Ley 19.628, vigente desde 1999, regulaba la protección de la vida privada en un contexto anterior a la economía digital y carecía de un organismo fiscalizador con dientes. La Ley 21.719 la moderniza sustancialmente: incorpora estándares alineados con la normativa europea, crea la Agencia de Protección de Datos Personales, define un régimen de sanciones económicas significativas y establece obligaciones activas de gestión —registro de actividades de tratamiento, evaluaciones de impacto, notificación de brechas— que antes no existían.
¿Qué debe hacer mi empresa para cumplir la Ley 21.719?
El camino práctico tiene seis pasos: auditar qué datos personales se están tratando hoy y dónde viven; construir el Registro de Actividades de Tratamiento; actualizar las políticas de privacidad y los mecanismos de consentimiento; implementar medidas de seguridad técnicas y organizativas; capacitar al equipo que manipula datos; y evaluar si corresponde designar un Delegado de Protección de Datos. Cada uno de esos pasos está desarrollado más arriba en este artículo.
¿Toda empresa necesita un Delegado de Protección de Datos?
No. La designación de un Delegado de Protección de Datos es obligatoria cuando el tratamiento de datos es masivo, sistemático o involucra datos sensibles —salud, biometría, situación socioeconómica, entre otros. Muchas pymes no caen en esos supuestos, pero igualmente deben cumplir el resto de las obligaciones. La evaluación de si corresponde o no designarlo es en sí misma parte del trabajo de cumplimiento y conviene dejarla documentada.
¿Conviene adelantarse al plazo de diciembre de 2026?
Sí, por dos razones. La primera es operativa: una auditoría de datos y la construcción del registro de tratamiento toman meses en una empresa mediana, y hacerlo contra el reloj sale más caro y peor. La segunda es que la ley contempla que las organizaciones que adopten voluntariamente modelos certificados de prevención de infracciones pueden acceder a atenuantes en caso de sanción e inscribirse en el Registro Nacional de Cumplimiento. Adelantarse no solo evita multas: construye una posición defendible frente a la Agencia.
IA para Abogados
Descubre como la inteligencia artificial transforma estudios juridicos en Chile.