A 92 días de que la Ley 21.719 de Protección de Datos Personales entre en plena vigencia —el 1 de diciembre de 2026—, la mayoría de las empresas chilenas que manejan datos de clientes o trabajadores todavía no ha iniciado su proceso de adecuación. La norma no es exclusiva de bancos o grandes tecnológicas: alcanza a prácticamente cualquier organización que trate datos personales, con multas que pueden llegar a los 20.000 UTM o el 4% de los ingresos anuales. Esta guía resume qué exige la ley, qué arriesga si no cumple y cómo partir a tiempo.
Restan para que la Ley 21.719 entre en plena vigencia el 1 de diciembre de 2026
Fuente: Ley 21.719, BCN/LeyChile (publicada 13-dic-2024)O el 4% de los ingresos anuales —lo que sea mayor— es la multa máxima por infracciones gravísimas
Fuente: Ley 21.719, régimen de sancionesCorridos tiene su empresa para responder cada solicitud de derechos ARCOP de un titular
Fuente: Ley 21.719, derechos de los titulares¿Qué es la Ley 21.719 y qué cambia realmente?
La Ley 21.719 de Protección de Datos Personales se publicó el 13 de diciembre de 2024 y reemplaza una normativa que llevaba más de dos décadas sin actualizarse. Establece un periodo de adecuación de 24 meses que termina el 1 de diciembre de 2026, fecha desde la cual la ley es plenamente exigible y fiscalizable. También crea una nueva entidad autónoma, la Agencia de Protección de Datos Personales, encargada de fiscalizar, instruir y sancionar a las empresas que no cumplan.
En simple: ya no basta con tener una política de privacidad genérica publicada en el sitio web. La empresa debe poder demostrar, documento en mano, qué datos personales recolecta, para qué los usa, dónde están almacenados y con qué base legal los está tratando. Es un cambio de enfoque hacia el cumplimiento demostrable, similar al que impuso el RGPD europeo en su momento.
¿A quién afecta? (spoiler: no es solo para la gran tecnología)
La ley aplica a toda empresa —pyme o gran corporación— que trate datos personales de clientes, proveedores o trabajadores: bases de CRM, nóminas de recursos humanos, sistemas de facturación, cámaras de videovigilancia, formularios de contacto del sitio web. Prácticamente ninguna empresa chilena queda fuera del alcance de la norma, independientemente de su tamaño o rubro.
En la práctica: si su empresa tiene una base de datos de clientes en un CRM, contratos de trabajadores en un sistema de RR.HH. o simplemente un formulario de contacto en su página web, ya está tratando datos personales bajo el alcance de la Ley 21.719 —y debe poder acreditar cómo los protege.
Las obligaciones concretas que exige la ley
Más allá de los principios generales, la Ley 21.719 exige acciones específicas y verificables. Estas son las cinco que todo equipo de TI, legal o compliance debe tener resueltas antes del 1 de diciembre de 2026:
Registro de Actividades de Tratamiento (RAT)
Inventario documentado de qué datos personales maneja su empresa, con qué finalidad y en qué sistemas están almacenados. Es el primer entregable que pedirá la Agencia ante cualquier fiscalización.
Base legal explícita para cada tratamiento
Cada uso de datos personales debe justificarse en consentimiento, contrato, obligación legal o interés legítimo. Sin una base legal identificada, el tratamiento es, por definición, irregular.
Derechos ARCOP resueltos en 30 días corridos
Acceso, Rectificación, Cancelación, Oposición y Portabilidad. Su empresa necesita un proceso —no solo buena voluntad— para recibir, gestionar y responder estas solicitudes dentro del plazo legal.
Delegado de Protección de Datos (DPO)
Obligatorio para organismos públicos y para empresas privadas que traten datos sensibles a gran escala o realicen tratamientos de alto riesgo. Para el resto, es una figura recomendable como responsable interno del cumplimiento.
Salvaguardas técnicas y notificación de brechas
Cifrado, control de accesos y capacidad de portabilidad de datos son exigencias técnicas de la ley. Ante una brecha de seguridad, la Agencia debe ser notificada "sin dilación indebida" —el estándar de buena práctica internacional recomienda hacerlo dentro de 72 horas—. Plataformas de prevención de fuga de datos (DLP) y de detección y respuesta en endpoints (EDR/XDR) son las herramientas técnicas más directas para cumplir este punto.
El costo real de no prepararse
Además de la multa económica, una infracción a la Ley 21.719 se traduce en daño reputacional, pérdida de confianza de clientes y —para infracciones gravísimas reincidentes— inscripción en el Registro Nacional de Sanciones, de carácter público. Así se gradúan las multas según la gravedad de la infracción:
| Nivel de infracción | Multa máxima | Riesgo asociado | Ejemplo típico |
|---|---|---|---|
| Leve | Hasta 5.000 UTM | Bajo | Registro de Actividades de Tratamiento incompleto o desactualizado |
| Grave | Hasta 10.000 UTM | Medio | No resolver una solicitud ARCOP dentro del plazo legal |
| Gravísima | Hasta 20.000 UTM o 4% de ingresos anuales | Alto | Brecha de seguridad no notificada, o tratamiento de datos sensibles sin base legal |
| Reincidencia | Agrava la sanción | Alto | Registro Nacional de Sanciones (público) y, en casos graves, medidas adicionales de la Agencia |
Se aplica el monto que resulte mayor entre el tope en UTM y el porcentaje de ingresos anuales, cuando corresponda. Cifras según el texto de la Ley 21.719 (ver fuentes consultadas al final de este artículo).
Cómo empezar: la ruta de preparación en 5 fases
No hace falta resolver todo de una vez. Una adecuación ordenada y por etapas permite priorizar los riesgos más urgentes sin paralizar la operación del negocio.
Diagnóstico
Mapeo inicial de qué datos personales maneja la empresa, en qué sistemas están y quién tiene acceso a ellos. Es la base de todo el proceso.
Análisis de brechas
Comparación del estado actual contra las exigencias de la Ley 21.719, para identificar con precisión qué falta y cuánto riesgo representa cada brecha.
Plan de remediación
Priorización de acciones según riesgo e impacto, con responsables y plazos definidos —evitando el error común de intentar arreglarlo todo al mismo tiempo.
Implementación
Ejecución de los controles técnicos y de proceso: desde el Registro de Actividades de Tratamiento hasta salvaguardas como protección de endpoints y control de fuga de datos (DLP).
Monitoreo continuo
El cumplimiento no es un proyecto que termina: requiere auditorías periódicas, actualización del registro y capacidad de respuesta ante nuevas brechas o cambios en los sistemas.
Preguntas frecuentes
Las dudas más comunes de equipos de TI y compliance en Chile sobre la Ley 21.719.
Fuentes consultadas
- Biblioteca del Congreso Nacional — Texto oficial de la Ley 21.719 Legislación Chile
- Gobierno de Chile — Aprobación de la Ley de Protección de Datos Personales Fuente oficial
- Secretaría de Gobierno Digital — Guía práctica de implementación de la Ley 21.719 Fuente oficial
- Ley 21.663 — Ley Marco de Ciberseguridad e Infraestructura Crítica de la Información Legislación Chile
- ANCI — Agencia Nacional de Ciberseguridad de Chile Regulatorio Chile
Aviso legal: Este artículo tiene carácter informativo y divulgativo, y no constituye asesoría legal en materia de cumplimiento normativo. La interpretación y aplicación de la Ley 21.719 y de la Ley 21.663 a un caso concreto debe ser evaluada por un asesor legal calificado. Las cifras y plazos citados corresponden al texto legal vigente y a fuentes oficiales indicadas en la sección "Fuentes consultadas", y pueden estar sujetas a reglamentos e instrucciones complementarias de la Agencia de Protección de Datos Personales.
SentinelOne®, Kaspersky® y Safetica® son marcas registradas de sus respectivos titulares. Nbitek es distribuidor y partner autorizado de estas soluciones en Chile. Las referencias a estos productos en este artículo son ilustrativas de controles técnicos habituales para el cumplimiento normativo, y no implican que sean la única alternativa disponible en el mercado.
Continúe leyendo
Más recursos de ciberseguridad y cumplimiento normativo para empresas en Chile.
