La Ley 21.719 cambia de manera importante la forma en que las empresas chilenas deben recolectar, utilizar, compartir, conservar y proteger los datos personales. No se trata solamente de actualizar una política de privacidad: exige poder demostrar que los procesos, proveedores y sistemas respetan los derechos de las personas.
La ley fue publicada el 13 de diciembre de 2024 y sus principales modificaciones entran en vigor el 1 de diciembre de 2026. Ese plazo permite prepararse, pero dejar inventarios, contratos, seguridad y procedimientos para el final puede convertir el cumplimiento en un proyecto urgente y costoso.
Este artículo entrega información general y una guía de implementación técnica. No reemplaza la revisión jurídica de cada empresa, industria o tratamiento de datos.
¿Qué cambia con la Ley 21.719?
La reforma moderniza la Ley 19.628, reconoce nuevos derechos y crea la Agencia de Protección de Datos Personales como autoridad fiscalizadora. Entre los cambios más relevantes para una empresa están:
- Mayores exigencias sobre la licitud y finalidad del tratamiento.
- Derechos de acceso, rectificación, supresión, oposición, portabilidad y bloqueo temporal.
- Deberes de información, confidencialidad y seguridad.
- Protección de datos desde el diseño y por defecto.
- Reglas para encargados, cesiones y transferencias internacionales.
- Obligación de gestionar y reportar determinadas vulneraciones de seguridad.
- Fiscalización, registro de sanciones y multas considerablemente mayores.
¿A quién se aplica?
En términos generales, alcanza a personas naturales y jurídicas, públicas o privadas, que traten datos personales. Para una empresa, eso incluye actividades tan habituales como formularios web, fichas de clientes, CRM, campañas comerciales, grabaciones, currículums, remuneraciones, soporte, cámaras, bases de proveedores o analítica asociada a personas identificadas o identificables.
También contempla operaciones realizadas desde fuera de Chile cuando estén dirigidas a ofrecer bienes o servicios a personas ubicadas en el país o a monitorear su comportamiento. Por eso es importante revisar servicios de nube, plataformas de marketing, agentes de inteligencia artificial y proveedores que almacenan información en otros territorios.
Multas por incumplimiento
La ley clasifica las infracciones de responsables privados en leves, graves y gravísimas. Los máximos establecidos son:
- Infracciones leves: amonestación escrita o multa de hasta 5.000 UTM.
- Infracciones graves: multa de hasta 10.000 UTM.
- Infracciones gravísimas: multa de hasta 20.000 UTM.
Si las medidas ordenadas para subsanar la infracción no se adoptan dentro del plazo fijado, que no puede superar sesenta días, la multa puede recibir un recargo de 50%. En caso de reincidencia, la Agencia puede aplicar hasta tres veces el monto asignado a la infracción.
Para empresas que no sean de menor tamaño y reincidan en infracciones graves o gravísimas, la sanción puede llegar a la alternativa más gravosa entre ese triple o hasta el 2% o 4% de los ingresos anuales, respectivamente. La reincidencia supone haber sido sancionado en dos o más ocasiones durante los últimos treinta meses mediante resoluciones firmes.
Existe una regla transitoria para empresas de menor tamaño: durante los primeros doce meses desde la entrada en vigor, la Agencia podrá aplicar una amonestación escrita cuando corresponda una sanción. No es una inmunidad automática ni elimina la obligación de cumplir.
Incumplimientos frecuentes que conviene corregir
1. No saber qué datos tiene la empresa
Si la información está repartida entre correos, planillas, CRM, WhatsApp y sistemas de proveedores, es difícil responder solicitudes, controlar accesos o eliminar datos cuando corresponde.
2. Recolectar información sin una finalidad clara
Pedir datos “por si acaso”, reutilizarlos para una finalidad diferente o conservarlos indefinidamente aumenta el riesgo. Cada dato debería tener una finalidad, una base de licitud y un plazo de conservación justificable.
3. Usar consentimientos genéricos
Una casilla poco clara no arregla todos los tratamientos. La empresa debe identificar cuándo necesita consentimiento y cuándo existe otra base legal, manteniendo evidencia de la decisión.
4. No controlar proveedores
Una filtración en un CRM, una plataforma de mailing o un servicio externo puede afectar directamente a la organización responsable. Los contratos, accesos, transferencias y medidas de seguridad deben revisarse.
5. No tener un canal para ejercer derechos
La empresa necesita recibir, verificar, derivar y responder solicitudes de titulares dentro de un procedimiento trazable, sin depender de que una sola persona recuerde cómo hacerlo.
6. Improvisar frente a incidentes
La ley exige reportar a la Agencia, sin dilaciones indebidas, las vulneraciones que representen un riesgo razonable para los derechos y libertades. Además, en ciertos casos que involucren datos sensibles, menores de catorce años o información económica, financiera, bancaria o comercial, también corresponde comunicar a los titulares afectados.
Plan práctico de cumplimiento
- Crear un inventario de datos: identificar qué se recolecta, de quién, desde dónde, para qué, quién accede, dónde se almacena, con quién se comparte y cuándo se elimina.
- Definir responsabilidades: asignar una persona líder y formar un equipo que incluya administración, tecnología, operaciones y asesoría jurídica.
- Revisar bases de licitud: documentar el fundamento de cada tratamiento y corregir consentimientos o finalidades ambiguas.
- Actualizar información y canales: preparar avisos claros, políticas y un flujo para acceso, rectificación, supresión, oposición, portabilidad y bloqueo.
- Aplicar minimización y retención: dejar de solicitar datos innecesarios y definir plazos de conservación y eliminación.
- Evaluar proveedores: revisar contratos, subencargados, ubicaciones de almacenamiento, transferencias internacionales y devolución o eliminación al terminar el servicio.
- Fortalecer seguridad: implementar control de accesos, autenticación robusta, cifrado cuando corresponda, respaldos, registros, actualizaciones y pruebas periódicas.
- Preparar respuesta a incidentes: definir responsables, criterios de escalamiento, registro de evidencias, evaluación de riesgo y comunicaciones.
- Conservar evidencia: registrar decisiones, capacitaciones, revisiones y medidas adoptadas. Cumplir también significa poder demostrarlo.
Lista rápida para evaluar tu situación
- ¿Existe un inventario actualizado de datos y sistemas?
- ¿Cada tratamiento tiene finalidad y base de licitud documentadas?
- ¿Los formularios solicitan sólo los datos necesarios?
- ¿Hay plazos reales de retención y eliminación?
- ¿Los contratos regulan a proveedores que acceden a datos?
- ¿La empresa puede atender derechos de titulares de principio a fin?
- ¿Los accesos se revocan cuando una persona cambia de función o sale?
- ¿Existe un procedimiento probado para incidentes y filtraciones?
- ¿Se puede acreditar capacitación y revisión periódica?
Cómo puede ayudar la tecnología
La adecuación legal necesita criterio jurídico, pero gran parte de su ejecución es operativa y tecnológica. Es posible centralizar el inventario, automatizar solicitudes, controlar permisos, registrar consentimientos, establecer alertas de retención y mantener evidencia de cada acción.
En GaosDev podemos apoyar la capa técnica: diagnóstico de formularios y sistemas, mapa de flujos de datos, controles de acceso, automatizaciones, integración de canales y preparación de registros operativos. Las bases jurídicas, cláusulas y decisiones regulatorias deben ser validadas por un profesional legal que conozca el contexto de la empresa.
Fuentes oficiales
Última revisión: 4 de agosto de 2026. Antes de tomar decisiones, verifica el texto vigente, sus reglamentos y las instrucciones de la autoridad competente.