Qué es la Ley 21.719
La Ley 21.719 regula la protección y el tratamiento de los datos personales y crea la Agencia de Protección de Datos Personales. Fue publicada en el Diario Oficial el 13 de diciembre de 2024 y establece un marco completamente nuevo para cualquier organización que recolecte, almacene, use, comunique o elimine información sobre personas naturales.
Hasta ahora, la materia se regía por la Ley 19.628 sobre protección de la vida privada, de 1999: un texto con obligaciones difusas, sanciones bajas y sin un órgano fiscalizador especializado. La nueva ley cambia ese escenario por completo, con principios rectores, derechos reforzados para las personas, obligaciones documentales exigibles y multas que pueden alcanzar un porcentaje de los ingresos de la empresa.
Su estructura sigue de cerca al Reglamento General de Protección de Datos (RGPD) europeo, lo que facilita el flujo internacional de datos y, en la práctica, significa que las organizaciones ya adecuadas al estándar europeo tienen buena parte del camino recorrido.
Entrada en vigencia: 1 de diciembre de 2026
La ley contempló un período de veinticuatro meses entre su publicación y su plena aplicación, precisamente para que las organizaciones y el Estado pudieran prepararse. Ese plazo vence el 1 de diciembre de 2026.
Desde esa fecha, la Agencia de Protección de Datos Personales puede recibir reclamos, fiscalizar, iniciar procedimientos sancionatorios y aplicar multas. No existe un período de gracia adicional para las empresas privadas.
Fechas clave. Publicación en el Diario Oficial: 13 de diciembre de 2024. Entrada en vigencia: 1 de diciembre de 2026. Días restantes al día de hoy: 105.
A quién le aplica
A toda persona natural o jurídica, pública o privada, que trate datos personales de personas que se encuentren en Chile. No hay umbral de tamaño: aplica igual a una multinacional que a una pyme, a una clínica, a un colegio, a una junta de vecinos o a un emprendimiento que administra una base de clientes en una planilla.
También alcanza a responsables establecidos fuera del país cuando ofrecen bienes o servicios a personas en Chile o monitorean su comportamiento, lo que obliga a revisar los proveedores tecnológicos extranjeros y las transferencias internacionales de datos.
Si su organización hace alguna de estas cosas, la ley le aplica:
- Mantiene una base de datos de clientes, pacientes, alumnos, socios o usuarios.
- Administra remuneraciones, contratos o fichas de trabajadores y postulantes.
- Usa cámaras de seguridad, control de acceso biométrico o registro de asistencia.
- Realiza marketing directo, envía newsletters o segmenta audiencias.
- Contrata servicios en la nube, CRM, ERP o software de facturación.
- Evalúa riesgo crediticio o comercial de personas naturales.
Datos personales y roles de la ley
Un dato personal es cualquier información vinculada o referida a una persona natural identificada o identificable. No se limita al nombre y el RUT: incluye el correo electrónico, la dirección IP, la geolocalización, el historial de compras, las grabaciones de voz y las imágenes de videovigilancia. El tratamiento, por su parte, abarca cualquier operación sobre esos datos, desde recolectarlos hasta eliminarlos.
Titular
La persona natural a quien se refieren los datos. Es quien ejerce los derechos.
Responsable
Quien decide las finalidades y los medios del tratamiento. Sobre él recae el grueso de las obligaciones.
Encargado
Quien trata datos por cuenta del responsable, como un proveedor de nube, de nóminas o de marketing.
Identificar correctamente el rol que cumple su organización en cada flujo de datos es el primer paso de cualquier auditoría: define qué obligaciones asume y qué cláusulas debe exigir a sus proveedores.
Qué son los datos personales sensibles
Los datos sensibles reciben el trato más estricto de la ley: por regla general requieren consentimiento expreso del titular y medidas de seguridad reforzadas. Son aquellos que se refieren a características físicas o morales de las personas, o a hechos o circunstancias de su vida privada o intimidad, y que revelan:
Particularidad chilena. A diferencia del RGPD europeo, la Ley 21.719 incorpora la situación socioeconómica dentro de los datos sensibles. Esto impacta directamente a retail, banca, cobranza, seguros, educación y salud, que deberán revisar sus segmentaciones, scorings y campañas. La ley contempla reglas específicas para el tratamiento de datos relativos a obligaciones económicas, financieras, bancarias o comerciales.
La ley también establece un régimen especial para los datos personales de niñas, niños y adolescentes y para los datos biométricos, de amplio uso en control de acceso y asistencia laboral.
Los principios que rigen el tratamiento
Toda decisión sobre datos personales debe poder justificarse a la luz de estos principios. La Agencia los usará como criterio de interpretación al fiscalizar.
- Licitud y lealtad
- El tratamiento debe apoyarse en el consentimiento del titular o en otra causal legal, y no puede realizarse por medios engañosos o fraudulentos.
- Finalidad
- Los datos se recogen para fines específicos, explícitos y lícitos, y no pueden usarse después para propósitos incompatibles con aquellos.
- Proporcionalidad
- Solo pueden tratarse los datos necesarios para la finalidad declarada, y conservarse mientras esa finalidad subsista.
- Calidad
- Los datos deben ser exactos, completos y actuales; el responsable debe corregirlos o eliminarlos cuando no lo sean.
- Responsabilidad
- El responsable debe poder demostrar el cumplimiento, no solo afirmarlo. De ahí la exigencia de documentar y registrar.
- Seguridad
- Deben adoptarse medidas técnicas y organizativas adecuadas al riesgo para proteger los datos frente a accesos no autorizados, pérdida o divulgación.
- Transparencia e información
- El titular debe poder conocer de forma clara y accesible quién trata sus datos, con qué fines y cómo ejercer sus derechos.
- Confidencialidad
- Quien trata datos personales debe guardar reserva sobre ellos, obligación que subsiste incluso después de terminada la relación.
Los derechos de los titulares (ARCOP)
Cualquier persona podrá exigir a su organización el ejercicio de estos derechos, que son gratuitos e irrenunciables. Su empresa necesita un canal habilitado y un procedimiento interno documentado para responderlos.
Acceso
Saber qué datos suyos se tratan, con qué finalidad, por cuánto tiempo y a quién se comunican.
Rectificación
Corregir datos inexactos, desactualizados o incompletos.
Cancelación o supresión
Eliminar los datos cuando ya no son necesarios, se retira el consentimiento o el tratamiento es ilícito.
Oposición
Impedir tratamientos determinados, en especial la publicidad y el marketing directo.
Portabilidad
Recibir los datos en formato estructurado y de uso común, o pedir su transferencia a otro proveedor.
Bloqueo y decisiones automatizadas
Suspender temporalmente el uso de los datos y oponerse a decisiones basadas únicamente en tratamiento automatizado que produzcan efectos jurídicos o significativos.
Plazo de respuesta. El plazo general es de 30 días corridos desde la solicitud, prorrogable por una sola vez hasta por 30 días corridos adicionales cuando existan razones fundadas. El bloqueo temporal se resuelve en un plazo notablemente más breve. Si no responde o rechaza sin fundamento, el titular puede reclamar directamente ante la Agencia.
Obligaciones concretas para las empresas
Estas son las tareas que, en la práctica, deben quedar hechas y documentadas antes del 1 de diciembre de 2026:
-
1
Determinar la base de licitud de cada tratamiento
Consentimiento u otra causal legal. Cuando se usa consentimiento, este debe ser libre, informado, específico e inequívoco, otorgado por un acto afirmativo, y debe poder revocarse con la misma facilidad con que se prestó.
-
2
Mantener un registro de actividades de tratamiento
Un inventario vivo que documente finalidades, categorías de datos y titulares, destinatarios, transferencias internacionales, plazos de conservación y medidas de seguridad.
-
3
Informar de forma clara y accesible
Políticas de privacidad comprensibles, avisos en los puntos de recolección y canales visibles para ejercer derechos.
-
4
Regular la relación con encargados y proveedores
Contratos que fijen finalidad, instrucciones, confidencialidad, condiciones de subcontratación, medidas de seguridad y destino de los datos al término del servicio.
-
5
Adoptar medidas de seguridad proporcionales al riesgo
Control de accesos, cifrado, respaldos, registro de actividad, gestión de vulnerabilidades y separación de ambientes, con especial rigor cuando hay datos sensibles.
-
6
Evaluar el impacto de los tratamientos de alto riesgo
Análisis previo cuando se traten datos sensibles a gran escala, se realice monitoreo sistemático o se usen tecnologías con impacto significativo en los derechos de las personas.
-
7
Gestionar y notificar las brechas de seguridad
Procedimiento de detección, contención, evaluación, notificación y registro de incidentes.
-
8
Capacitar al personal
Todo quien accede a datos personales debe conocer sus deberes. La formación documentada es evidencia de diligencia ante la Agencia.
Transferencias internacionales: qué cuenta como enviar datos fuera de Chile
Es el punto que más se responde mal. Muchas organizaciones creen que no transfieren datos al extranjero porque nunca han exportado una base de datos. Pero existe transferencia internacional cada vez que un dato personal queda almacenado o es procesado en servidores de otro país, aunque nadie lo haya hecho de forma deliberada y aunque el dato no salga de una pantalla.
El caso más ilustrativo es el de un video de YouTube incrustado en un sitio web: cuando un visitante abre esa página, su dirección IP y sus datos de navegación viajan a servidores del proveedor en el extranjero, incluso si nunca aprieta “reproducir”. Lo mismo ocurre con una tipografía cargada desde Google Fonts o con un mapa incrustado en la página de contacto.
En su sitio web, sin que usted haga nada
- Videos de YouTube o Vimeo incrustados en cualquier página.
- Google Analytics, Meta Pixel, TikTok Pixel u otras herramientas de medición y remarketing.
- Tipografías y librerías cargadas desde Google Fonts u otros CDN.
- Mapas de Google Maps incrustados.
- Botones de redes sociales, chats en línea y chatbots de terceros.
- reCAPTCHA de Google en los formularios.
En su operación diaria
- Correo corporativo en Gmail, Google Workspace o Microsoft 365.
- Archivos en Drive, OneDrive, SharePoint o Dropbox.
- Videollamadas y grabaciones en Zoom, Meet o Teams.
- Campañas y newsletters con Mailchimp, Brevo o HubSpot.
- CRM, ERP o software de gestión contratado como servicio en la nube.
- Respaldos automáticos hacia servicios extranjeros.
En su infraestructura y su grupo empresarial
- Sitio web o servidores alojados fuera de Chile (AWS, Azure, Google Cloud, Hostinger, GoDaddy y similares).
- Casa matriz, filiales o socios en el extranjero con acceso a las bases.
- Soporte técnico, contabilidad o call center operados desde otro país.
Transferir no está prohibido. La Ley 21.719 permite las transferencias internacionales, pero exige resguardos: que el país o el proveedor de destino ofrezca un nivel adecuado de protección, o bien que existan cláusulas contractuales u otras garantías que lo aseguren. Además, el titular debe estar informado de que sus datos salen del país. Lo sancionable no es transferir, sino hacerlo sin resguardos ni transparencia.
En la práctica, el primer paso es levantar el registro de transferencias internacionales: qué datos salen, hacia qué proveedor, a qué país, con qué finalidad y bajo qué resguardo contractual. Es una de las primeras cosas que revisamos en nuestras auditorías, y también una de las brechas que la autoridad puede detectar sin necesidad de fiscalizar en terreno: basta con abrir el sitio web y observar qué recursos externos carga.
Brechas de seguridad: qué hacer
Una brecha es cualquier vulneración de seguridad que ocasione la destrucción, pérdida, alteración, divulgación o acceso no autorizado a datos personales, sea accidental o ilícita. Incluye desde un ataque de ransomware hasta un correo enviado con la lista de destinatarios visible o un respaldo extraviado.
El responsable debe notificar a la Agencia por los medios más expeditos y sin dilación indebida; el estándar de referencia son 72 horas desde que toma conocimiento del incidente. Cuando la brecha afecta datos sensibles o supone un alto riesgo para los derechos de los titulares, debe además comunicarse a las personas afectadas, en lenguaje claro y describiendo las medidas adoptadas.
Todos los incidentes —se notifiquen o no— deben quedar en un registro interno con la descripción del hecho, sus efectos y las medidas correctivas. Ese registro es lo primero que la autoridad solicitará en una fiscalización.
El Delegado de Protección de Datos (DPO)
El Delegado de Protección de Datos es la persona encargada de supervisar el cumplimiento dentro de la organización, asesorar a la administración y actuar como punto de contacto con la Agencia y con los titulares. Debe contar con autonomía funcional, recursos suficientes y acceso directo al nivel más alto de dirección.
En Chile su designación es obligatoria para los organismos públicos y para quien adopte un Modelo de Prevención de Infracciones. Para el resto de las organizaciones es voluntaria, pero es la práctica recomendada —y en los hechos casi inevitable— cuando la actividad principal implica tratar datos sensibles a gran escala o monitorear sistemáticamente a los titulares.
Nuestro servicio
DPO externo
Asumimos la función de Delegado de Protección de Datos como un servicio continuo, con independencia respecto de las áreas operativas, informes periódicos a la administración y respaldo jurídico de CMOV Abogados. Es la alternativa habitual para organizaciones que no justifican un cargo interno dedicado.
Conocer el servicio de DPO externoEl Modelo de Prevención de Infracciones
La ley permite a las organizaciones adoptar voluntariamente un Modelo de Prevención de Infracciones: un programa de cumplimiento que puede certificarse y que, ante un procedimiento sancionatorio, opera como circunstancia atenuante. Es el equivalente, en materia de datos, a los modelos de prevención de delitos ya conocidos en el mundo del compliance.
Sus elementos mínimos incluyen:
- Designación de un Delegado de Protección de Datos
- Registro de actividades de tratamiento
- Matriz de identificación y evaluación de riesgos
- Protocolos y procedimientos documentados
- Canales internos de reporte
- Régimen sancionatorio interno
- Cláusulas contractuales con terceros
- Plan de capacitación permanente
Multas y sanciones
La ley clasifica las infracciones en tres categorías, con multas expresadas en Unidades Tributarias Mensuales (UTM), cuyo valor se reajusta mes a mes:
| Gravedad | Multa máxima | Ejemplos típicos |
|---|---|---|
| Leve | 5.000 UTM | Omisiones formales de información y transparencia. |
| Grave | 10.000 UTM | Tratar datos sin base de licitud, impedir el ejercicio de derechos, no adoptar medidas de seguridad. |
| Gravísima | 20.000 UTM | Tratamiento ilícito de datos sensibles, transferencias internacionales sin resguardos, entrega de información falsa a la Agencia. |
Reincidencia. Si se reincide en infracciones graves o gravísimas dentro del plazo legal, la multa puede alcanzar el 2% o el 4% de los ingresos anuales por ventas y servicios del infractor en Chile durante el último año. La Agencia puede además ordenar la suspensión de las operaciones de tratamiento y mantiene un Registro Nacional de Sanciones y Cumplimiento de acceso público, con el consiguiente efecto reputacional.
La Agencia de Protección de Datos Personales
La ley crea la Agencia de Protección de Datos Personales, un organismo autónomo con personalidad jurídica y patrimonio propio, encargado de velar por el cumplimiento de la normativa.
Entre sus facultades están:
- Fiscalizar el cumplimiento de la ley y requerir información a los responsables.
- Conocer y resolver los reclamos de los titulares de datos.
- Aplicar sanciones y ordenar medidas correctivas.
- Dictar instrucciones y normativa técnica de carácter general.
- Llevar el Registro Nacional de Sanciones y Cumplimiento.
- Certificar modelos de prevención de infracciones y programas de cumplimiento.
Cómo prepararse: checklist
Este es el recorrido que seguimos en nuestras auditorías. Puede usarlo como autodiagnóstico inicial: si no puede responder afirmativamente a la mayoría, conviene comenzar el trabajo cuanto antes.
- 1. ¿Sabe exactamente qué datos personales trata su organización y dónde están almacenados?
- 2. ¿Identificó cuáles de esos datos son sensibles según la definición de la ley chilena?
- 3. ¿Puede justificar la base de licitud de cada tratamiento?
- 4. ¿Tiene un registro de actividades de tratamiento actualizado?
- 5. ¿Sus políticas de privacidad y avisos informan lo que la ley exige, en lenguaje claro?
- 6. ¿Sus contratos con proveedores regulan el tratamiento de datos por cuenta suya?
- 7. ¿Tiene un canal y un procedimiento para responder solicitudes de titulares en 30 días?
- 8. ¿Cuenta con un plan de respuesta y notificación de brechas de seguridad?
- 9. ¿Su personal está capacitado y quedó registro de esa capacitación?
- 10. ¿Definió quién asume la función de Delegado de Protección de Datos?
Preguntas frecuentes sobre la Ley 21.719
¿Qué es la Ley 21.719?
Es la ley chilena que regula la protección y el tratamiento de los datos personales y crea la Agencia de Protección de Datos Personales. Fue publicada en el Diario Oficial el 13 de diciembre de 2024 y sustituye el régimen de la Ley 19.628, alineando a Chile con estándares internacionales como el Reglamento General de Protección de Datos europeo.
¿Cuándo entra en vigencia la Ley 21.719 en Chile?
La ley entra plenamente en vigencia el 1 de diciembre de 2026. Desde esa fecha la Agencia de Protección de Datos Personales puede fiscalizar, iniciar procedimientos sancionatorios y aplicar multas.
¿A quién se aplica la nueva ley de protección de datos?
A toda persona natural o jurídica, pública o privada, que trate datos personales de personas que se encuentren en Chile, cualquiera sea su tamaño, rubro o volumen de datos. También alcanza a responsables establecidos fuera de Chile cuando ofrecen bienes o servicios a personas en el país o monitorean su comportamiento.
¿Qué se considera un dato personal sensible en Chile?
Los datos que revelan origen étnico o racial, afiliación política, sindical o gremial, situación socioeconómica, convicciones ideológicas o filosóficas, creencias religiosas, datos relativos a la salud, al perfil biológico humano, datos biométricos, y la información sobre la vida sexual, la orientación sexual y la identidad de género. La inclusión de la situación socioeconómica es una particularidad de la legislación chilena.
¿Es obligatorio designar un Delegado de Protección de Datos (DPO)?
La designación es obligatoria para los organismos públicos y para quien adopte voluntariamente un Modelo de Prevención de Infracciones. Para el resto de las organizaciones es voluntaria, aunque resulta altamente recomendable cuando la actividad principal implica tratar datos sensibles a gran escala o monitorear sistemáticamente a los titulares.
¿Cuáles son las multas de la Ley 21.719?
Las infracciones leves se sancionan con multa de hasta 5.000 UTM, las graves con hasta 10.000 UTM y las gravísimas con hasta 20.000 UTM. Si hay reincidencia en infracciones graves o gravísimas, la multa puede alcanzar el 2% o el 4% de los ingresos anuales por ventas y servicios del infractor en Chile. Además, se puede ordenar la suspensión de las operaciones de tratamiento.
¿Qué es el Modelo de Prevención de Infracciones?
Es un programa de cumplimiento voluntario que la organización puede adoptar y certificar. Contempla, entre otros elementos, la designación de un Delegado de Protección de Datos, el registro de actividades de tratamiento, una matriz de riesgos, protocolos, canales de reporte, un régimen sancionatorio interno y capacitación. Su certificación opera como circunstancia atenuante ante la Agencia.
¿Tener videos de YouTube en mi sitio web es una transferencia internacional de datos?
Sí. Al incrustar un video de YouTube o Vimeo, la dirección IP y los datos de navegación del visitante se envían a servidores del proveedor en el extranjero apenas se carga la página, incluso si no reproduce el video. Lo mismo ocurre con Google Analytics, Google Fonts, mapas incrustados, reCAPTCHA, píxeles publicitarios y chats de terceros. No está prohibido, pero debe informarse al titular y contar con los resguardos que exige la ley.
¿Usar Google Workspace o Microsoft 365 implica enviar datos fuera de Chile?
En general sí. El correo, los archivos en Drive, OneDrive o SharePoint, y las grabaciones de videollamadas se almacenan y procesan en centros de datos que suelen estar fuera del país. Es una transferencia internacional que debe quedar registrada, informada y respaldada contractualmente. Es también uno de los errores más frecuentes: muchas organizaciones declaran que no transfieren datos al extranjero mientras operan íntegramente sobre estas plataformas.
¿Qué debo hacer si sufro una brecha de seguridad de datos personales?
Debe notificar la vulneración a la Agencia de Protección de Datos Personales por los medios más expeditos y sin dilación indebida; el estándar de referencia son 72 horas desde que se toma conocimiento. Cuando la brecha afecta datos sensibles o supone un alto riesgo para los derechos de los titulares, también debe comunicarse a las personas afectadas. Todos los incidentes deben quedar registrados.
¿En cuánto tiempo debo responder una solicitud de un titular?
El plazo general es de 30 días corridos desde la solicitud, prorrogable por una sola vez y por hasta 30 días corridos adicionales en casos justificados. El bloqueo temporal de los datos tiene un plazo más breve. Si no responde o rechaza sin fundamento, el titular puede reclamar ante la Agencia.
¿Qué pasa con la Ley 19.628?
La Ley 21.719 modifica sustancialmente el régimen de la Ley 19.628 sobre protección de la vida privada, que regía desde 1999 con sanciones bajas y sin un órgano fiscalizador especializado. El nuevo marco incorpora principios, derechos reforzados, obligaciones documentales y un régimen sancionatorio efectivo.
¿Cuánto demora adecuar una empresa a la Ley 21.719?
Depende del volumen y la sensibilidad de los datos tratados y de la madurez de los sistemas. Una organización mediana suele requerir entre tres y seis meses desde el diagnóstico hasta dejar operativos las políticas, el registro de actividades de tratamiento, los contratos con proveedores y los procedimientos de respuesta. Por eso conviene iniciar el proceso con anticipación al 1 de diciembre de 2026.
Aviso. Este contenido tiene fines informativos y divulgativos. No constituye asesoría legal ni sustituye el análisis del caso concreto. Los servicios de representación y patrocinio jurídico son prestados por CMOV Abogados, estudio con el que Ingeniería AyB mantiene una alianza estratégica. Última actualización: agosto de 2026.