Chile tiene una nueva ley de protección de datos y el reloj está corriendo. Las empresas tienen hasta diciembre de 2026 para adecuarse. Si no empezaste todavía, esta guía te explica qué necesitas hacer y por dónde partir.
1. ¿Qué es la Ley 21.719?
La Ley 21.719 es la nueva Ley de Protección de Datos Personales de Chile. Reemplaza a la antigua Ley 19.628 de 1999, que había quedado obsoleta frente a la realidad digital actual. Fue publicada en el Diario Oficial en diciembre de 2024 y establece un plazo de 24 meses para que las empresas se adecúen, lo que significa que las obligaciones son plenamente exigibles en diciembre de 2026.
En términos de ambición regulatoria, la Ley 21.719 es el equivalente chileno al GDPR europeo. No es una copia exacta, pero adopta los mismos principios fundamentales: transparencia en el tratamiento de datos, derechos reforzados para los titulares, bases de legitimación explícitas y un organismo regulador con capacidad real de fiscalización y sanción.
2. ¿Qué cambió respecto a la Ley 19.628?
La diferencia entre ambas leyes es sustantiva. La Ley 19.628 era una norma con buenas intenciones pero sin dientes: obligaciones genéricas, sin fiscalizador con poder real y sanciones prácticamente inexistentes. La Ley 21.719 cambia eso de raíz.
3. ¿A quién aplica la Ley 21.719?
A toda persona natural o jurídica, pública o privada, que trate datos personales en Chile. No hay excepción por tamaño de empresa. Una PYME que maneja datos de clientes en una hoja de cálculo está sujeta a la misma ley que una multinacional con millones de registros.
Lo que sí varía según el tamaño y tipo de tratamiento son las obligaciones específicas. Las empresas que traten datos sensibles (salud, biométricos, origen étnico, orientación sexual, datos de menores) o que hagan tratamiento a gran escala tienen obligaciones adicionales: evaluaciones de impacto, Delegado de Protección de Datos y medidas técnicas reforzadas.
4. Los principales riesgos para empresas que no cumplan
El incumplimiento de la Ley 21.719 no es solo un riesgo regulatorio. Es también un riesgo reputacional, contractual y comercial. Las empresas que operen con clientes europeos o multinacionales ya están acostumbradas a recibir cuestionarios de cumplimiento en protección de datos como parte de los procesos de compra. Con la nueva ley, eso se vuelve un estándar local también.
- Multas de hasta 20.000 UTM (~$1.480 millones CLP) o el 4% de los ingresos anuales para infracciones gravísimas, con duplicación por reincidencia
- Prohibición de tratamiento de datos mientras dure la sanción — lo que puede paralizar operaciones completas
- Responsabilidad civil ante titulares que acrediten daño por mal tratamiento de sus datos
- Pérdida de contratos con clientes que exijan cumplimiento como condición de la relación comercial
- Daño reputacional en un mercado donde la privacidad es un diferenciador competitivo creciente
5. Cómo preparar tu empresa: la hoja de ruta
La preparación para la Ley 21.719 no es solo un proyecto legal. Es un proyecto que involucra tecnología, procesos y personas. Por eso en SilocyData trabajamos con un enfoque estructurado en cinco fases:
Mapeo de todos los flujos de datos personales: qué datos tratas, dónde están almacenados, quién tiene acceso, con qué base legal y a quién los transfieren. El resultado es un Registro de Actividades de Tratamiento (RAT).
Comparar el estado actual con los requisitos de la ley. Identificar qué tratamientos no tienen base legal, qué datos sensibles no están protegidos adecuadamente y qué derechos no se pueden atender hoy.
Priorización de brechas por riesgo y esfuerzo. Definición de responsables, plazos y presupuesto para cada medida.
Ejecución del plan: contratos con proveedores, políticas internas, canal de atención de derechos ARCOP, medidas técnicas de seguridad, evaluaciones de impacto donde corresponda.
El cumplimiento no es un proyecto único. La ley evoluciona, los sistemas cambian y el tratamiento de datos varía. Se necesita un proceso de revisión periódica y un responsable interno.
Si quieres entender en detalle cómo acompañamos este proceso, revisa nuestra página de servicio de cumplimiento Ley 21.719 o visita el centro de recursos sobre la ley que hemos preparado para empresas chilenas.
6. Lo que más se subestima: el inventario de datos
El mayor obstáculo que encontramos en las empresas no es la voluntad de cumplir — es que no saben qué datos tienen ni dónde están. Bases de datos en servidores locales que nadie documenta, hojas de cálculo con datos de clientes en OneDrive personal, proveedores de nube que tratan datos como subencargados sin contrato vigente.
El Registro de Actividades de Tratamiento (RAT) es el punto de partida obligatorio. Sin saber qué datos tratas, no puedes definir bases de legitimación, no puedes responder solicitudes ARCOP y no puedes evaluar riesgos. El RAT no es un documento burocrático — es la columna vertebral de todo el programa de cumplimiento.
7. La dimensión técnica: qué necesita cambiar en tu infraestructura
El cumplimiento de la Ley 21.719 tiene una dimensión técnica que muchos equipos legales pasan por alto hasta que intentan implementar los cambios y descubren que el sistema no lo soporta. Los requerimientos técnicos más frecuentes:
- Capacidad de localizar y exportar todos los datos de una persona en formato estructurado (portabilidad de datos)
- Capacidad de eliminar o anonimizar datos de forma completa y verificable (derecho de cancelación)
- Control de acceso basado en roles con registros de auditoría para datos personales
- Cifrado de datos personales en reposo y en tránsito, especialmente para datos sensibles
- Proceso de notificación de brechas de seguridad dentro del plazo legal (72 horas a la Agencia)
- Gestión de consentimientos con registro de cuándo, cómo y para qué fue otorgado
8. El Delegado de Protección de Datos (DPO)
La Ley 21.719 introduce la figura del Delegado de Protección de Datos (DPD o DPO, por su sigla en inglés). No todas las empresas están obligadas a designar uno, pero sí aquellas que traten datos sensibles a gran escala, que realicen tratamientos de alto riesgo o que sean organismos públicos.
El DPO actúa como enlace entre la empresa y la futura Agencia de Protección de Datos Personales. Sus funciones incluyen supervisar el cumplimiento interno, asesorar en evaluaciones de impacto y ser el punto de contacto para los titulares que ejerzan sus derechos ARCOP.
Aunque tu empresa no esté obligada, designar un responsable interno de protección de datos es una práctica recomendada que facilita todo el programa de cumplimiento y puede operar como atenuante ante sanciones. Si necesitas orientación sobre este rol, puedes revisar nuestra guía sobre el encargado de datos.
9. Transferencia internacional de datos
Si tu empresa usa servicios cloud como AWS, Google Cloud, Azure, Salesforce o cualquier SaaS con servidores fuera de Chile, estás realizando una transferencia internacional de datos personales. La Ley 21.719 regula esto explícitamente y exige que el país destinatario tenga un nivel adecuado de protección o que se implementen garantías contractuales (cláusulas tipo).
Este es un punto que muchas empresas pasan por alto hasta que descubren que la mitad de sus herramientas operan fuera del territorio nacional. Hemos preparado una guía específica sobre servicios cloud y la Ley 21.719 que detalla los requisitos para cada escenario.
10. El Modelo de Prevención de Infracciones (MPI)
El MPI es uno de los instrumentos más relevantes de la Ley 21.719 y el que menos empresas conocen. Es un sistema interno documentado que acredita que la organización adoptó medidas razonables para prevenir infracciones. Si tu empresa tiene un MPI implementado y se produce una infracción, el fiscalizador puede considerar su existencia como atenuante al calcular la sanción.
Un MPI robusto incluye al menos: un encargado de prevención designado formalmente, un programa de capacitación periódico para el personal que trata datos, un canal de denuncias interno, auditorías internas regulares y documentación de todas las medidas adoptadas.
En la práctica, el MPI es lo que convierte el cumplimiento de la ley de un evento puntual en un proceso continuo. Si quieres dimensionar cuánto le falta a tu empresa, puedes hacer nuestro diagnóstico gratuito de cumplimiento que evalúa las 8 áreas críticas incluyendo el MPI. Para conocer el detalle de las multas y sanciones de la Ley 21.719, tenemos una guía específica con los tres niveles de infracción.
¿Tu empresa trata datos sensibles?
Los datos de salud, biométricos, de origen étnico, opiniones políticas, convicciones religiosas y orientación sexual tienen requisitos de protección reforzados bajo la Ley 21.719. Si tu empresa opera en salud, RRHH, educación o fintech, es probable que trates datos sensibles sin saberlo.
Ver guía de datos sensibles →Preguntas frecuentes
¿Cuándo entra en vigencia la Ley 21.719?
La ley fue publicada en diciembre de 2024. El plazo de adecuación es de 24 meses, por lo que las obligaciones son plenamente exigibles en diciembre de 2026. Prepararse con anticipación es fundamental: los procesos internos y los sistemas no se adaptan de un día para otro.
¿Qué diferencia hay entre la Ley 21.719 y la Ley 19.628?
La Ley 19.628 de 1999 tenía obligaciones básicas y sin fiscalizador real. La Ley 21.719 crea la Agencia de Protección de Datos con poder sancionatorio, establece los derechos ARCOP, exige bases de legitimación explícitas y define multas de hasta 5.000 UTM para infracciones graves.
¿Todas las empresas deben cumplir la Ley 21.719?
Sí. Aplica a toda persona natural o jurídica que trate datos personales en Chile, sin importar el tamaño. Las obligaciones específicas varían según el tipo y volumen de tratamiento.
¿Cuánto tiempo toma prepararse?
Un diagnóstico inicial toma 2 a 4 semanas. La implementación completa, dependiendo de la complejidad, puede tomar entre 3 y 9 meses. Si estás leyendo esto en 2026, el tiempo disponible para diciembre es ajustado. Conviene empezar cuanto antes.
¿Cuáles son las multas de la Ley 21.719?
Las multas se gradúan en tres niveles: infracciones leves hasta 5.000 UTM (~$370M CLP), graves hasta 10.000 UTM (~$740M CLP) y gravísimas hasta 20.000 UTM (~$1.480M CLP) o el 4% de los ingresos anuales en Chile si ese monto resulta mayor. Las sanciones pueden duplicarse por reincidencia.
¿Qué es el Modelo de Prevención de Infracciones (MPI)?
El MPI es un sistema interno documentado que acredita que la empresa adoptó medidas razonables para prevenir infracciones. Incluye un encargado de prevención, canal de denuncias, capacitación y auditorías internas. Su implementación puede operar como atenuante ante el fiscalizador.
¿Qué son los derechos ARCOP?
ARCOP son los derechos de Acceso, Rectificación, Cancelación, Oposición y Portabilidad que la Ley 21.719 otorga a los titulares de datos personales. Las empresas deben tener canales habilitados para responder estas solicitudes en un plazo máximo de 30 días hábiles.
Profundiza en la Ley 21.719
¿Tu empresa está lista para diciembre 2026?
Hacemos un diagnóstico inicial en 2 semanas. Sabrás exactamente dónde estás y qué debes hacer.
Agenda una reunión →