Qué es la Ley 21.719

Es el nuevo marco chileno de protección de datos personales. Fue publicada el 13 de diciembre de 2024 y entra en vigencia el 1 de diciembre de 2026, reemplazando a la Ley 19.628, vigente desde 1999.

El cambio de fondo es que Chile pasa de un régimen sin fiscalizador real a uno con una autoridad dedicada, con facultades para investigar de oficio y sancionar.

Qué cambia en concreto

  • Nace la Agencia de Protección de Datos Personales, con potestad para investigar, multar y ordenar la suspensión de un tratamiento de datos.
  • El consentimiento debe ser libre, informado y específico. Las casillas premarcadas y los "acepto todo" genéricos dejan de servir.
  • Derechos reforzados para las personas: acceso, rectificación, cancelación, oposición, portabilidad y bloqueo.
  • Notificación de brechas de seguridad a la Agencia, en un plazo del orden de 72 horas desde que se toma conocimiento.
  • Delegado de Protección de Datos cuando la magnitud o sensibilidad del tratamiento lo amerite.
  • Multas de hasta 20.000 UTM, que en caso de reincidencia pueden escalar a un porcentaje de los ingresos anuales.

"Esto es para empresas grandes" — no

La ley aplica a toda organización que trate datos personales, sin importar su tamaño. Y "datos personales" abarca mucho más de lo que la mayoría supone:

  • La planilla de contactos de clientes con nombre, correo y teléfono.
  • Las fichas de trabajadores, incluidos datos previsionales y de salud.
  • La base de datos de tu sistema de facturación.
  • Los currículums que te llegaron por una postulación.
  • El formulario de contacto de tu sitio web.

Se ha informado que las empresas de menor tamaño tendrían un tratamiento diferenciado frente a las primeras infracciones, con amonestación en lugar de multa. Conviene tomar ese punto con cautela: el detalle dependerá de los criterios que fije la Agencia, y planificar suponiendo que no habrá margen es la postura prudente.

Por dónde partir: seis pasos

  1. Haz un inventario. Qué datos personales tienes, dónde están, quién accede y por qué. Cuesta menos de lo que parece y casi siempre aparecen bases de datos que nadie recordaba.
  2. Depura lo que no necesitas. El dato que no guardas es el dato que no tienes que proteger, ni justificar, ni notificar si hay una brecha.
  3. Revisa cómo pides consentimiento. Cada formulario debe explicar para qué se usarán los datos y ofrecer una aceptación explícita, no premarcada.
  4. Publica una política de privacidad real. Que diga qué recolectas, con quién lo compartes, cuánto tiempo lo conservas y cómo ejercer derechos. Si tienes proveedores fuera de Chile, decláralo.
  5. Define un canal y un plazo de respuesta para solicitudes de acceso o eliminación, y deja a alguien a cargo.
  6. Ten un procedimiento para brechas. Quién se entera, quién decide, a quién se notifica. Improvisar eso en 72 horas no funciona.

El ángulo que casi nadie está viendo

Casi toda la conversación sobre esta ley gira en torno al riesgo de multa. Pero hay una lectura comercial: a partir de diciembre de 2026, tus clientes empresa van a empezar a preguntarles a sus proveedores cómo tratan los datos. Llegar con la respuesta lista deja de ser cumplimiento y pasa a ser argumento de venta.

Nosotros aplicamos esto a nuestro propio sitio antes de que la ley entre en vigencia: puedes revisar nuestra Política de Privacidad como referencia de estructura y nivel de detalle.

Aviso necesario: este artículo es informativo y no constituye asesoría legal. Para decisiones de cumplimiento con impacto contractual o sancionatorio, corresponde revisar tu caso con un abogado especializado.