La protección de datos personales en Chile entra en una nueva etapa el 1 de diciembre de 2026 con la entrada en vigencia plena de la Ley 21.719. La multa máxima sube a 20.000 UTM, cerca de 1.400 millones de pesos, con reincidencias que pueden alcanzar el 4% de los ingresos anuales. También la vas a encontrar escrita como Ley 21719, sin el punto. Es la misma norma: la Ley 21.719 sobre protección de datos personales.
Ten en cuenta que la Agencia de Protección de Datos Personales ya está operativa y empezará a fiscalizar evidencia, no buenas intenciones. Esta guía explica qué se entiende por protección de datos personales en el contexto chileno, qué exige la nueva ley y por dónde conviene empezar a prepararte.
Qué se entiende por protección de datos personales en Chile
Por dato personal se entiende cualquier información que identifica a una persona natural o que permite identificarla. Nombre, RUT, dirección, correo electrónico, número de teléfono, dirección IP, ubicación, fotografía, voz, hábitos de consumo, historial de navegación. La definición es deliberadamente amplia porque la tecnología cambió la naturaleza misma del dato: hoy un patrón de geolocalización puede revelar más sobre una persona que su nombre completo.
La protección de datos personales es el conjunto de principios, derechos y obligaciones que regulan cómo se recolectan, almacenan, usan, transfieren y eliminan esos datos. En Chile, la fuente principal es el artículo 19 N° 4 de la Constitución, que reconoce el derecho fundamental a la protección de los datos personales desde la reforma constitucional de 2018. Bajo ese paraguas constitucional opera la legislación específica.
Los principios rectores
La Ley 21.719 establece siete principios que ordenan toda la materia:
- Licitud, lealtad y transparencia. El tratamiento de datos debe tener una base legal, ser leal con el titular y darle información clara sobre lo que se hace con sus datos.
- Los datos se recolectan para finalidades determinadas, explícitas y legítimas. No pueden usarse después para algo distinto sin justificación.
- Solo se tratan los datos estrictamente necesarios para la finalidad declarada. Recolectar de más por las dudas vulnera el principio.
- Los datos deben ser exactos, completos y actualizados. El responsable es quien debe garantizar esa calidad.
- Quien trata los datos responde por su cumplimiento y debe poder demostrarlo (accountability).
- Medidas técnicas y organizativas adecuadas al nivel de riesgo del tratamiento.
- Quienes acceden a los datos en el marco del tratamiento están obligados a confidencialidad, incluso después de terminada la relación.
Por qué cambió el régimen ahora
La regulación anterior, la Ley 19.628 de 1999, fue diseñada cuando internet recién comenzaba en Chile. Veinticinco años después, el volumen, la velocidad y el tipo de datos que las empresas procesan cambió radicalmente. Plataformas digitales, IA aplicada al negocio, biometría laboral, scoring crediticio automatizado: nada de esto existía cuando se redactó la ley original. La Ley 21.719 actualiza el marco, lo alinea con estándares internacionales como el GDPR europeo y crea una autoridad fiscalizadora con potestad sancionatoria real.
El resto de esta guía profundiza en la Ley 21.719: qué cambia, qué obligaciones concretas tiene tu empresa, qué multas existen y cómo prepararte antes de diciembre de 2026.
Qué es la Ley 21.719 y por qué importa ahora
La Ley 21.719 es la reforma más profunda a la regulación de datos personales en la historia de Chile. Se publicó en el Diario Oficial el 13 de diciembre de 2024 y entra en plena vigencia 24 meses después, el 1 de diciembre de 2026. Modifica la Ley 19.628 de 1999, que llevaba dos décadas sin capacidad real de sanción, y alinea a Chile con los estándares del GDPR europeo.
Tres cambios marcan el nuevo régimen:
- Una autoridad con dientes. Nace la Agencia de Protección de Datos Personales (APDP) como corporación autónoma de derecho público, con potestad para investigar de oficio, multar, ordenar suspensiones de tratamiento y publicar un Registro Nacional de Sanciones.
- Multas que llegan al comité ejecutivo. Las sanciones gravísimas alcanzan 20.000 UTM. En reincidencia, hasta 4% de los ingresos anuales por ventas y servicios en Chile, o la multa triplicada, lo que resulte mayor.
- Derechos ampliados para los titulares. Acceso, rectificación, cancelación, oposición, portabilidad y bloqueo. Las empresas deben responder en un plazo máximo de 30 días desde recibida la solicitud.
La consecuencia práctica es que protección de datos pasa de ser un asunto del área legal a ser un proyecto técnico que toca toda la operación: identidades, dispositivos, aplicaciones, contratos, procedimientos y logs.
Datos clave de la Ley 21.719
| Publicación | 13 de diciembre de 2024 |
| Vigencia plena | 1 de diciembre de 2026 |
| Ley que reemplaza | Ley 19.628 de 1999 |
| Autoridad creada | Agencia de Protección de Datos Personales (APDP) |
| Multa máxima por infracción | 20.000 UTM (cerca de 1.400 millones de pesos) |
| Multa por reincidencia | Hasta 4% de los ingresos anuales o multa triplicada |
| Plazo de respuesta ARCO | 30 días desde recibida la solicitud |
| Plazo de notificación de brechas | Sin dilación indebida, idealmente dentro de 72 horas |
| Base normativa internacional | Alineada con el GDPR de la Unión Europea |
Si tu organización ya cumple con GDPR, la brecha es menor. Si no, los 7 meses que quedan se vuelven apretados.
Qué cambia respecto a la Ley 19.628
La Ley 19.628 reguló la protección de datos en Chile desde 1999 con un esquema débil: sin autoridad fiscalizadora propia, con sanciones simbólicas y derechos limitados. La Ley 21.719 cambia el modelo completo. Esta tabla resume las diferencias que importan para la operación de una empresa.
| Dimensión | Ley 19.628 (1999) | Ley 21.719 (2026) |
|---|---|---|
| Autoridad fiscalizadora | Sin autoridad dedicada. Reclamos vía Consejo para la Transparencia. | Agencia de Protección de Datos Personales con facultades sancionatorias reales. |
| Multas | Hasta 50 UTM (aproximadamente 3,5 millones de pesos). | Hasta 20.000 UTM. Reincidencia hasta 4% de ingresos anuales. |
| Derechos del titular | Acceso, rectificación, cancelación. Sin portabilidad. | ARCO completos más portabilidad, oposición y bloqueo. |
| Notificación de brechas | No exigida. | Obligatoria, sin dilación indebida (idealmente 72 horas). |
| Datos sensibles | Definición acotada, consentimiento informado básico. | Definición ampliada (biométricos, salud, ideología, situación socioeconómica) con consentimiento explícito. |
| Base de licitud | Consentimiento como base casi única. | Seis bases: consentimiento, contrato, obligación legal, interés vital, interés público, interés legítimo. |
| Transferencia internacional | Sin reglas específicas. | Solo a países con nivel adecuado de protección o con garantías apropiadas (cláusulas tipo, certificaciones). |
| Registro de tratamiento | No exigido. | Obligatorio y actualizado (Art. 14 ter). |
La distancia entre ambas leyes es la distancia entre declarar y demostrar. La 19.628 pedía declaraciones. La 21.719 pide registros, logs, contratos firmados y procedimientos ejecutables.
La Agencia de Protección de Datos Personales: quién fiscaliza
La APDP es la pieza más importante del nuevo régimen. No es una unidad dentro de un ministerio: es una corporación autónoma de derecho público, descentralizada, con personalidad jurídica y patrimonio propios. Nace para que la fiscalización tenga independencia técnica.
Sus atribuciones principales incluyen:
- Fiscalizar el cumplimiento de la Ley 21.719 en organismos públicos y privados.
- Iniciar investigaciones de oficio o a partir de reclamos de titulares.
- Aplicar multas y ordenar medidas correctivas, incluida la suspensión del tratamiento hasta por 30 días.
- Resolver reclamos en sede administrativa.
- Dictar normas técnicas e instrucciones generales.
- Certificar modelos de prevención de infracciones.
- Administrar el Registro Nacional de Sanciones y Cumplimiento, que mantiene las sanciones publicadas por 5 años.
- Suscribir convenios internacionales y participar en redes regionales como la Red Iberoamericana de Protección de Datos.
La Agencia ya está operativa con funcionamiento adelantado. Aunque la potestad sancionatoria plena se ejerce desde diciembre de 2026, los plazos para dictar reglamentos, designar a los consejeros y construir capacidades ya corrieron. Una empresa que reciba un requerimiento de información a partir de diciembre tendrá que responder con evidencia, no con explicaciones.
Profundizamos el funcionamiento de la APDP, su composición y cómo presenta reclamos un titular en el artículo específico sobre la Agencia de Protección de Datos Personales.
Qué obligaciones concretas tiene tu empresa
La ley no introduce un manual operativo. Establece principios y resultados esperados. Lo que sigue es la traducción en obligaciones concretas que la APDP va a buscar cuando llegue a una empresa.
- Mantener un registro de actividades de tratamiento (Art. 14 ter). Inventario actualizado de qué datos personales tratas, con qué finalidad, bajo qué base de licitud, durante cuánto tiempo y con qué destinatarios. Sin este registro, no hay punto de partida posible.
- Obtener consentimiento válido cuando esa sea la base de licitud. El consentimiento debe ser libre, específico, informado e inequívoco. La ley prohíbe casillas premarcadas y consentimientos implícitos. Para datos sensibles, el consentimiento debe ser explícito.
- Garantizar el ejercicio de los derechos ARCO ampliados. Acceso, rectificación, cancelación, oposición, portabilidad y bloqueo temporal. Plazo de respuesta: 30 días desde recibida la solicitud, con prórroga justificada en casos complejos.
- Notificar brechas de seguridad sin dilación indebida. Cuando la brecha implique riesgo razonable para los derechos de los titulares, la notificación a la APDP debe enviarse idealmente dentro de 72 horas de detectada. Si los datos comprometidos son sensibles, también hay que avisar a los afectados.
- Realizar evaluaciones de impacto (EIPD) en tratamientos de alto riesgo. Tratamientos masivos, perfilamiento sistemático, vigilancia de zonas públicas y manejo de datos sensibles sin consentimiento requieren documentar el análisis de riesgo y las medidas de mitigación.
- Firmar Acuerdos de Tratamiento de Datos (DPA) con todos los encargados. Cada proveedor que procese datos en nombre de tu empresa (CRM, marketing, nómina, soporte, hosting) necesita un contrato que establezca obligaciones, medidas de seguridad y responsabilidades en caso de brecha.
- Publicar una política de privacidad con la información mínima exigida. Identificación del responsable, finalidades del tratamiento, bases de licitud, destinatarios, transferencias internacionales, plazos de conservación y mecanismos para ejercer derechos.
- Designar un Delegado de Protección de Datos (DPO) cuando aplique. En Chile la ley no obliga al DPO en todos los casos. Es obligatorio si la empresa adopta voluntariamente un modelo de prevención de infracciones (Art. 49). En la práctica, las empresas que tratan datos a gran escala o datos sensibles designan a un responsable formal aunque la ley no lo exija.
- Documentar todo. La APDP fiscaliza evidencia, no declaraciones. Logs datados, registros firmados, capacitaciones documentadas, simulaciones ejecutadas. Una política publicada sin trazabilidad operativa es papel mojado.
Sanciones: cómo se calculan y qué es lo más caro
La Ley 21.719 clasifica las infracciones en tres categorías. El cálculo final depende del valor UTM vigente al momento de la sanción, del tamaño de la empresa y de si hay reincidencia.
| Categoría | Multa máxima | Ejemplos de conducta |
|---|---|---|
| Leve | Hasta 5.000 UTM (~$353 millones) | Falta de información mínima al titular, registro de actividades desactualizado, no responder solicitudes dentro de plazo. |
| Grave | Hasta 10.000 UTM (~$706 millones) | Tratar datos sin base de licitud, no realizar EIPD cuando corresponde, impedir el ejercicio de derechos, no notificar brechas. |
| Gravísima | Hasta 20.000 UTM (~$1.412 millones) | Tratar datos sensibles sin consentimiento, transferir datos internacionalmente sin garantías, obstruir la labor de la Agencia. |
Multiplicador por reincidencia
Si una empresa infringe la ley y vuelve a infringirla dentro de los 5 años siguientes, la sanción se eleva. Hay dos cálculos posibles y se aplica el mayor: la multa original triplicada, o un porcentaje de los ingresos anuales por ventas y servicios en Chile (2% para reincidencia grave, 4% para gravísima). Este último cálculo solo aplica a empresas que no califican como de menor tamaño bajo la Ley 20.416.
Medidas complementarias
La Agencia puede ordenar, además de la multa, la suspensión del tratamiento hasta por 30 días, la prohibición temporal o definitiva del tratamiento, y la publicación de la resolución sancionatoria. La inscripción en el Registro Nacional de Sanciones queda visible durante 5 años. En sectores como banca, seguros o salud, donde la confianza es un activo, ese registro tiene consecuencias comerciales que superan la multa.
Ventana de gracia para PYMES
La Ley 20.416 sobre empresas de menor tamaño establece que estas empresas reciben en su primera infracción una amonestación escrita, no una multa. Esta gracia aplica solo a la primera infracción y no exime del cumplimiento sustantivo.
Quién está obligado a cumplir
La ley aplica de forma amplia. Quedan obligados:
- Empresas grandes y medianas, sin excepciones por sector.
- PYMES, con la ventana de gracia descrita arriba para la primera infracción.
- Organismos públicos, ministerios, municipios y empresas estatales.
- Profesionales independientes que traten datos personales en el ejercicio de su actividad (médicos, contadores, abogados).
- Empresas extranjeras que ofrezcan bienes o servicios a residentes en Chile, aunque no tengan presencia física en el país.
Tres sectores concentran la mayor exposición por el tipo de datos que manejan: banca y servicios financieros (datos económicos sensibles), salud (datos clínicos) y educación superior (datos académicos de menores en algunos casos). En esos sectores la APDP va a llegar primero, porque ahí están los datos más críticos y los precedentes regulatorios más útiles para sentar criterio.
Datos sensibles, biométricos y de salud bajo la nueva ley
La Ley 21.719 amplía la definición de datos sensibles y endurece el régimen para tratarlos. Son datos sensibles:
- Origen étnico o racial.
- Afiliación política, sindical o gremial.
- Convicciones religiosas, filosóficas o morales.
- Datos de salud, vida sexual u orientación sexual.
- Datos biométricos (huella, reconocimiento facial, iris) y genéticos.
- Situación socioeconómica.
- Datos de niños, niñas y adolescentes.
Para tratar datos sensibles la regla general es consentimiento explícito del titular, con las excepciones legales del Art. 16 (interés vital, datos manifiestamente públicos, fines estadísticos o de investigación con anonimización, entre otros).
El tratamiento de datos biométricos en control de acceso o asistencia laboral es uno de los puntos que más empresas chilenas tienen que revisar. La práctica común de “firmar con la huella” para fichar entrada y salida queda sujeta a consentimiento explícito, evaluación de impacto previa y medidas de seguridad reforzadas. La alternativa con tarjeta de proximidad o app móvil suele ser proporcionalmente menos invasiva.
Cómo empezar: plan 30/60/90 para llegar listo a diciembre 2026
Quedan menos de siete meses hasta la vigencia plena. Un proyecto bien hecho de cumplimiento técnico toma ese tiempo, no menos. Empezar en noviembre no es apurar el cierre, es llegar tarde. El siguiente plan organiza el trabajo en tres tramos de un mes cada uno.
Días 1 a 30 — Inventario y diagnóstico
- Mapear todos los sistemas que tratan datos personales: CRM, ERP, plataformas de RRHH, dispositivos, formularios web, integraciones con terceros.
- Identificar fuentes “ocultas” que rara vez se inventarían: planillas de Excel compartidas, chats internos con datos de clientes, dispositivos personales con acceso corporativo.
- Clasificar los datos por nivel de sensibilidad y priorizar los sensibles.
- Diagnosticar las brechas entre el estado actual y los requisitos de la Ley 21.719.
- Definir responsables internos del proyecto y, si corresponde, designar al DPO.
Días 31 a 60 — Gobernanza y contratos
- Revisar y firmar acuerdos de tratamiento (DPA) con todos los proveedores que procesan datos en tu nombre.
- Actualizar la política de privacidad con la información mínima exigida (responsable, finalidades, bases de licitud, destinatarios, transferencias, plazos, derechos).
- Diseñar el procedimiento de respuesta a solicitudes ARCO con plazos auditables (máximo 30 días).
- Diseñar el procedimiento de notificación de brechas con plazos auditables (sin dilación indebida, idealmente 72 horas).
- Definir las bases de licitud por proceso. No todo tratamiento requiere consentimiento; varios pueden apoyarse en contrato, obligación legal o interés legítimo.
Días 61 a 90 — Implementación técnica y simulación
- Implementar controles técnicos para clasificación de datos, prevención de pérdida (DLP), gestión de identidades y registro de actividades de tratamiento.
- Configurar las herramientas de detección de brechas y los flujos de notificación.
- Simular de extremo a extremo una solicitud ARCO real con un dato ficticio. Medir tiempo de respuesta y trazabilidad.
- Simular de extremo a extremo una brecha. Medir tiempo desde detección hasta notificación a la APDP.
- Capacitar a las áreas de mayor exposición: RRHH, atención al cliente, marketing, TI.
Si ya tienes Microsoft 365 contratado, tienes la mayor parte de las piezas técnicas para ejecutar este plan. Lo que falta es activarlas y configurarlas para Ley 21.719.
Si necesitas un partner técnico que ejecute este plan apalancado en el stack Microsoft que ya tienes, agenda un diagnóstico inicial sin costo.
Lo que la Agencia va a buscar primero
La Ley 21.719 no fiscaliza políticas en PDF. Fiscaliza evidencia operativa: logs de tratamiento datados, registros actualizados, contratos firmados con encargados, procedimientos ARCO con tiempos de respuesta auditables, notificaciones de brechas trazables. Las empresas que lleguen a diciembre con declaraciones de buenas intenciones y sin sistemas que las respalden van a aprender la diferencia por la vía cara.
La inversión técnica para cumplir con la ley no es marginal, pero tampoco requiere comprar plataformas adicionales si tu empresa ya usa Microsoft 365 o Azure. Las capacidades de clasificación, registro, detección y trazabilidad están en Purview, Defender, Sentinel y Entra ID. Lo que falta en la mayoría de los casos es activarlas y configurarlas para los requisitos específicos de la Ley 21.719.
Si quieres ver dónde está parada tu empresa hoy frente a la ley, agenda un diagnóstico inicial sin costo. 30 minutos, sin compromiso, con una hoja de ruta priorizada en tus manos al final de la conversación.
Nota de Daniela Lalanne (Directora de Marketing XMS)
Da el siguiente paso con XMS
¿Quieres un diagnóstico de cumplimiento para tu empresa?
En XMS hacemos una sesión inicial sin costo: revisamos tu entorno Microsoft, identificamos las brechas frente a la Ley 21.719 y te entregamos una hoja de ruta priorizada.
Preguntas frecuentes
La ley se publicó el 13 de diciembre de 2024 y entra en vigencia plena el 1 de diciembre de 2026, tras un período de transición de 24 meses. La Agencia de Protección de Datos Personales ya tiene funcionamiento adelantado.
La APDP puede aplicar multas de hasta 20.000 UTM, suspender el tratamiento por hasta 30 días, prohibir el tratamiento de forma temporal o definitiva y publicar la sanción en el Registro Nacional. En reincidencia la multa escala hasta el 4% de los ingresos anuales.
Sí. La Ley 21.719 obliga a empresas de todos los tamaños. Las que califican como pequeñas empresas bajo la Ley 20.416 reciben una amonestación escrita en su primera infracción, no una multa. La gracia aplica solo a la primera vez.
La 19.628 reguló protección de datos desde 1999 con multas hasta 50 UTM y sin autoridad fiscalizadora propia. La 21.719 crea la APDP con potestad sancionatoria, sube las multas a 20.000 UTM, incorpora derechos ARCO ampliados, exige notificación de brechas y obliga a mantener un registro de actividades de tratamiento.
Es la nueva autoridad fiscalizadora creada por la Ley 21.719. Funciona como corporación autónoma de derecho público, descentralizada. Tiene facultades para investigar, sancionar y dictar normas técnicas. Mantiene el Registro Nacional de Sanciones y Cumplimiento.
ARCO es el acrónimo de Acceso, Rectificación, Cancelación y Oposición. La Ley 21.719 los amplía con portabilidad y bloqueo temporal. Las empresas deben responder a estas solicitudes en un plazo máximo de 30 días desde recibidas.
La Ley 21.719 no obliga a designar un DPO en todos los casos. Es requisito solo si la empresa adopta voluntariamente un modelo de prevención de infracciones (Art. 49). En la práctica, las empresas que tratan datos sensibles o a gran escala suelen designar un responsable formal.
20.000 UTM por infracción gravísima, alrededor de 1.400 millones de pesos al valor UTM actual. En reincidencia, hasta el 4% de los ingresos anuales por ventas y servicios en Chile, o la multa triplicada, lo que resulte mayor.
Es un análisis previo y documentado del riesgo que un tratamiento de datos puede generar para los derechos de los titulares. La ley la exige para tratamientos de alto riesgo: perfilamiento sistemático, tratamiento masivo, vigilancia de zonas públicas y datos sensibles sin consentimiento.
La notificación se envía a la APDP sin dilación indebida cuando exista riesgo razonable para los derechos de los titulares. El estándar internacional, al que la ley se alinea, es dentro de 72 horas de detectada. Si la brecha involucra datos sensibles, también hay que avisar directamente a los afectados.
