Ley 21.719 de datos personales: qué cambia para tu empresa

Este artículo es informativo y no reemplaza la asesoría legal de un profesional. Información actualizada a septiembre de 2026.

Desde el 1 de diciembre de 2026, cualquier empresa que trate datos de personas en Chile, aunque sea una planilla con los correos de sus clientes, tendrá que publicar cómo los usa, responder en un plazo fijo las solicitudes de esas personas y avisar a la autoridad cuando sufra una filtración riesgosa. Lo exige la Ley 21.719, que reformó la ley de datos personales vigente desde 1999. Las multas llegan a 20.000 UTM: unos $1.434 millones con la UTM de septiembre de 2026.

Quedan menos de tres meses. Esta guía resume lo que cambia, con el artículo de la ley detrás de cada afirmación, y cierra con una lista de tareas para llegar a tiempo.

Qué es la Ley 21.719 y desde cuándo rige

La Ley 21.719 se publicó en el Diario Oficial el 13 de diciembre de 2024. No es una ley escrita desde cero: modifica a fondo la Ley 19.628, de 1999, y hasta le cambia el nombre. Donde decía “protección de la vida privada”, ahora dice “protección de los datos personales”.

Su artículo primero transitorio fija la vigencia en “el día primero del mes vigésimo cuarto posterior a la publicación”. Eso es el 1 de diciembre de 2026, la fecha que también recordó la Contraloría en su dictamen N° 39.187, de febrero de 2026.

No habrá prórroga para lo que ya tienes guardado. Durante la tramitación, el proyecto llegó a incluir 24 meses adicionales, contados desde la vigencia, para adecuar las bases de datos existentes. El texto final no los trae: el plazo para prepararse es el que corre hasta diciembre.

La ley crea, además, la Agencia de Protección de Datos Personales (art. 30). Podrá dictar instrucciones, fiscalizar y sancionar (art. 30 bis).

¿Se aplica a mi empresa?

Casi con seguridad, sí. El artículo 1° dice que “todo tratamiento de datos personales que realice una persona natural o jurídica” queda sujeto a la ley. Quedan fuera, entre otros casos, los datos que una persona natural usa en sus actividades personales.

Un dato personal es “cualquier información vinculada o referida a una persona natural identificada o identificable” (art. 2, letra f). El nombre y el correo de un cliente lo son. También el RUT, el currículum de un postulante, la ficha de un trabajador o un historial de compras.

La ley alcanza incluso a empresas extranjeras que ofrecen bienes o servicios a personas que están en Chile (art. 1° bis). Y es más exigente con los datos sensibles, como los de salud, los biométricos o los que revelan la situación socioeconómica de alguien (art. 2, letra g).

Con qué permiso puedes usar datos

La regla general es el consentimiento. Tiene que ser “libre, informado y específico en cuanto a su finalidad”, y darse antes y de manera inequívoca (art. 12).

El artículo 13 permite tratar datos sin consentimiento en cinco casos:

• cuando lo exige o lo dispone la ley;
• cuando hace falta para celebrar o cumplir un contrato con la persona, o para medidas precontractuales que ella pidió;
• cuando existe un interés legítimo de la empresa o de un tercero, “siempre que con ello no se afecten los derechos y libertades del titular”;
• para defender un derecho ante los tribunales u órganos públicos;
• para datos de obligaciones económicas, financieras, bancarias o comerciales, según las reglas del Título III de la ley.

El interés legítimo no es un comodín. La misma norma le da a la persona el derecho a exigir que le informen del tratamiento y del interés legítimo que lo justifica.

Lo que tu empresa debe publicar

Aquí está el cambio más visible. El artículo 14 ter obliga a mantener “permanentemente a disposición del público, en su sitio web o en cualquier otro medio de información equivalente”, al menos esto:

• la política de tratamiento de datos, con su fecha y su versión;
• quién es el responsable, su representante legal y el encargado de prevención, si lo hay;
• un canal para recibir solicitudes, como un correo o un formulario;
• qué datos trata, de quiénes, para qué, con qué base legal y a quién se los comunica;
• la política y las medidas de seguridad;
• los derechos de las personas, incluido el de reclamar ante la Agencia;
• las transferencias al extranjero, cuánto tiempo se guardan los datos y de dónde provienen;
• si hay decisiones automatizadas o perfiles, y la lógica que usan.

En la práctica, eso es una política de privacidad de verdad. Copiar la de otra empresa no sirve, porque tiene que describir tus bases de datos, tus proveedores y tus plazos reales.

La ley pide algo más, menos visible: proteger los datos desde el diseño y por defecto (art. 14 quáter). Un formulario, una tienda online o un CRM tienen que pensarse desde el inicio para tratar solo los datos “específicos y estrictamente necesarios”.

Los derechos de las personas y cuánto tienes para responder

Cualquier persona puede pedirte acceso, rectificación, supresión, oposición y portabilidad de sus datos (art. 2, letras q a u). La ley agrega dos derechos más: el bloqueo temporal del tratamiento mientras se resuelve una solicitud (art. 8° ter) y el derecho a no quedar sujeta a decisiones automatizadas, incluidos los perfiles, que produzcan efectos jurídicos en ella o la afecten significativamente, salvo excepciones (art. 8° bis).

Los plazos son cortos. Debes acusar recibo y responder “a más tardar dentro de los treinta días corridos” desde que llega la solicitud, y puedes prorrogar ese plazo una sola vez, por otros 30 (art. 11). Un pedido de bloqueo se responde en dos días hábiles.

Casi todo es gratis. Rectificar, suprimir y oponerse no tienen costo, y el acceso es gratuito al menos una vez por trimestre (art. 10).

Seguridad y filtraciones

Las medidas de seguridad deben estar a la altura del riesgo y asegurar “la confidencialidad, integridad, disponibilidad y resiliencia” de los sistemas (art. 14 quinquies).

Si una vulneración pone en riesgo razonable a las personas, hay que reportarla a la Agencia “por los medios más expeditos posibles y sin dilaciones indebidas” y anotar cada incidente en un registro (art. 14 sexies). Cuando la filtración toca datos sensibles, datos de niños menores de 14 años o datos financieros, también hay que avisar a cada persona afectada. Omitir esos avisos o registros es una infracción grave (art. 34 ter, letra k).

Niños, niñas y adolescentes

Para tratar datos de menores de 14 años se necesita el consentimiento de sus padres o representantes. Los adolescentes, de 14 a 17 años, se rigen por las reglas de los adultos, con una excepción: sus datos sensibles requieren ese mismo consentimiento mientras tengan menos de 16 (art. 16 quáter).

Datos que viajan al extranjero

Un CRM, un servicio de correo o una nube con servidores fuera de Chile pueden significar que transfieres datos al extranjero. Esa transferencia es lícita, entre otros casos, cuando el país tiene un nivel adecuado de protección, según lo determine la Agencia, o cuando hay cláusulas contractuales u otros instrumentos con garantías adecuadas (arts. 27 y 28). Vale la pena revisar qué dicen los contratos de tus proveedores.

De cuánto son las multas

El artículo 35 fija tres tramos:

Con la sanción, la Agencia indica las medidas para corregir la falta. Hay 60 días para cumplirlas; si no, la multa sube 50%.

La reincidencia agrava las cosas. Existe cuando una empresa acumula dos o más sanciones en 30 meses (art. 36), y permite multas de hasta tres veces el monto. Si la empresa no es de menor tamaño según la Ley 20.416 y reincide en una infracción grave o gravísima, la multa puede llegar al 2% o al 4% de sus ingresos anuales, cuando ese monto es mayor.

Las sanciones quedan anotadas en el Registro Nacional de Sanciones y Cumplimiento, que es público y de acceso gratuito (art. 39). Para muchas empresas, aparecer ahí puede costar tanto como la multa.

Las pymes tienen un respiro. Durante los primeros 12 meses de vigencia, la Agencia podrá aplicarles como sanción una amonestación por escrito (artículo sexto transitorio). Dice “podrá”, no “deberá”: no conviene contar con eso.

El modelo de prevención: voluntario, pero útil

Toda empresa debe tomar acciones para prevenir infracciones (art. 48). Por encima de ese mínimo, puede adoptar un modelo de prevención de infracciones, un programa de cumplimiento que parte por designar a un delegado de protección de datos (art. 49).

Ese delegado es opcional. En las micro, pequeñas y medianas empresas, el dueño puede asumir la tarea (art. 50). La Agencia certifica los modelos por tres años (art. 52), y haber cumplido con diligencia, acreditado con ese certificado, cuenta como atenuante si llega una sanción (art. 36).

Cómo preparar tu empresa antes del 1 de diciembre

1. Haz un inventario de datos. Anota qué datos recoges, en qué formularios o sistemas, para qué, quién accede y con qué proveedores los compartes.
2. Asigna una base legal a cada uso. Consentimiento, contrato, obligación legal o interés legítimo, según los artículos 12 y 13.
3. Publica tu política de privacidad. Con todo lo que pide el artículo 14 ter, fecha y versión incluidas.
4. Revisa tus consentimientos. Deben ser previos, específicos e inequívocos. Una casilla que la persona marca por sí misma deja mejor constancia que una que viene marcada.
5. Abre un canal para los derechos. Un correo o un formulario, y un procedimiento para responder dentro de 30 días corridos.
6. Ordena a tus proveedores. Revisa los contratos con quienes tratan datos por encargo tuyo y las transferencias al extranjero.
7. Prepara un protocolo de filtraciones. Define quién decide, cómo se reporta a la Agencia y dónde se registra cada incidente.
8. Evalúa el modelo de prevención. Es voluntario, pero ordena el trabajo y, con el certificado, sirve como atenuante.

Preguntas frecuentes

¿Qué pasa si mi empresa es pequeña?

La ley se aplica igual. Las diferencias están en las sanciones: durante el primer año, la Agencia puede optar por una amonestación por escrito para las empresas de menor tamaño, y el tope del 2% o 4% de los ingresos no rige para ellas.

¿Necesito un delegado de protección de datos?

No es obligatorio. Forma parte del modelo de prevención voluntario, y en las mipymes el dueño puede asumir la función (art. 50).

¿Basta con una política de privacidad?

Es el punto de partida. La ley también exige una base legal para cada uso, responder las solicitudes a tiempo, proteger los datos y reportar las filtraciones. Una política que no calza con lo que haces en la práctica no te protege.

¿Quién fiscaliza?

La Agencia de Protección de Datos Personales, una corporación autónoma de derecho público creada por la misma ley (art. 30), con facultades para fiscalizar y sancionar (art. 30 bis).

Fuentes

• Ley 21.719, que regula la protección y el tratamiento de los datos personales (LeyChile)
• Diario Oficial del 13 de diciembre de 2024: publicación de la Ley 21.719 (PDF)
• Historia de la Ley 21.719 (BCN)
• Ley 19.628 (LeyChile)
• Contraloría General de la República, dictamen N° 39.187, de 25 de febrero de 2026, sobre la entrada en vigencia de la Ley 21.719.
• SII: valores de la UTM 2026

¿Quieres llegar a diciembre con todo en orden? En Doce Monos, el abogado del equipo y nuestros desarrolladores hacen la adecuación de tu empresa a la Ley 21.719: diagnóstico, política de privacidad, términos y condiciones, consentimientos y sitio web.