EN RESUMEN
- La Ley 21.719 reemplaza el régimen de la antigua Ley 19.628 y crea la Agencia de Protección de Datos Personales.
- Entra en plena vigencia el 1 de diciembre de 2026.
- Aplica a cualquier empresa u organismo que trate datos personales, sin importar su tamaño.
- Las multas llegan a 20.000 UTM, y a un porcentaje de los ingresos anuales en caso de reincidencia.
- Enviar datos a servidores fuera de Chile exige una base legal. Saber dónde están tus datos deja de ser opcional.
Qué es la Ley 21.719
La Ley 21.719 regula la protección y el tratamiento de los datos personales en Chile. Se publicó el 13 de diciembre de 2024 y modifica a fondo la Ley 19.628 de 1999, que pasa a llamarse ley sobre Protección de los Datos Personales.
El cambio más grande no es una regla en particular, sino que ahora existe alguien que fiscaliza: la Agencia de Protección de Datos Personales, un organismo autónomo con facultades para investigar, dictar instrucciones y multar. Con la ley anterior, el titular de los datos tenía que ir a tribunales; ahora hay una autoridad administrativa dedicada.
La ley sigue de cerca el modelo europeo (el RGPD), en parte para que Chile pueda ser reconocido como un país con nivel adecuado de protección y facilitar el intercambio de datos con la Unión Europea.
Desde cuándo rige
La ley dio un plazo de 24 meses para prepararse. Su entrada en plena vigencia es el 1 de diciembre de 2026, y desde ese día la Agencia puede fiscalizar y sancionar.
| FECHA | HITO |
|---|---|
| 13 dic 2024 | Publicación de la Ley 21.719 en el Diario Oficial. |
| dic 2025 | Aprobación de las cláusulas contractuales modelo para transferencias internacionales. |
| 1 dic 2026 | Plena vigencia de la ley e inicio de funciones de la Agencia. |
A quién aplica
A toda persona natural o jurídica, pública o privada, que trate datos personales. Tratar datos es casi cualquier cosa que hagas con ellos: recolectarlos, guardarlos, consultarlos, enviarlos o borrarlos.
En la práctica, eso incluye a casi todas las empresas: una tienda en línea con su base de clientes, una clínica con fichas de pacientes, una pyme con las liquidaciones de sueldo de sus trabajadores. El tamaño no exime; solo cambia el cálculo de algunas multas.
La ley también alcanza a empresas sin domicilio en Chile cuando ofrecen bienes o servicios a personas en Chile o monitorean su comportamiento.
Derechos de las personas
Los titulares de los datos (tus clientes, trabajadores o usuarios) pueden ejercer de forma gratuita estos derechos:
- Acceso: saber qué datos tienes sobre ellos y para qué los usas.
- Rectificación: corregir datos inexactos o incompletos.
- Supresión: pedir que borres sus datos cuando corresponda.
- Oposición: negarse a ciertos usos, como el marketing directo.
- Portabilidad: recibir sus datos en un formato que puedan llevar a otro proveedor.
- Bloqueo: suspender temporalmente el tratamiento mientras se resuelve una solicitud.
Para responder a tiempo, tu empresa necesita saber dónde está cada dato. Si parte de la información vive en sistemas de terceros en el extranjero, responder a una solicitud de acceso o supresión puede volverse lento y caro.
Obligaciones de tu empresa
Tener una base legal para cada tratamiento
El consentimiento es una de las bases, pero no la única: también lo son el cumplimiento de un contrato, una obligación legal o el interés legítimo, entre otras. Lo importante es poder decir cuál aplica a cada uso de datos.
Informar con transparencia
Las personas deben poder saber quién trata sus datos, para qué, por cuánto tiempo y con quién se comparten. Una política de privacidad genérica copiada de otro sitio no cumple este estándar.
Proteger los datos
La ley exige medidas de seguridad proporcionales al riesgo. Incluye controlar quién tiene acceso, cifrar lo sensible y tener respaldos que funcionen.
Elegir bien a tus proveedores
Si un proveedor trata datos por encargo tuyo (tu software de facturación, tu CRM, tu correo), sigues siendo responsable. El contrato debe regular qué puede hacer con los datos y dónde los procesa.
Prevenir infracciones
La ley permite adoptar un modelo de prevención de infracciones, que puede incluir un delegado de protección de datos. No es obligatorio, pero si está certificado puede atenuar sanciones.
Datos fuera de Chile: transferencias internacionales
Esta es la parte que más empresas pasan por alto. Cada vez que un dato personal se guarda o procesa en un servidor fuera de Chile, hay una transferencia internacional. Pasa con el correo en la nube, el CRM, la plataforma de pagos o el respaldo automático.
La transferencia es lícita cuando se cumple alguna de las condiciones de la ley, por ejemplo:
- el país de destino tiene un nivel adecuado de protección, según lo que determine la Agencia;
- existen cláusulas contractuales tipo u otras garantías adecuadas entre quien envía y quien recibe los datos (el modelo chileno se aprobó en diciembre de 2025);
- se da alguna de las excepciones específicas que contempla la ley.
Por eso la pregunta "¿dónde están mis datos?" pasa a tener consecuencias legales. Algunas empresas optan por documentar cada transferencia; otras prefieren mover los datos más sensibles a infraestructura en Chile. Esa segunda estrategia es la geopatriación de datos.
Filtraciones y vulneraciones de seguridad
Si ocurre una vulneración que genera un riesgo razonable para las personas, debes reportarla a la Agencia por los medios más expeditos posibles y sin dilaciones indebidas. La ley chilena no fija un plazo en horas, a diferencia de las 72 horas del reglamento europeo, pero la demora se evaluará después.
Si la filtración involucra datos sensibles, datos de menores de 14 años o datos sobre obligaciones económicas, además hay que avisar a cada persona afectada, o hacer un aviso público si eso no es posible.
Multas de la Ley 21.719
| INFRACCIÓN | MULTA MÁXIMA |
|---|---|
| Leve | 5.000 UTM |
| Grave | 10.000 UTM |
| Gravísima | 20.000 UTM |
En caso de reincidencia, las multas pueden triplicarse, y para empresas que no son de menor tamaño pueden llegar al 2% o 4% de sus ingresos anuales. Las sanciones se publican en un registro nacional, así que el costo reputacional se suma al económico.
Lista de chequeo antes del 1 de diciembre
- Haz un inventario de los datos personales que tratas: qué datos, de quién, para qué y dónde están.
- Anota en qué país está físicamente cada sistema que guarda datos personales.
- Identifica la base legal de cada tratamiento.
- Revisa los contratos con tus proveedores tecnológicos: ubicación de los datos, subencargados y cláusulas de transferencia.
- Actualiza tu política de privacidad para que diga la verdad sobre lo que haces.
- Define cómo vas a responder solicitudes de acceso, rectificación, supresión, oposición, portabilidad y bloqueo.
- Escribe un protocolo de filtraciones: quién decide, a quién se avisa y en qué plazo.
- Designa a una persona responsable de los datos personales.
Haz el diagnóstico de 10 preguntas para ver en qué punto está tu empresa.
Preguntas frecuentes
¿Cuándo entra en vigencia la Ley 21.719?
Entra en plena vigencia el 1 de diciembre de 2026. Desde esa fecha la Agencia de Protección de Datos Personales puede fiscalizar y sancionar.
¿Cuáles son las multas?
Hasta 5.000 UTM por infracciones leves, 10.000 UTM por graves y 20.000 UTM por gravísimas. Con reincidencia, las empresas que no son de menor tamaño pueden recibir multas de hasta el 2% o 4% de sus ingresos anuales.
¿La ley aplica a pymes?
Sí. Aplica a toda persona o empresa que trate datos personales. El tamaño solo influye en el cálculo de algunas multas.
¿Puedo guardar datos de clientes en servidores fuera de Chile?
Sí, siempre que la transferencia tenga una base lícita: un país con nivel adecuado, cláusulas contractuales tipo u otra garantía o excepción que contemple la ley. Por eso necesitas saber en qué país está cada sistema.
¿Es obligatorio tener un delegado de protección de datos?
No en todos los casos. El delegado forma parte del modelo de prevención de infracciones, que es voluntario, pero tenerlo certificado puede atenuar sanciones.
Esta guía es informativa y no constituye asesoría legal. Texto oficial: Ley 21.719 en la Biblioteca del Congreso Nacional.