¿Por qué surge la Ley 21.719?
Chile contaba desde 1999 con la Ley 19.628 sobre Protección de la Vida Privada, una norma que con el paso del tiempo quedó desfasada frente a la realidad digital actual. La proliferación de plataformas digitales, el auge del comercio electrónico, la masificación del teletrabajo y el crecimiento exponencial del volumen de datos tratados por empresas de todo tamaño hicieron evidente la necesidad de modernizar el marco normativo.
La Ley 21.719, promulgada en diciembre de 2024, recoge los estándares del Reglamento General de Protección de Datos de la Unión Europea (GDPR) y los adapta al contexto chileno. Su vigencia plena comienza el 1 de diciembre de 2026, fecha en que también entra en funciones la Agencia de Protección de Datos Personales, el organismo regulador encargado de fiscalizar y sancionar.
¿A quién aplica?
A diferencia de la ley anterior, la Ley 21.719 tiene un alcance amplio. Aplica a toda persona natural o jurídica que trate datos personales, independiente de su tamaño, sector o si tiene o no fines de lucro. Esto incluye:
- Empresas que manejan datos de clientes, proveedores o empleados
- Startups y PYMEs que usan CRMs, plataformas de e-commerce o herramientas de marketing digital
- Organizaciones sin fines de lucro que gestionan bases de socios o donantes
- Entidades del sector público
- Empresas extranjeras que traten datos de personas ubicadas en Chile
Los principios que guían el tratamiento de datos
- Licitud: el tratamiento debe tener una base legal válida.
- Finalidad: los datos solo pueden usarse para el propósito para el que fueron recolectados.
- Proporcionalidad: solo deben tratarse los datos estrictamente necesarios.
- Calidad: los datos deben ser exactos, actualizados y completos.
- Responsabilidad proactiva: la empresa debe ser capaz de demostrar que cumple con la ley.
- Seguridad: deben implementarse medidas técnicas y organizativas adecuadas.
- Transparencia: los titulares deben saber cómo se tratan sus datos.
Derechos de los titulares de datos
La ley amplía y fortalece los derechos de las personas sobre sus propios datos. Tu empresa debe estar preparada para responder a solicitudes de ejercicio de estos derechos en un plazo máximo de 30 días corridos desde la recepción de la solicitud (Art. 11), prorrogable por una sola vez hasta por otros 30 días corridos:
| Derecho | Descripción |
|---|---|
| Acceso | Conocer qué datos trata la empresa y obtener una copia. |
| Rectificación | Corregir datos inexactos o incompletos. |
| Supresión | Solicitar la eliminación de datos cuando ya no son necesarios. |
| Oposición | Oponerse al tratamiento por motivos legítimos. |
| Portabilidad | Recibir los datos en formato estructurado y transferirlos. |
| Bloqueo | Suspender temporalmente el tratamiento. |
| Revocación del consentimiento | Retirar el consentimiento en cualquier momento (Art. 12). |
Las principales obligaciones para las empresas
1. Registro de actividades de tratamiento (RAT)
Toda empresa debe mantener un inventario actualizado de todas las actividades en que trata datos personales: qué datos, con qué finalidad, quiénes tienen acceso, dónde se almacenan, por cuánto tiempo y a quiénes se transfieren.
2. Bases de legitimidad documentadas
Cada tratamiento debe respaldarse en una base legal válida. El consentimiento es la más conocida, pero no la única. Las empresas deben identificar y documentar la base que justifica cada actividad de tratamiento.
3. Política de privacidad actualizada
La política de privacidad debe reflejar de manera clara y accesible cómo la empresa trata los datos personales, cuáles son los derechos de los titulares y cómo ejercerlos.
4. Gestión de brechas de seguridad
El Art. 14 sexies exige reportar a la Agencia “sin dilaciones indebidas” toda vulneración que ocasione destrucción, filtración, pérdida o acceso no autorizado de datos personales. La notificación a los titulares afectados es obligatoria solo cuando la brecha involucra datos sensibles, datos de menores de 14 años o datos de carácter financiero/bancario/comercial.
5. Evaluaciones de impacto (EIPD)
Para tratamientos de alto riesgo — como datos sensibles, vigilancia masiva o decisiones automatizadas — la ley exige realizar una Evaluación de Impacto de Protección de Datos antes de iniciar el tratamiento.
6. Delegado de Protección de Datos (DPO)
La ley introduce la figura del DPO pero no lo exige con carácter universal. El Art. 50 establece que el responsable “podrá” designar un delegado — es decir, es voluntario en general. Sin embargo, se vuelve necesario si la organización adopta voluntariamente un Modelo de Prevención de Infracciones (Art. 49).
7. Contratos con encargados del tratamiento
Si tu empresa comparte datos con proveedores externos (CRMs, plataformas de email marketing, servicios cloud, etc.), debe contar con contratos que garanticen que esos proveedores también cumplen con los estándares de la ley.
El régimen de multas
| Tipo de infracción | Multa máxima |
|---|---|
| Leves | Hasta 5.000 UTM (~$360 millones CLP) |
| Graves | Hasta 10.000 UTM (~$720 millones CLP) |
| Gravísimas | Hasta 20.000 UTM (~$1.440 millones CLP) |
| Reincidencia (empresas no PYME) | Hasta 60.000 UTM o 2%/4% de ingresos anuales, lo que resulte mayor |
Según el Art. 35, en caso de reincidencia la Agencia puede aplicar hasta tres veces el monto de la multa. La reincidencia se configura cuando el responsable ha sido sancionado en dos o más ocasiones en los últimos 30 meses (Art. 36).
Durante los primeros 12 meses de vigencia (Art. Sexto Transitorio), la Agencia podrá aplicar amonestación escrita en lugar de multa a empresas de menor tamaño según la Ley 20.416. Es una facultad discrecional de la Agencia, no un derecho automático.
¿Cómo prepararse?
- Diagnóstico inicial: mapear todos los datos personales que trata la organización e identificar brechas.
- Diseño del programa: definir las bases de legitimidad, actualizar políticas y redactar el RAT.
- Implementación técnica: reforzar controles de acceso, cifrado y capacidades de detección de brechas.
- Contratos con proveedores: revisar y actualizar contratos con todos los proveedores que traten datos.
- Capacitación: sensibilizar y entrenar a los equipos sobre sus responsabilidades.
- Monitoreo continuo: establecer mecanismos de seguimiento y revisión periódica.
Webinar disponible
Para quienes quieran profundizar, Crayon IT organizó junto a RGM Abogados un webinar completo sobre la Ley 21.719 con perspectiva jurídica, operativa y de ciberseguridad. Disponible gratuitamente en nuestro canal de YouTube.
Conclusión
La Ley 21.719 no es solo una obligación legal — es una oportunidad para que las empresas chilenas adopten buenas prácticas de gestión de datos que fortalezcan la confianza de sus clientes. Las organizaciones que se preparen con anticipación no solo evitarán multas: estarán mejor posicionadas frente a clientes corporativos, procesos de licitación y potenciales inversores.
Este artículo tiene fines informativos. Para análisis específico de tu organización, consulta con un asesor legal especializado.