La Ley 21.719 es la reforma a la ley de protección de datos personales de Chile. Modifica la Ley 19.628, vigente desde 1999, y sus cambios entran en vigor el 1 de diciembre de 2026. Aplica a cualquier organización, pública o privada, que trate datos personales, sin importar su tamaño, con un marco más cercano a estándares como el GDPR europeo.

¿A quién le aplica?

A cualquier empresa que recopile, almacene o procese datos personales: nombre, correo, teléfono, historial de compras, datos de un formulario web, lo que sea. No hay excepción por tamaño. Una PYME con un formulario de contacto en su sitio web ya está tratando datos personales y queda dentro del alcance de la ley. Lo que sí cambia según el tamaño es la exigencia: la Agencia fijará estándares de seguridad diferenciados para empresas de menor tamaño (art. 14 septies).

¿Qué pasa si mi empresa no cumple?

La ley crea la Agencia de Protección de Datos Personales, que fiscaliza y sanciona. Las infracciones se clasifican en tres niveles, con multas máximas distintas (art. 35):

  • Leves: amonestación escrita o multa de hasta 5.000 UTM. Por ejemplo, no tener una política de privacidad publicada o no responder a tiempo cuando alguien pide acceso a sus datos.
  • Graves: multa de hasta 10.000 UTM. Por ejemplo, tratar datos sin consentimiento ni otra base legal, o no cumplir las obligaciones de seguridad.
  • Gravísimas: multa de hasta 20.000 UTM. Por ejemplo, tratamiento fraudulento u ocultar deliberadamente una filtración.

La reincidencia permite multiplicar el monto, y solo en el caso de empresas que no son de menor tamaño y reinciden en infracciones graves o gravísimas la multa puede llegar a un porcentaje de sus ingresos anuales. Además, las sanciones quedan inscritas por 5 años en un registro público (art. 39), lo que suma un costo reputacional.

Para las PYMEs hay un matiz: durante los primeros 12 meses de vigencia, la Agencia podrá aplicarles una amonestación escrita en vez de una multa (art. 6° transitorio). Es una facultad de la Agencia, no una exención garantizada, así que conviene tomarlo como margen para adaptarse y no como una razón para postergarlo.

¿Se va a postergar la ley?

El 1 de septiembre de 2026 el Gobierno ingresó al Senado un proyecto de ley (boletín 18.623-07) que propone mover la entrada en vigencia al 1 de diciembre de 2027. El mismo proyecto propone que la amonestación del primer año pueda aplicarse a todas las empresas, no solo a las de menor tamaño. Al 2 de octubre de 2026 el proyecto sigue en su primer trámite, en la comisión de Constitución del Senado. Mientras no se apruebe y se publique, la fecha vigente sigue siendo el 1 de diciembre de 2026.

¿Qué tiene que hacer una empresa antes de diciembre?

Cinco obligaciones concretas aplican a la mayoría de las empresas:

  • Publicar una política de tratamiento de datos real. Debe estar disponible en el sitio web o en un medio equivalente, con fecha y versión, e informar qué datos se tratan, para qué, con qué base legal, quiénes los reciben, cuánto tiempo se guardan y qué medidas de seguridad se aplican (art. 14 ter).
  • Tener un canal operativo para los derechos de las personas. Cualquier persona puede pedir acceder, rectificar, suprimir, oponerse o llevarse sus datos. No tener ese canal, o no responder a tiempo, ya es una infracción.
  • Aplicar medidas de seguridad apropiadas al riesgo. Cifrado, control de accesos, capacidad de restaurar los datos tras un incidente y revisiones periódicas (art. 14 quinquies). Si ocurre un incidente, es la empresa la que debe demostrar que esas medidas existían y funcionaban.
  • Reportar las vulneraciones de seguridad sin dilaciones indebidas. Si una filtración genera un riesgo razonable para las personas, hay que avisar a la Agencia por los medios más rápidos posibles y dejar registro. Si involucra datos sensibles, de menores de 14 años o financieros, también hay que avisar a cada persona afectada (art. 14 sexies). La ley no fija un plazo en horas; los plazos de 3 y 72 horas que se leen a menudo son de otra ley, la Ley Marco de Ciberseguridad (21.663), que aplica a servicios esenciales.
  • Cuidar los datos de niños, niñas y adolescentes. Para tratar datos de menores de 14 años se necesita el consentimiento de sus padres o representantes. Los adolescentes de 14 a 17 pueden consentir como adultos, salvo en datos sensibles de menores de 16, que también requieren consentimiento de los padres (art. 16 quáter).

¿Y el encargado de datos? Designar un delegado de protección de datos es voluntario, parte de un modelo de prevención de infracciones que la empresa puede adoptar (arts. 49 y 50). En micro, pequeñas y medianas empresas, el propio dueño puede asumir esa función. No es obligatorio, pero ordena el trabajo y, si el modelo de prevención se certifica ante la Agencia, cuenta como atenuante ante una sanción (art. 36).

¿Esto es lo mismo que activar un banner de cookies?

No. Un banner de consentimiento de cookies cubre una parte específica (cómo se recopilan datos a través de analítica o publicidad en un sitio web), pero la ley abarca mucho más: contratos con proveedores que procesan datos en nombre de la empresa, una política de privacidad real en vez de un texto genérico copiado, procesos internos para responder solicitudes de acceso y borrado, y el manejo de incidentes de seguridad.

Por dónde empezar, en términos prácticos

Este artículo no reemplaza asesoría legal. La ley tiene matices que dependen del rubro y del volumen de datos que maneja cada empresa, y esa parte conviene resolverla con un abogado. Pero desde el lado técnico y operativo, hay tres preguntas que cualquier empresa puede responderse hoy mismo: ¿qué datos de clientes guardamos y en cuántos sistemas distintos viven? ¿Quién tiene acceso a esos datos y por qué? Y si alguno de esos sistemas sufriera una filtración, ¿sabríamos detectarlo y quién debería enterarse?

Responder esas tres preguntas antes de diciembre de 2026 es un punto de partida razonable mientras se resuelve la parte legal.

Guía práctica: los datos de tus clientes en 15 minutos, con un inventario de 4 pasos que puedes hacer hoy en el navegador.

Fuente: texto oficial de la Ley 21.719 y de la Ley 19.628 con sus modificaciones, Biblioteca del Congreso Nacional; estado del proyecto de postergación en la tramitación del Senado (boletín 18.623-07). Los artículos citados corresponden a la Ley 19.628 reformada, salvo el artículo 6° transitorio, que es de la Ley 21.719.

Preguntas frecuentes

¿Cuándo entra en vigencia la Ley 21.719?

La fecha vigente es el 1 de diciembre de 2026. Hay un proyecto de ley (boletín 18.623-07) que propone moverla al 1 de diciembre de 2027, pero mientras no se apruebe y se publique, la fecha no cambia.

¿La Ley 21.719 aplica a las PYMEs?

Sí. Aplica a cualquier empresa que trate datos personales, sin importar su tamaño. El tamaño sí influye en algunas exigencias, como los estándares de seguridad diferenciados que fijará la Agencia de Protección de Datos Personales.

¿Es obligatorio tener un delegado de protección de datos?

No. Designarlo es voluntario y forma parte de un modelo de prevención de infracciones que la empresa puede adoptar. En micro, pequeñas y medianas empresas, el propio dueño puede asumir esa función.