La Ley 21.719 es la nueva ley de protección de datos personales de Chile. Entra en vigor el 1 de diciembre de 2026 y aplica a cualquier organización, pública o privada, que trate datos personales de residentes chilenos, sin importar su tamaño. Reemplaza a la ley vigente desde 1999 (19.628) con un marco más moderno, alineado a estándares como el GDPR europeo.

¿A quién le aplica?

A cualquier empresa que recopile, almacene o procese datos personales de personas en Chile: nombre, correo, teléfono, historial de compras, datos de un formulario web, lo que sea. No hay excepción por tamaño. Una PYME con un formulario de contacto en su sitio web ya está tratando datos personales y queda dentro del alcance de la ley.

¿Qué pasa si mi empresa no cumple?

La ley crea una nueva Agencia de Protección de Datos Personales (APDP), encargada de fiscalizar y aplicar multas de hasta 20.000 UTM (cerca de USD 1.550.000) o el 4% de los ingresos anuales de la empresa, lo que resulte mayor. Con un matiz importante para las PYMEs: durante el primer año de vigencia (diciembre 2026 a diciembre 2027) quedan sujetas solo a amonestaciones, no a multas. Es un margen real para adaptarse sin sanción económica inmediata, no una razón para postergarlo indefinidamente.

¿Qué tiene que hacer una empresa antes de diciembre?

Cuatro obligaciones concretas aplican a la mayoría de las empresas:

  • Designar un responsable de datos. Alguien dentro de la empresa, no necesariamente un cargo nuevo, que supervise el tratamiento de datos y actúe como enlace con la Agencia.
  • Documentar cómo se tratan los datos. Qué datos se recopilan, con qué base legal, dónde se almacenan y quién tiene acceso.
  • Notificar incidentes dentro de 72 horas. Si ocurre una vulneración de seguridad que exponga datos personales, hay que avisar a la Agencia y, si el riesgo es alto, también a las personas afectadas.
  • Protección reforzada para menores de edad. El consentimiento del propio menor no basta. Se requiere autorización verificable de un padre, madre o tutor, y esos datos nunca pueden usarse con fines comerciales ni publicitarios.

¿Esto es lo mismo que activar un banner de cookies?

No. Un banner de consentimiento de cookies cubre una parte específica (cómo se recopilan datos a través de analítica o publicidad en un sitio web), pero la ley abarca mucho más: contratos con proveedores que procesan datos en nombre de la empresa, políticas de privacidad reales en vez de un texto genérico copiado, procesos internos de acceso y borrado de datos, y el manejo de incidentes de seguridad.

Por dónde empezar, en términos prácticos

Este artículo no reemplaza asesoría legal. La ley tiene matices que dependen del rubro y del volumen de datos que maneja cada empresa, y esa parte conviene resolverla con un abogado. Pero desde el lado técnico y operativo, hay tres preguntas que cualquier empresa puede responderse hoy mismo: ¿qué datos de clientes guardamos y en cuántos sistemas distintos viven? ¿Quién tiene acceso a esos datos y por qué? Y si alguno de esos sistemas sufriera una filtración, ¿sabríamos detectarlo y quién debería enterarse?

Responder esas tres preguntas antes de diciembre de 2026 es un punto de partida razonable mientras se resuelve la parte legal.