Cumplimiento Normativo Ley 21.719 📅 Agosto 2026 | ⏱️ 8 min de lectura
La Ley 21.719 de Protección de Datos Personales entra en plena vigencia el 1 de diciembre de 2026 con un régimen sancionatorio que por primera vez le da dientes reales a la protección de datos en Chile. La Agencia de Protección de Datos puede multar, suspender operaciones y publicar las sanciones en un registro nacional. Entender cuánto arriesga tu empresa según el tipo de infracción es el primer paso para decidir qué priorizar.
¿Cómo funciona el régimen de multas de la Ley 21.719?
Las infracciones se clasifican en tres categorías con montos distintos. Lo que determina en qué categoría cae una infracción no es solo el incumplimiento en sí — la Agencia evalúa la intencionalidad, el daño causado, la capacidad económica del infractor, el número de personas afectadas y las medidas adoptadas para mitigar. Tener evidencia documentada de controles operativos es la diferencia entre una infracción leve y una gravísima sobre el mismo hecho.
ℹ️ Las multas se expresan en UTM (Unidad Tributaria Mensual). El valor de referencia es aproximadamente $69.611 CLP a febrero de 2026. Los valores en pesos son referenciales y varían con la UTM.
¿Cuáles son las tres categorías de infracción y sus multas?
⚠️ Infracciones Leves — Art. 34 bis
Hasta 5.000 UTM
~$348 millones CLP / ~USD 305.000
Sanción: amonestación escrita o multa hasta 5.000 UTM.
Conductas que generan infracción leve:
- →Incumplir total o parcialmente el deber de información y transparencia
- →Omitir respuestas a solicitudes de titulares fuera del plazo de 30 días
- →No enviar comunicaciones obligatorias a la Agencia en plazo
- →Incumplimientos formales que no impliquen daño directo al titular
🚨 Infracciones Graves — Art. 34 ter
Hasta 10.000 UTM
~$696 millones CLP / ~USD 610.000
Sanción: multa hasta 10.000 UTM. En reincidencia para empresas no pyme: hasta 2% de los ingresos anuales o el triple de la multa, lo que sea mayor.
Conductas que generan infracción grave:
- →Tratar datos personales sin consentimiento válido o sin base legal
- →Vulnerar el deber de secreto y confidencialidad
- →Adoptar medidas de seguridad insuficientes o inadecuadas al riesgo
- →Obstaculizar o impedir el ejercicio de los derechos ARCOPB
- →Tratamiento ilícito de datos de menores de edad
💀 Infracciones Gravísimas — Art. 34 quáter
Hasta 20.000 UTM
~$1.392 millones CLP / ~USD 1.200.000
Sanción: multa hasta 20.000 UTM + posible suspensión del tratamiento. En reincidencia para empresas no pyme: hasta 4% de los ingresos anuales o el triple de la multa, lo que sea mayor.
Conductas que generan infracción gravísima:
- →Tratar datos sensibles sin consentimiento expreso (salud, biométricos, origen étnico, etc.)
- →Transferir datos internacionalmente sin las garantías exigidas por la ley
- →Obstruir deliberadamente las facultades de fiscalización de la Agencia
- →Incumplir una medida provisional o definitiva dictada por la Agencia
¿Cuánto puede llegar a costar en la práctica?
| Categoría | Multa base | En pesos CLP | En reincidencia (no pyme) |
|---|---|---|---|
| ⚠️ Leve | Hasta 5.000 UTM | ~$348 millones | Sin multiplicador especial |
| 🚨 Grave | Hasta 10.000 UTM | ~$696 millones | Triple o 2% ingresos anuales |
| 💀 Gravísima | Hasta 20.000 UTM | ~$1.392 millones | Triple o 4% ingresos anuales |
| + Recargo por no subsanar | +50% sobre la multa si no se corrige en 60 días desde que la Agencia lo ordena | ||
🚨 El tope de 60.000 UTM (~$4.176 millones CLP) no es el tope general — corresponde exclusivamente a la triplicación de una multa gravísima por reincidencia. Es la sanción máxima posible bajo la ley.
¿Qué dato importante tienen las pymes?
✅ Año de gracia para pymes
Las empresas que califican como de menor tamaño bajo la Ley 20.416 (pymes) tienen un beneficio concreto: durante el primer año de vigencia plena — del 1 de diciembre de 2026 al 1 de diciembre de 2027 — solo pueden recibir amonestación escrita en lugar de multa económica. No están exentas de cumplir — solo de la sanción económica en ese primer año.
⚠️ El año de gracia no significa que no pase nada. La Agencia puede investigar, requerir información, iniciar procedimientos sancionatorios y emitir amonestaciones escritas que quedan registradas — y que activan la reincidencia cuando termine el año de gracia.
¿Qué sanciones accesorias puede aplicar la Agencia además de la multa?
Suspensión temporal del tratamiento
La Agencia puede ordenar suspender las operaciones de tratamiento de datos por hasta 30 días ante infracciones gravísimas. Para muchas empresas eso equivale a una paralización operacional parcial o total.
Registro Nacional de Sanciones
Las sanciones se inscriben en un registro público consultable por hasta 5 años. Auditores, clientes, socios comerciales y organismos públicos pueden consultarlo. Impacta directamente en licitaciones y relaciones comerciales.
Publicidad de la sanción
La Agencia puede ordenar que la empresa infractora publique la sanción recibida en sus propios canales de comunicación. El daño reputacional puede ser más costoso que la multa misma.
¿Qué factores considera la Agencia para determinar el monto exacto?
La ley no obliga a imponer siempre la multa máxima. La Agencia gradúa la sanción dentro de cada rango considerando:
| Factores agravantes | Factores atenuantes |
|---|---|
| Intencionalidad o dolo | Actuar de buena fe |
| Alto número de personas afectadas | Colaborar con la Agencia |
| Daño significativo a los titulares | Subsanar la infracción antes de la resolución |
| Beneficio económico obtenido | Adoptar medidas para mitigar el daño |
| Reincidencia en infracciones previas | Tener un Modelo de Prevención certificado |
| No subsanar en 60 días (+50%) | No tener antecedentes previos |
🟣 El atenuante más poderoso: adoptar voluntariamente un Modelo de Prevención de Infracciones certificado e inscribirse en el Registro Nacional de Cumplimiento. La ley lo contempla expresamente como atenuante relevante en la graduación de la sanción.
¿Cuáles son los disparadores más comunes de una sanción?
Los incumplimientos que con mayor frecuencia activan una fiscalización o sanción no son los más obvios:
- 🚩Dispositivos perdidos o robados sin cifrado verificado — dispara infracción grave por medidas de seguridad insuficientes
- 🚩RAT desactualizado o inexistente — primer documento que pedirá la Agencia
- 🚩Notificación de brecha fuera del plazo de 72 horas — infracción grave automática
- 🚩No responder una solicitud ARCOPB en 30 días — infracción leve que puede escalar
- 🚩Proveedores sin contrato DPA firmado — responsabilidad solidaria ante brechas
¿Cómo reducir la exposición real de tu empresa?
Reducir el riesgo de sanción no requiere cumplimiento perfecto desde el primer día — requiere evidencia documentada de que la empresa está tomando medidas concretas y proporcionales al riesgo.
Lo que más reduce la exposición:
- ✅RAT documentado y actualizado — demuestra que conoces los datos que tratas
- ✅Protocolo de brechas activo — demuestra que puedes responder en 72 horas
- ✅Contratos DPA con proveedores firmados — elimina responsabilidad solidaria
- ✅Capacitaciones documentadas — demuestra que el equipo conoce sus obligaciones
- ✅Modelo de Prevención certificado — el atenuante más poderoso ante la Agencia
Para entender el proceso completo de cumplimiento, revisa nuestra guía práctica para cumplir la Ley 21.719 antes de diciembre 2026. Para el contexto legal de ciberseguridad que complementa esta ley, revisa la Ley Marco de Ciberseguridad en Chile. Y si tu empresa podría ser Operador de Importancia Vital, revisa las nóminas OIV y lo que dice la ANCI.
El régimen sancionatorio de la Ley 21.719 no es cosmético. Las multas tienen topes concretos, la Agencia tiene poder real de fiscalización, existe un registro público de infractores y los casos más graves pueden derivar en suspensión de operaciones. Pero la ley también contempla atenuantes concretos para quienes demuestran esfuerzo real de cumplimiento. La diferencia entre una sanción menor y una gravísima casi siempre está en la documentación — no en la gravedad del hecho en sí.
¿Sabes exactamente en qué categoría de riesgo está tu empresa?
En CSITI realizamos un diagnóstico de cumplimiento que identifica qué infracciones está cometiendo tu empresa hoy, qué multa potencial generan y qué acciones priorizar para reducir esa exposición antes de diciembre.
