Cumplimiento Normativo Ley 21.719 📅 Agosto 2026 | ⏱️ 12 min de lectura
La Ley 21.719 de Protección de Datos Personales entra en plena vigencia en diciembre de 2026. Quedan pocos meses y la mayoría de las empresas chilenas aún no ha tomado medidas concretas. Esta guía detalla, paso a paso, qué debe hacer tu organización antes de que entre en vigor la fiscalización con multas de hasta 20.000 UTM.
⚠️ ¿A quién aplica esta ley?
A toda empresa que trate datos personales de personas naturales en Chile — sin importar su tamaño ni sector. Si tienes clientes, empleados, proveedores o usuarios web, tratas datos personales y esta ley te aplica.
¿Qué exige la Ley 21.719 a las empresas?
La Ley 21.719 reemplaza la antigua Ley 19.628 de 1999 y se alinea con estándares internacionales como el GDPR europeo. Introduce obligaciones concretas que van mucho más allá de tener una política de privacidad publicada en el sitio web.
Sus pilares fundamentales son tres:
Derechos ARCOPB para los titulares
Acceso, Rectificación, Cancelación, Oposición, Portabilidad y Bloqueo. Los titulares de datos pueden ejercer cualquiera de estos derechos y tu empresa debe responder en un plazo máximo de 30 días corridos, prorrogables por otros 30.
Bases de licitud para cada tratamiento
Todo tratamiento de datos debe apoyarse en una base legal válida: consentimiento, contrato, obligación legal, interés vital, interés legítimo o tratamiento de obligaciones económicas. Tratar datos sin base es infracción grave.
Agencia de Protección de Datos (APDP)
Chile contará por primera vez con una autoridad fiscalizadora independiente con poder real: puede iniciar investigaciones de oficio, aplicar multas, ordenar suspensión de tratamientos y publicar un Registro Nacional de Sanciones.
¿Cuáles son las multas por incumplir la Ley 21.719?
| Categoría | Ejemplos de infracciones | Sanción |
|---|---|---|
| ⚠️ Leve | Incumplimiento parcial del deber de transparencia, no responder solicitudes ARCOPB en plazo, omitir comunicaciones obligatorias a la Agencia | Amonestación o hasta 5.000 UTM |
| 🚨 Grave | Tratar datos sin base de licitud, vulnerar el deber de secreto, medidas de seguridad insuficientes, obstaculizar derechos ARCOPB, tratamiento ilícito de datos de menores | Hasta 10.000 UTM |
| 💀 Gravísima | Tratar datos sensibles sin consentimiento, transferir datos internacionalmente sin garantías, obstruir a la Agencia | Hasta 20.000 UTM o 4% de ingresos anuales en reincidencia |
🚨 Además de las multas, la Agencia puede suspender las operaciones de tratamiento de datos por hasta 30 días ante infracciones gravísimas reiteradas en 24 meses — y prorrogar esa suspensión indefinidamente si no se cumple lo ordenado. Para muchas empresas, eso equivale a una paralización operacional.
¿Cómo cumplir la Ley 21.719 antes de diciembre 2026? Checklist paso a paso
Este checklist está ordenado por prioridad y complejidad. Lo más urgente primero.
Paso 1 — Urgente
📋 Mapear todos los datos personales que trata tu empresa
Antes de cualquier otra acción, necesitas saber qué datos tratas, con qué finalidad, en qué sistemas están almacenados, quién tiene acceso y cuánto tiempo los conservas. Este es el Registro de Actividades de Tratamiento (RAT) — lo primero que pedirá un fiscalizador.
El RAT debe incluir: categorías de datos, finalidades, bases de licitud, destinatarios, plazos de conservación y medidas de seguridad aplicadas.
Paso 2 — Urgente
⚖️ Definir la base de licitud de cada tratamiento
Cada tipo de tratamiento de datos debe tener una base legal identificada y documentada. No todo requiere consentimiento — muchos tratamientos pueden apoyarse en contrato, obligación legal o interés legítimo. Pero todos deben tener una base válida.
Las 6 bases de licitud:
- 1.Consentimiento — libre, específico, informado, inequívoco y revocable
- 2.Contrato — el tratamiento es necesario para ejecutar un contrato con el titular
- 3.Obligación legal — una ley o reglamento chileno exige el tratamiento
- 4.Interés vital — proteger la vida o integridad física del titular
- 5.Interés legítimo — con ponderación que no afecte los derechos del titular
- 6.Obligaciones económicas — para el tratamiento regulado por el Título III
Paso 3 — Urgente
🌐 Actualizar la política de privacidad del sitio web
La ley exige que la política de privacidad sea accesible públicamente e incluya información mínima obligatoria. Una política genérica copiada de internet no cumple.
La política debe incluir obligatoriamente:
- •Identidad y datos de contacto del responsable del tratamiento
- •Categorías de datos que se tratan y sus finalidades
- •Base de licitud de cada tratamiento
- •Destinatarios o categorías de destinatarios
- •Transferencias internacionales de datos si las hay
- •Plazos de conservación de cada categoría
- •Mecanismos para ejercer los derechos ARCOPB
Paso 4 — Importante
📞 Diseñar el procedimiento de respuesta a solicitudes ARCOPB
Debes tener un proceso documentado para recibir, validar y responder solicitudes de los titulares dentro del plazo legal: 30 días corridos, prorrogables por otros 30. La solicitud de bloqueo temporal debe responderse en 2 días hábiles. Prueba el proceso con un dato ficticio antes de diciembre.
Paso 5 — Importante
🚨 Diseñar el protocolo de notificación de brechas
La ley exige notificar a la Agencia dentro de las 72 horas desde que se tiene conocimiento de una brecha de seguridad que afecte datos personales. Si no tienes un proceso claro para detectar, evaluar y notificar incidentes, es imposible cumplir ese plazo. Define quién notifica, cómo y con qué información.
Paso 6 — Importante
🤝 Firmar contratos de encargo con proveedores que traten datos
Todo proveedor que procese datos personales por cuenta de tu empresa — tu CRM, plataforma de email marketing, empresa de TI externa, call center, software de nómina — debe tener un Acuerdo de Tratamiento de Datos (DPA) firmado que establezca obligaciones, medidas de seguridad y responsabilidades ante brechas. Sin ese contrato, la responsabilidad recae sobre tu empresa.
Paso 7 — Según corresponda
📊 Realizar Evaluaciones de Impacto en Privacidad (EIPD)
Obligatoria para tratamientos de alto riesgo: perfilamiento sistemático, tratamiento masivo de datos sensibles (salud, biométricos, penales), videovigilancia de espacios públicos o combinación de fuentes que amplíe significativamente el riesgo. Si tu empresa realiza alguno de estos tratamientos, la EIPD debe estar documentada antes de diciembre.
Paso 8 — Recomendado
🛡️ Implementar medidas técnicas de seguridad proporcionales
La ley exige medidas técnicas y organizativas proporcionales al riesgo del tratamiento. Esto incluye control de accesos, cifrado, registros de actividad, sistemas de detección de brechas y planes de continuidad. La violación de estas obligaciones de seguridad es infracción grave (hasta 10.000 UTM).
Paso 9 — Recomendado
📣 Capacitar al equipo
Quienes acceden a datos personales en el ejercicio de sus funciones quedan sujetos al deber de confidencialidad — incluso después de terminada la relación laboral. El equipo debe conocer qué datos trata, por qué y cómo protegerlos. La capacitación debe estar documentada.
Paso 10 — Opcional pero valioso
📜 Adoptar un Modelo de Prevención de Infracciones
La Ley 21.719 contempla que las empresas que adopten voluntariamente un modelo certificado de prevención de infracciones pueden inscribirse en el Registro Nacional de Cumplimiento y acceder a atenuantes en caso de sanción. Es una forma concreta de demostrar buena fe ante la Agencia.
¿Qué diferencia a una empresa preparada de una que no lo está?
| Situación | Sin preparación | Con preparación |
|---|---|---|
| Solicitud ARCOPB de un cliente | No sabe qué datos tiene ni cómo responder | Proceso definido, responde en plazo |
| Brecha de seguridad | No detecta ni notifica en 72 horas | Protocolo activo, notifica en plazo |
| Fiscalización de la APDP | No puede acreditar licitud de tratamientos | RAT, contratos y políticas disponibles |
| Sanción por infracción | Sin atenuantes, máxima exposición | Modelo de cumplimiento → atenuantes |
| Licitación con empresa grande | No puede acreditar cumplimiento | Certificación como ventaja competitiva |
✅ La APDP fiscaliza evidencia, no declaraciones. Una política de privacidad publicada sin procesos operativos detrás, registros datados ni capacitaciones documentadas no acredita cumplimiento. Lo que importa es poder demostrar que cada obligación se cumple en la práctica.
Para entender las obligaciones técnicas que complementan el cumplimiento legal, revisa nuestra entrada sobre la Ley 21.719 y las obligaciones para empresas. Para implementar un marco de gestión de seguridad de la información que facilite el cumplimiento, revisa nuestra guía sobre ISO 27001 en Chile: guía práctica para implementarla. Y para el marco legal de ciberseguridad que complementa esta ley, revisa la Ley Marco de Ciberseguridad en Chile.
El cumplimiento de la Ley 21.719 no es un trámite de una tarde. Es un proceso que requiere mapear, documentar, implementar y mantener. Las empresas que lo dejan para el último momento enfrentan dos opciones igualmente malas: cumplir de forma superficial que no resiste una fiscalización, o no cumplir y asumir las consecuencias. Quedan pocos meses. El momento de empezar es ahora.
¿Sabes exactamente qué le falta a tu empresa para cumplir?
En CSITI realizamos un diagnóstico de cumplimiento de la Ley 21.719 para tu empresa: identificamos qué tratamientos realizas, qué bases de licitud tienes cubiertas, qué políticas y procesos faltan, y qué priorizar antes de diciembre. Con un plan concreto y accionable.
