Ley de protección de datos personales en Chile: qué exige la Ley 21.719 y cómo preparar a su empresa
La nueva ley de protección de datos personales (Ley 21.719) cambia por completo la forma en que las empresas chilenas pueden recolectar, usar, guardar y compartir información de clientes, trabajadores y proveedores, y lo hace con un régimen de fiscalización y multas que hasta ahora no existía. La norma reescribe casi por completo la antigua Ley 19.628 —que pasa a llamarse ley sobre Protección de los Datos Personales—, crea una Agencia de Protección de Datos Personales con potestad sancionadora y establece multas que pueden superar los $1.400 millones por infracción. En este artículo explicamos qué exige la ley, cómo funcionan los procedimientos y sanciones, y por qué conviene preparar a su empresa con asesoría legal antes de que comience a regir. Puede revisar el texto oficial en leychile.cl.
1. ¿Cuándo entra en vigencia la nueva ley de datos personales?
Según su artículo primero transitorio, la Ley 21.719 —publicada el 13 de diciembre de 2024— entra en vigencia el 1 de diciembre de 2026. Esa sigue siendo hoy la fecha legal.
Sin embargo, el 1 de septiembre de 2026 el Gobierno ingresó al Senado el Boletín N° 18.623-07, que propone postergar la vigencia hasta el 1 de diciembre de 2027 y ampliar de tres a cinco los consejeros de la Agencia. El 19 de octubre de 2026 la Comisión de Constitución del Senado lo aprobó en general por unanimidad, y el Ejecutivo anunció elevar su urgencia a discusión inmediata. Aun así, sigue en primer trámite: se discute si la prórroga será total o escalonada, y senadores de oposición han planteado que no debería superar los seis meses. Mientras ese proyecto no se apruebe y publique, la fecha no cambia.
El contexto es que la Agencia aún no está instalada: en mayo de 2026 el Senado rechazó la propuesta de consejeros del Gobierno por no reunir los dos tercios de los senadores en ejercicio, y su Consejo Directivo sigue sin constituirse. Con o sin postergación, el mensaje para las empresas es el mismo: el trabajo de adecuación toma meses y debe comenzar ahora. Si su empresa necesita ordenar su gobierno corporativo para este cambio, revise nuestra área de derecho corporativo.
2. ¿A quién se aplica la Ley 21.719?
La ley alcanza a toda persona natural o jurídica que trate datos personales, incluidos los órganos públicos (art. 1°). No distingue por tamaño: una pyme con una planilla de clientes o una nómina de trabajadores ya está tratando datos. Solo queda fuera el uso que hacen las personas naturales en sus actividades personales.
Además, tiene alcance extraterritorial (art. 1° bis): se aplica a empresas extranjeras que ofrezcan bienes o servicios a personas en Chile o que monitoreen su comportamiento, por ejemplo mediante perfilamiento o seguimiento digital.
Las categorías que exigen mayor cuidado son:
Datos sensibles: salud, perfil biológico, datos biométricos (huella digital, iris, rasgos faciales, voz), origen étnico o racial, afiliación política, sindical o gremial, situación socioeconómica, convicciones ideológicas o filosóficas, creencias religiosas, vida sexual, orientación sexual e identidad de género (art. 2° letra g). Por regla general requieren consentimiento expreso (art. 16).
Datos de niños, niñas y adolescentes: solo pueden tratarse atendiendo a su interés superior y a su autonomía progresiva. Los datos de menores de 14 años requieren el consentimiento de padres o representantes, y lo mismo rige para los datos sensibles de adolescentes menores de 16 años (art. 16 quáter).
Datos de geolocalización (art. 16 sexies) y decisiones automatizadas o elaboración de perfiles, frente a las cuales el titular puede oponerse y exigir intervención humana (art. 8° bis).
3. Las nuevas obligaciones de su empresa
La ley pasa de un régimen de buenas intenciones a uno de responsabilidad demostrable: no basta con cumplir, hay que poder acreditarlo. Las obligaciones centrales son:
Base de licitud para cada tratamiento: consentimiento previo, libre, informado, específico e inequívoco (art. 12), o alguna de las otras fuentes del art. 13 (contrato, obligación legal, interés legítimo, ejercicio o defensa de derechos ante tribunales u órganos públicos, entre otras). La empresa debe poder acreditarla.
Deber de información y transparencia (art. 14 ter): política de tratamiento publicada, finalidades, destinatarios, plazos de conservación y canal para ejercer derechos.
Protección desde el diseño y por defecto (art. 14 quáter).
Medidas de seguridad adecuadas al riesgo (art. 14 quinquies) y deber de reportar vulneraciones a la Agencia, por los medios más expeditos y sin dilaciones indebidas, cuando exista un riesgo razonable para los titulares; si afectan datos sensibles, datos de niños menores de 14 años o datos sobre obligaciones económicas, financieras, bancarias o comerciales, también debe informarse a los afectados (art. 14 sexies).
Contratos con proveedores que tratan datos por cuenta de la empresa (art. 15 bis), con contenido mínimo obligatorio.
Evaluación de impacto previa en tratamientos de alto riesgo, como tratamiento masivo, perfilamiento o datos sensibles (art. 15 ter).
Transferencias internacionales solo a países adecuados o con garantías como cláusulas contractuales (arts. 27 y 28), lo que impacta directamente el uso de servicios en la nube.
4. Derechos de los titulares y plazos para responder
Las personas pueden ejercer los derechos de acceso, rectificación, supresión, oposición, portabilidad y bloqueo de sus datos (art. 4°). La empresa debe habilitar mecanismos sencillos y expeditos para recibir estas solicitudes; la rectificación, supresión y oposición son siempre gratuitas, y el acceso, al menos una vez por trimestre (art. 10).
Recibida una solicitud, el responsable tiene 30 días corridos para responder, prorrogables una sola vez por otros 30 (art. 11). Si la solicitud se rechaza, la respuesta debe ser fundada e informar que el titular puede reclamar ante la Agencia dentro de 30 días hábiles. Responder fuera de plazo o de forma incompleta ya es una infracción leve, y obstaculizar estos derechos es una infracción grave. Además, si el titular pide el bloqueo temporal de sus datos mientras se resuelve su solicitud, la empresa debe pronunciarse dentro de solo dos días hábiles.
5. Procedimientos ante la Agencia y los tribunales
La Agencia de Protección de Datos Personales tendrá facultades para fiscalizar, interpretar administrativamente la ley, dictar instrucciones y normas generales obligatorias y sancionar (art. 30 bis). Existen dos procedimientos administrativos:
Procedimiento de tutela de derechos (art. 41): se inicia por reclamo del titular dentro de 30 días hábiles; la empresa tiene 30 días corridos, prorrogables, para responder, y puede abrirse un término probatorio de 10 días hábiles. No puede durar más de seis meses.
Procedimiento sancionatorio (art. 42): de oficio o a petición de parte (por ejemplo, a raíz del reclamo de un titular), con formulación de cargos y solo 15 días hábiles para presentar descargos y acompañar prueba. Tampoco puede superar los seis meses.
Contra la resolución de la Agencia procede un reclamo de ilegalidad ante la Corte de Apelaciones (la de Santiago o la del domicilio del reclamante) dentro de 15 días hábiles (art. 43). Una vez ejecutoriada la resolución de la Agencia que acoge el reclamo del titular, o firme la sentencia si hubo reclamo de ilegalidad, los afectados pueden demandar indemnización por daño patrimonial y extrapatrimonial en juicio sumario (art. 47). Son plazos cortos y técnicos, donde la defensa letrada marca la diferencia; conozca nuestra área de solución de conflictos.
6. Infracciones, multas y sanciones: lo que arriesga su empresa
Las infracciones se clasifican en leves, graves y gravísimas (arts. 34 a 34 quáter). Considerando la UTM de octubre de 2026 ($72.151), los montos máximos son (art. 35):
Leves (por ejemplo, no publicar la política de privacidad o responder fuera de plazo): amonestación escrita o multa de hasta 5.000 UTM (≈ $361 millones).
Graves (tratar datos sin base legal, vulnerar la seguridad, no responder solicitudes de bloqueo): hasta 10.000 UTM (≈ $722 millones).
Gravísimas (tratamiento fraudulento, omitir deliberadamente el reporte de una filtración, ceder datos sensibles a sabiendas, no hacer la evaluación de impacto exigida): hasta 20.000 UTM (≈ $1.443 millones).
A esto se suma que, ante reincidencia (dos o más sanciones en 30 meses), la multa puede triplicarse y, en empresas que no son de menor tamaño que reincidan en infracciones graves o gravísimas, alcanzar el 2% o 4% de sus ingresos anuales del giro (arts. 35 y 36). Si no se corrigen las causas en 60 días, se aplica un recargo del 50%. Las infracciones gravísimas reiteradas en 24 meses permiten suspender las operaciones de tratamiento hasta por 30 días (art. 38), y toda sanción queda inscrita por cinco años en un Registro Nacional de Sanciones y Cumplimiento público (art. 39).
Para las empresas de menor tamaño existe un alivio transitorio: durante los primeros 12 meses de vigencia la Agencia podrá aplicar amonestación escrita en lugar de multa (art. sexto transitorio); el proyecto de postergación propone extender ese alivio a todas las empresas. Los datos de trabajadores también están cubiertos, por lo que conviene revisar contratos y reglamento interno con nuestra área de derecho laboral.
7. Por qué contratar abogados para cumplir la ley de protección de datos personales
Cumplir la Ley 21.719 no es un tema solo tecnológico. Muchas decisiones son jurídicas por naturaleza y requieren criterio legal:
Diagnóstico de brechas: identificar qué datos trata la empresa, con qué base legal y qué riesgos tiene.
Redacción de políticas y avisos de privacidad, formularios de consentimiento y protocolos de respuesta a titulares.
Revisión de contratos con proveedores, clientes, plataformas en la nube y empresas del grupo.
Modelo de prevención de infracciones (art. 49), con delegado de protección de datos, que la Agencia certifica (art. 51) conforme al reglamento publicado el 9 de septiembre de 2026. Aunque el modelo es voluntario, toda empresa debe adoptar acciones para prevenir infracciones (art. 48), y tener un modelo certificado es una atenuante expresa ante una sanción (art. 36).
Defensa en procedimientos ante la Agencia, reclamos de ilegalidad y demandas indemnizatorias.
La experiencia comparada con el reglamento europeo (GDPR) muestra que las empresas que tratan el cumplimiento como un trámite terminan pagando dos veces: en multas y en confianza perdida. Además, los propios clientes corporativos ya están exigiendo a sus proveedores acreditar cumplimiento como condición para contratar.
Resumen
La Ley 21.719 rige, según su texto actual, desde el 1 de diciembre de 2026; existe un proyecto para postergarla a 2027, aprobado en general por la Comisión de Constitución del Senado, que aún no es ley.
Se aplica a toda empresa que trate datos personales en Chile, sin importar su tamaño, e incluso a empresas extranjeras.
Impone deberes de transparencia, seguridad, reporte de filtraciones, contratos con proveedores y evaluaciones de impacto.
Las multas llegan a 20.000 UTM y, en reincidencia, al 4% de los ingresos anuales, además de la suspensión de operaciones y el registro público de sanciones.
Un modelo de prevención certificado atenúa la responsabilidad y es la mejor herramienta para demostrar cumplimiento.
Preguntas frecuentes
¿Cuándo empieza a regir la ley de protección de datos personales?
Según su texto vigente, el 1 de diciembre de 2026. El Gobierno propuso postergarla al 1 de diciembre de 2027 (Boletín 18.623-07) y el proyecto ya fue aprobado en general en la Comisión de Constitución del Senado, pero mientras el Congreso no lo despache y se publique como ley, la fecha legal no se modifica.
¿Mi pyme también debe cumplir la Ley 21.719?
Sí. La ley no exime a nadie por tamaño. Lo que cambia es la exigencia práctica: la Agencia fijará estándares diferenciados según el tamaño de la empresa (art. 14 septies) y, durante el primer año, podrá aplicar amonestaciones en vez de multas a las empresas de menor tamaño.
¿Cuánto puede costar una multa por infringir la ley?
Hasta 5.000, 10.000 o 20.000 UTM según sea leve, grave o gravísima; a valor de octubre de 2026, esto equivale aproximadamente a $361, $722 y $1.443 millones. En caso de reincidencia, puede triplicarse y, para empresas que no son de menor tamaño, llegar al 2% o 4% de los ingresos anuales.
¿Es obligatorio designar un delegado de protección de datos?
No. La ley dice que el responsable «podrá» designarlo (art. 50) y, en las pymes, el dueño o sus máximas autoridades pueden asumir ese rol. Pero es un elemento obligatorio del modelo de prevención de infracciones, y tener un modelo certificado por la Agencia sirve como atenuante y demuestra diligencia ante clientes y autoridades.
¿Qué hago si mi empresa sufre una filtración de datos?
Debe reportarla a la Agencia por los medios más expeditos posibles y sin dilaciones indebidas, y registrar el incidente. Si involucra datos sensibles, de niños menores de 14 años o sobre obligaciones económicas, financieras, bancarias o comerciales, debe informar también a los afectados. Omitir deliberadamente esa comunicación es una infracción gravísima.
Cómo lo acompaña Varela Abogados
En Varela Abogados asesoramos a empresas en el diagnóstico, la implementación y la defensa en materia de protección de datos personales, integrando la mirada corporativa, laboral y litigiosa. Agende una reunión en varelaabogados.cl y prepare a su empresa antes de que la Agencia comience a fiscalizar.
Este artículo tiene un propósito exclusivamente informativo y no constituye asesoría legal.
Comentarios