La pregunta que más busca la gente en Google Chile sobre la Ley 21.719 no es sobre las multas —eso también— sino sobre quién va a hacer cumplir la ley. Cinco variantes de “agencia de protección de datos personales chile” y “APDP chile” aparecen en el autocompletado, y casi nadie las responde bien.
Tiene sentido: saber que hay una multa de 20.000 UTM no cambia nada si no sabes quién la aplica, cómo funciona ese proceso o qué pide el organismo cuando llega. En esta nota explico todo eso.
Qué es la APDP
La Agencia de Protección de Datos Personales (APDP) es un organismo autónomo del Estado chileno creado exclusivamente por la Ley 21.719. Autónomo significa que no depende de ningún ministerio ni superintendencia existente: tiene personalidad jurídica y patrimonio propio, y su director es designado por el Presidente de la República con acuerdo del Senado.
Esto cambia radicalmente el esquema que había hasta ahora. Hasta la Ley 21.719, la protección de datos en Chile operaba bajo la Ley 19.628 —la vieja ley del 99— sin un organismo específico que la hiciera cumplir. Las vulneraciones existían, pero la vía de reclamo era civil, ante tribunales ordinarios, y la mayoría de los titulares simplemente no lo hacía porque era caro y lento. La APDP cambia eso por completo: hay un organismo especializado, con poder sancionatorio propio, que puede actuar sin necesidad de que nadie demande.
Entra en funciones el 1 de diciembre de 2026, cuando la ley entra en vigencia plena.
El triple mandato que la hace diferente
Lo que distingue a la APDP de otras superintendencias chilenas es que tiene tres roles simultáneos, no uno.
Fiscaliza. Monitorea que las organizaciones —empresas, instituciones públicas, ONGs— cumplan con las obligaciones de la ley. Puede revisar documentación, hacer visitas inspectivas y requerir información. Y lo que más sorprende a los gerentes cuando lo escuchan: puede hacerlo de oficio, sin esperar ninguna denuncia. Por iniciativa propia.
Sanciona. Cuando detecta infracciones, aplica multas dentro de los rangos que establece la ley: hasta 100 UTM para infracciones leves, hasta 1.000 UTM para infracciones graves, y hasta 20.000 UTM para infracciones gravísimas. El detalle de qué tipifica en cada categoría está en el artículo sobre las multas de la Ley 21.719.
Regula. La APDP emite instrucciones vinculantes: normas generales, guías técnicas, reglamentos sectoriales. Lo que la ley deja abierto —“medidas técnicas y organizativas adecuadas”— la APDP lo define con especificidad. Esto significa que el cumplimiento no es solo cumplir la ley: es cumplir también lo que la APDP vaya definiendo, por sector y por tipo de dato.
Las facultades concretas
Cuando me preguntan qué puede hacer realmente la APDP, la respuesta más útil es esta lista:
- Solicitar documentación a cualquier organización: registros de tratamiento, contratos con proveedores, políticas de privacidad, registros de incidentes. Las organizaciones no pueden negarse sin consecuencias.
- Citar a declarar a representantes legales y funcionarios responsables del tratamiento.
- Realizar inspecciones en terreno, incluyendo acceso a sistemas informáticos cuando sea necesario para la investigación.
- Dictar medidas provisionales mientras dura la investigación: puede suspender temporalmente un tratamiento de datos si hay riesgo grave para los titulares.
- Emitir instrucciones de cumplimiento antes de aplicar una multa, fijando un plazo para corregir.
- Resolver reclamos de personas naturales que denuncien vulneraciones a sus derechos.
- Aplicar multas graduadas según agravantes y atenuantes, dentro de los rangos legales.
Y la que más sorprende: obstaculizar una investigación de la APDP es en sí misma una infracción gravísima. No responder a tiempo, negar acceso a documentación o entregar información falsa eleva automáticamente la categoría del caso. No es una posición en que quieras estar.
Cómo funciona una fiscalización por dentro
Cuando la APDP inicia una investigación —por denuncia o de oficio— el proceso tiene una secuencia bastante predecible. Entenderla es útil en ambos sentidos: si eres la organización investigada, y si eres la persona que presentó el reclamo.
Notificación de inicio
La organización recibe una notificación formal indicando que se ha iniciado una investigación, las materias que se revisan y los plazos para responder. No es una invitación: es un acto administrativo con efectos jurídicos desde que se notifica.
Requerimiento de documentación
Aquí es donde el 90% de las organizaciones que no se prepararon descubren el problema. La APDP pide, desde el principio, documentación muy específica.
El Registro de Actividades de Tratamiento (RAT). Qué datos procesas, para qué finalidad, quién tiene acceso y por cuánto tiempo se conservan. Si no existe, la investigación parte con esa infracción ya documentada.
La base legal de cada tratamiento. ¿Bajo qué fundamento legal procesas los datos de tus clientes, empleados y proveedores? Consentimiento, contrato, interés legítimo u obligación legal. Cada tratamiento necesita su base definida y documentada. Si no está, se asume que no existe.
Los contratos de tratamiento por encargo (DPA) con cada proveedor que toca los datos de la organización: el proveedor de correo masivo, el CRM en la nube, la plataforma de pagos, el sistema de videoconferencias, el servicio de RRHH. Cada uno debería tener un contrato firmado que defina qué puede hacer con esos datos y qué no.
El plan de respuesta a incidentes. ¿Qué hace la organización si mañana se filtran datos de clientes? La ley exige notificar a la APDP y a los titulares afectados dentro de 72 horas desde que se detecta el incidente. Sin un plan documentado, eso es imposible de cumplir.
Los mecanismos para ejercer derechos ARCO ampliados: acceso, rectificación, cancelación, oposición, portabilidad y eliminación. ¿Tiene la organización un canal formal para recibir y responder estas solicitudes? ¿Con qué plazo?
Si no tienes ninguno de esos documentos cuando llega la notificación, la APDP ya sabe que incumples y está determinando cuánto. En nuestra consultoría informática nos toca a veces hacer ese diagnóstico de urgencia con clientes que recién se enteran del nivel de exposición — y siempre es más complejo de resolver bajo presión.
Descargos
La organización tiene un plazo para presentar sus argumentos y pruebas de cumplimiento. Los atenuantes que más pesan en esta etapa: haber adoptado medidas previas al inicio de la investigación, rectificar voluntariamente la situación y colaborar entregando información completa y a tiempo. Ninguno exime, pero todos reducen la sanción.
Resolución
La APDP dicta una resolución que puede absolver, emitir una instrucción de cumplimiento sin multa inmediata, o aplicar una multa dentro del rango de la categoría correspondiente. Las resoluciones son públicas: la sanción queda registrada y es consultable. Eso tiene un efecto reputacional que va más allá del monto.
Las resoluciones son apelables ante la Corte de Apelaciones de Santiago.
Cómo presentar un reclamo si eres titular de datos
Esta sección es para el otro lado: las personas naturales cuyos datos fueron tratados de forma indebida.
A partir del 1 de diciembre de 2026, cualquier persona que considere que una organización vulneró sus derechos puede presentar un reclamo directamente ante la APDP. El reclamo requiere identificar al responsable —la empresa u organización—, describir el hecho y aportar antecedentes: documentos, correos, capturas de pantalla, registros de lo que ocurrió.
La APDP puede derivar el caso a mediación antes de abrir una investigación formal, especialmente cuando la vulneración es corregible sin proceso sancionatorio. Si la mediación falla o el caso es grave, se abre la investigación completa.
Una pregunta frecuente: ¿conviene ir a la APDP o directamente a tribunales? Las dos vías son independientes y pueden usarse en paralelo. La APDP es más rápida, especializada y gratuita. Los tribunales civiles permiten demandar directamente por daños y perjuicios, pero con tiempos y costos distintos. En casos donde hay daño económico real, muchos abogados recomiendan usar ambas: la APDP para la sanción administrativa, los tribunales para la compensación.
La diferencia entre la APDP y SERNAC
Muchos clientes me preguntan si la APDP es “como SERNAC pero para datos”. La analogía ayuda a entender el concepto, pero hay una diferencia que importa.
SERNAC actúa principalmente por denuncia: alguien se queja y SERNAC media. La APDP tiene facultades de fiscalización proactiva: puede auditar organizaciones, monitorear sectores enteros y abrir investigaciones sin que ningún titular se haya quejado todavía. Es más parecida a la Fiscalía Nacional Económica o a la Comisión para el Mercado Financiero en ese sentido: un regulador con iniciativa propia, no solo un árbitro de disputas.
Esto cambia lo que significa “estar en cumplimiento”. No basta con no recibir quejas. La APDP puede llegar —con aviso, por notificación formal— y pedir los documentos ese mismo día. Si no los tienes, el problema empieza ahí.
Lo que está pasando ahora mismo
La ley fue promulgada en 2024, con un período de transición de dos años para que las organizaciones se adecuaran y para que el Estado constituyera la Agencia.
Al momento de escribir esto —agosto de 2026— el proceso de constitución de la APDP está en curso. Faltan algo menos de cuatro meses para el 1 de diciembre. Lo que aún no está completamente publicado son algunos reglamentos sectoriales que la Agencia emitirá antes de empezar a fiscalizar. Lo que sí está definido —y no va a cambiar— es la estructura, las facultades, los plazos de vigencia y las obligaciones mínimas que cualquier organización debe cumplir.
La recomendación: no esperar los reglamentos para empezar. Las obligaciones mínimas están en la ley y son claras: RAT, bases legales, DPA, plan de incidentes, canal ARCO. Los reglamentos van a agregar especificidad sectorial, no reemplazar esas obligaciones.
Por dónde partir si no sabes dónde estás
El primer paso es siempre mapear qué datos tratas y bajo qué condiciones. Sin ese mapa, cualquier plan de adecuación está construido sobre una base ciega.
En /diagnostico-ley-21719 hay un evaluador gratuito que permite hacer ese mapeo inicial en 15 minutos. Es el mismo punto de partida que usamos antes de cualquier diagnóstico más profundo con clientes: te dice qué categorías de datos tratas, qué obligaciones específicas te aplican y cuáles son los riesgos más urgentes según tu perfil. Es también el tipo de herramienta que la APDP ve favorablemente: muestra que la organización hizo el ejercicio, aunque todavía esté en proceso de implementación.
Si ya sabes que necesitas avanzar con el proceso completo —RAT, revisión de consentimientos, DPA con proveedores, ajustes en sistemas, habilitación de derechos ARCO— en nuestra área de cumplimiento de la Ley 21.719 acompañamos ese proceso entero. La documentación técnica la manejamos nosotros; el componente legal lo coordinamos con los abogados especializados del cliente; los cambios técnicos en sistemas los implementamos directamente. En organizaciones medianas, la adecuación mínima toma entre 6 y 12 semanas de trabajo real.
Cuatro meses dan para eso —pero no dan para esperar.
Preguntas frecuentes
¿Qué es la APDP?
La Agencia de Protección de Datos Personales es un organismo autónomo del Estado chileno creado por la Ley 21.719. Es la entidad responsable de fiscalizar el cumplimiento de la ley, resolver reclamos de titulares, sancionar infracciones y emitir normativa vinculante en materia de protección de datos. Opera con plena autonomía: no depende de ningún ministerio ni superintendencia existente.
¿Quién fiscaliza la Ley 21.719 en Chile?
La APDP. Es el único organismo con facultades para investigar, sancionar y regular en materia de protección de datos bajo la nueva ley. Puede actuar de oficio —por iniciativa propia, sin esperar denuncias— y tiene potestad para aplicar multas de hasta 20.000 UTM (~$1.400M CLP).
¿Cómo presentar un reclamo ante la APDP?
A partir del 1 de diciembre de 2026, cualquier titular de datos puede presentar un reclamo identificando al responsable del tratamiento, describiendo el hecho denunciado y aportando los antecedentes que lo respaldan. La APDP puede derivar el caso a mediación antes de abrir investigación formal. La vía administrativa ante la APDP y la vía civil ante tribunales son independientes y pueden usarse en paralelo.
¿Qué pide la APDP cuando inicia una fiscalización?
Lo primero que requiere es documentación específica: el RAT (Registro de Actividades de Tratamiento), la base legal de cada tratamiento, los contratos DPA con proveedores que procesan los datos, el plan de respuesta a incidentes y los mecanismos habilitados para que los titulares ejerzan sus derechos ARCO. Si ninguno de esos documentos existe, la investigación parte con esa realidad documentada.
¿Cuándo empieza a funcionar la APDP?
El 1 de diciembre de 2026. Desde esa fecha puede fiscalizar, sancionar y resolver reclamos de titulares. El proceso de constitución de la Agencia —designación de directivos, asignación de presupuesto, publicación de reglamentos operativos— ocurre durante el período de transición previo a esa fecha.
¿La APDP puede investigar sin que nadie se queje?
Sí. Tiene facultad de iniciar investigaciones de oficio, por iniciativa propia, sin necesidad de denuncia previa. Puede monitorear sectores, auditar prácticas de tratamiento y abrir investigaciones sin esperar que un titular afectado reclame. Esto la diferencia de organismos que solo actúan reactivamente.
¿Quieres saber exactamente en qué punto está tu empresa respecto del cumplimiento? El evaluador gratuito en /diagnostico-ley-21719 es el mejor punto de partida. Si ya sabes que necesitas apoyo para adecuarte antes de diciembre, conversemos en nuestra área de cumplimiento.