La respuesta corta: la Ley 21.719 entra en plena vigencia el 1 de diciembre de 2026. Desde esa fecha, la Agencia de Protección de Datos Personales (APDP) puede iniciar fiscalizaciones de oficio, responder denuncias y aplicar multas de hasta 20.000 UTM (~$1.400M CLP) por infracciones gravísimas.
A la fecha de actualización de esta guía —16 de octubre de 2026— queda menos de dos meses. Si buscas primero el panorama general de qué cambia, está en la Ley 21.719 explicada en simple.
Si tu empresa todavía no empezó, no es el momento de leer sobre la ley en abstracto. Es el momento de ejecutar. En este artículo explico qué hacer antes del 1 de diciembre, en qué orden y por qué.
La línea de tiempo completa
La Ley 21.719 tuvo un proceso largo antes de llegar a este punto. Para entender cuánto tiempo real hubo —y cuánto queda— la cronología completa:
| Hito | Fecha |
|---|---|
| Publicación en el Diario Oficial | 13 de diciembre de 2024 |
| Inicio del período de vacancia de 24 meses | 13 de diciembre de 2024 |
| Creación formal de la APDP | Durante el primer año |
| Plena vigencia — fiscalizaciones activas | 1 de diciembre de 2026 |
La ley lleva casi dos años publicada, con período de gracia. Ese período se acaba el 1 de diciembre de 2026.
Lo que me llama la atención cuando hablo con clientes: la mayoría sabe que la ley existe. Lo que no sabe es qué tan concretas son las obligaciones, ni que la APDP puede iniciar investigaciones de oficio —sin esperar una denuncia— desde el 1 de diciembre.
Qué exige estar listo antes del 1 de diciembre
La Ley 21.719 no es solo una política de privacidad en el pie de página. Exige que la organización complete una serie de obligaciones. Las principales, ordenadas por urgencia técnica:
1. Registro de Actividades de Tratamiento (RAT)
El inventario de todos los tratamientos de datos que hace tu empresa: qué datos recopilan, con qué base legal, durante cuánto tiempo los guardan, quién accede y si hay transferencias internacionales. Sin el RAT no puedes responder a una fiscalización. Es la base de todo lo demás.
2. Consentimientos válidos en los formularios
La ley eleva el estándar: el consentimiento debe ser específico, informado, libre, inequívoco y revocable con la misma facilidad con que se dio. Los formularios que no cumplen eso —la mayoría en producción hoy— necesitan intervención técnica real, no solo texto nuevo.
3. Habilitación de los derechos ARCO ampliados
Los titulares de datos ahora tienen más derechos que bajo la ley anterior (19.628): acceso, rectificación, supresión, oposición, portabilidad y no ser objeto de decisiones automatizadas. Tu empresa tiene que poder responder esas solicitudes en 30 días hábiles, prorrogables por 15 más. Si no tienes el proceso habilitado, cada solicitud sin respuesta es una infracción.
4. Acuerdos de procesamiento de datos (DPA) con proveedores
Si compartes datos personales con terceros —un proveedor de email, un CRM en la nube, una herramienta de analytics— necesitas un contrato de encargado de tratamiento. Sin ese contrato, la responsabilidad recae íntegra en tu empresa aunque el incidente lo cause el proveedor.
5. Plan de notificación de brechas en 72 horas
La ley exige notificar a la APDP dentro de las 72 horas de conocer una brecha de seguridad que pueda afectar a titulares. Sin el proceso definido —quién notifica, cómo, qué se informa— esas 72 horas pasan sin que nadie sepa qué hacer.
Para dimensionar lo que está en juego, las multas y cómo se gradúan están detalladas en el artículo de sanciones de la Ley 21.719. Y si quieres un rango de lo que cuesta cerrar cada capa, tenemos también cuánto cuesta adecuarse a la Ley 21.719.
El plan por etapas: diagnóstico, intervención y cierre
Esta guía se publicó a fines de agosto con un plan de tres meses: septiembre, octubre y noviembre. Si partes ahora, la secuencia es la misma, pero cada etapa se comprime y las dos primeras corren en paralelo. Lo que no se puede saltar es el orden: sin diagnóstico no hay RAT, y sin RAT no sabes qué formularios ni qué proveedores intervenir.
Esta es la secuencia que recomendamos:
Etapa 1: diagnóstico y RAT
Objetivo de la etapa: saber exactamente dónde está tu empresa y formalizar el RAT.
El diagnóstico consiste en mapear, proceso por proceso, qué datos personales trata la organización. Eso incluye:
- ¿Qué datos recopilan los formularios del sitio web?
- ¿Qué bases de datos internas guardan datos de clientes, empleados o proveedores?
- ¿Qué herramientas externas reciben esos datos (CRM, proveedor de email, analytics, ERP)?
- ¿Cuál es la base legal de cada tratamiento: consentimiento, contrato, interés legítimo?
- ¿Cuánto tiempo se guardan los datos y dónde?
Con ese mapa, el RAT se redacta. Es un documento vivo —se actualiza cuando cambian los tratamientos— pero tiene que existir antes de diciembre.
Si partes hoy, la meta es tener el diagnóstico en las primeras dos semanas y el RAT en borrador antes de intervenir nada.
Un punto de partida concreto: el evaluador gratuito JANUS analiza el estado de tu sitio web y genera un primer panorama técnico antes de que te sientes con nadie. No reemplaza el diagnóstico completo, pero sí te dice dónde están los problemas más visibles.
Etapa 2: consentimientos, DPA y derechos ARCO
Objetivo de la etapa: cerrar las tres brechas más comunes y más exigibles.
Consentimientos en el sitio: revisar cada formulario que recopila datos —contacto, newsletter, registro, cotización— y verificar que el consentimiento sea específico, informado y revocable. Si hay casillas pre-marcadas, si el consentimiento es amplio (“acepto términos y condiciones” sin distinción), si no hay mecanismo de revocación: hay que intervenir el código.
DPA con proveedores: hacer un listado de todos los encargados de tratamiento y verificar si hay un contrato vigente. Los proveedores grandes como Google o Mailchimp tienen sus DPA estándar disponibles en línea. Con los más pequeños o locales hay que redactar uno a medida. Este proceso tiene más componente legal que técnico, pero el equipo de tecnología debe entregar el inventario de proveedores que lo hace posible.
Proceso de derechos ARCO: definir el flujo interno para recibir, registrar y responder solicitudes de titulares. Quién las recibe, quién ejecuta la respuesta, en qué plazo y cómo queda registrado. La ley es muy específica: 30 días hábiles con posibilidad de prórroga por 15 más. Sin el proceso documentado, la primera solicitud que llegue genera caos.
Etapa 3: brechas, capacitación y auditoría de cierre
Objetivo de la etapa: tener todo probado, documentado y al equipo informado.
Plan de notificación de brechas: el proceso de 72 horas hay que tenerlo escrito y probado antes de que pase algo. Quién notifica, a qué dirección de la APDP, qué información se reporta, quién lo aprueba. La última etapa es para el simulacro, no para el diseño inicial.
Capacitación al equipo: las personas que manejan datos —ventas, marketing, RRHH, soporte— necesitan saber qué cambió con la ley. No un curso de tres horas sobre GDPR. Una sesión de 45 minutos con los escenarios concretos de su trabajo: cómo responder si un cliente pide sus datos, qué hacer si notan una brecha, cuándo no pueden compartir información.
Auditoría de cierre: revisar el RAT contra lo que está en producción, verificar que los formularios intervenidos funcionen correctamente, confirmar que los DPA estén firmados. El 30 de noviembre, la empresa tiene que estar en posición de responder cualquier fiscalización que llegue el 1 de diciembre.
Cómo Apollo.TI acelera la capa técnica
La capa legal de la adecuación —validar bases jurídicas, redactar políticas, asesorar sobre el DPA— la hace un abogado especialista. Nuestra responsabilidad es la capa técnica: el diagnóstico de los sistemas, la intervención del código, la construcción del RAT como artefacto técnico y el plan de brechas.
Somos un equipo AI-native: nuestros procesos de auditoría —mapeo de formularios, identificación de tratamientos por sistema, generación de documentación técnica— tienen partes automatizadas con agentes de IA que aceleran lo repetitivo. Lo que en un proceso manual toma semanas, en nuestro flujo toma días. Con menos de dos meses en el reloj, esa diferencia importa.
No inventamos atajos. Hay obligaciones que toman el tiempo que toman: revisar cada formulario uno por uno, mapear cada proveedor, probar el proceso de derechos ARCO con solicitudes reales. Lo que acortamos es el tiempo entre hitos, no la rigurosidad del proceso.
Si quieres saber en cuánto tiempo y a qué costo podemos acompañarte, revisa los rangos del proceso de adecuación o habla directamente con nosotros en cumplimiento-ley-21719.
¿Qué pasa si no estás listo el 1 de diciembre?
La APDP no va a fiscalizar a todas las empresas de Chile el 2 de diciembre. Las fiscalizaciones empiezan por denuncias y por sectores que la agencia priorice. Pero hay tres escenarios que hacen que el riesgo sea concreto incluso en el primer año:
Primero: un cliente o empleado hace una denuncia porque no pudo ejercer sus derechos ARCO, o porque descubrió que sus datos se comparten sin consentimiento válido. La denuncia individual activa el proceso.
Segundo: una brecha de seguridad expone datos de titulares y no se notifica en 72 horas. En ese caso el no-cumplimiento deja de ser hipotético: hay un hecho que documentar y un plazo que se venció.
Tercero: un proceso de licitación o contrato con empresa grande exige evidencia de cumplimiento como condición. Esto ya está pasando. Algunos contratos B2B —especialmente con instituciones públicas o multinacionales— piden el DPA firmado y el RAT como parte de la due diligence del proveedor.
En los tres casos, tener el proceso armado —aunque no sea perfecto— es la diferencia entre “estamos en mejora continua” y “no teníamos nada”.
Más sobre la Ley 21.719
- la Ley 21.719 explicada en simple: resumen para empresas de qué cambia y a quién aplica.
- multas de la Ley 21.719: montos en UTM por tipo de infracción y qué atenúa la sanción.
- checklist de la Ley 21.719 para empresas: las 5 obligaciones mínimas, una por una.
- cuánto cuesta adecuarse a la Ley 21.719: rangos en UF por tamaño de empresa.
- qué es la APDP, la Agencia de Protección de Datos Personales: sus facultades y cómo fiscaliza.
Y si quieres pasar de leer a ejecutar: el diagnóstico gratuito de tu sitio frente a la Ley 21.719 te da un primer panorama en minutos, y el servicio de cumplimiento de la Ley 21.719 cubre la capa técnica completa.
Preguntas frecuentes
¿Cuándo entra en vigencia la Ley 21.719 en Chile?
La plena vigencia es el 1 de diciembre de 2026. La ley fue publicada en diciembre de 2024 con un período de vacancia de 24 meses. Desde esa fecha, la APDP puede fiscalizar y aplicar multas.
¿Cuánto tiempo queda para adecuarse?
La ley rige a partir del 1 de diciembre de 2026. A la fecha de actualización de esta guía (16 de octubre de 2026) queda menos de dos meses: alcanza para un diagnóstico, el RAT y los cambios técnicos más urgentes si se parte de inmediato y se trabaja en paralelo.
¿Qué pasa si no me adecuo antes del 1 de diciembre?
La APDP puede iniciar una investigación de oficio o por denuncia. Las multas van de una amonestación o hasta 5.000 UTM (~$350M CLP) para infracciones leves, hasta 10.000 UTM para graves y hasta 20.000 UTM (~$1.400M CLP) para gravísimas. Los detalles sobre cómo se gradúan están en el artículo de sanciones.
¿Por dónde se empieza?
Por el diagnóstico: mapear qué datos trata la empresa, con qué base legal y cuánto tiempo. Ese mapeo se formaliza en el RAT. El evaluador gratuito JANUS puede darte un primer panorama del estado del sitio web antes de arrancar el proceso completo.
¿Qué es el RAT y cuándo hay que tenerlo?
El RAT es el inventario de todos los tratamientos de datos personales de la organización: qué datos, para qué, con qué base legal, cuánto tiempo, quién accede y si hay transferencias internacionales. La ley lo exige explícitamente. Hay que tenerlo antes del 1 de diciembre.
¿Se puede subcontratar el proceso de adecuación?
Sí, y es lo más eficiente. La capa legal la maneja un abogado especialista. La capa técnica —intervención de formularios, RAT técnico, plan de brechas, inventario de proveedores para los DPA— la manejamos nosotros. El proceso de cumplimiento a la Ley 21.719 está pensado para que cada especialista trabaje en lo suyo sin pisar al otro.
El plazo es real. Si tu empresa aún no empezó, el diagnóstico va primero y ya. Luego los formularios y los DPA, y al final probar y capacitar. El 1 de diciembre, estar listos.