La respuesta corta: la Ley 21.719 entra en plena vigencia el 1 de diciembre de 2026. Desde esa fecha, la Agencia de Protección de Datos Personales (APDP) puede iniciar fiscalizaciones de oficio, responder denuncias y aplicar multas de hasta 20.000 UTM (~$1.400M CLP) por infracciones gravísimas.
Al momento de publicar este artículo —28 de agosto de 2026— quedan 95 días. En la práctica: septiembre, octubre y noviembre.
Si tu empresa todavía no empezó, no es el momento de leer sobre la ley en abstracto. Es el momento de ejecutar. En este artículo explico qué hacer en cada uno de los tres meses que quedan, en qué orden y por qué.
La línea de tiempo completa
La Ley 21.719 tuvo un proceso largo antes de llegar a este punto. Para entender cuánto tiempo real hubo —y cuánto queda— la cronología completa:
| Hito | Fecha |
|---|---|
| Publicación en el Diario Oficial | 13 de diciembre de 2024 |
| Inicio del período de vacancia de 24 meses | 13 de diciembre de 2024 |
| Creación formal de la APDP | Durante el primer año |
| Plena vigencia — fiscalizaciones activas | 1 de diciembre de 2026 |
La ley lleva casi 20 meses vigente en texto pero con período de gracia. Ese período se acaba en 95 días.
Lo que me llama la atención cuando hablo con clientes: la mayoría sabe que la ley existe. Lo que no sabe es qué tan concretas son las obligaciones, ni que la APDP puede iniciar investigaciones de oficio —sin esperar una denuncia— desde el 1 de diciembre.
Qué exige estar listo antes del 1 de diciembre
La Ley 21.719 no es solo una política de privacidad en el pie de página. Exige que la organización complete una serie de obligaciones. Las principales, ordenadas por urgencia técnica:
1. Registro de Actividades de Tratamiento (RAT)
El inventario de todos los tratamientos de datos que hace tu empresa: qué datos recopilan, con qué base legal, durante cuánto tiempo los guardan, quién accede y si hay transferencias internacionales. Sin el RAT no puedes responder a una fiscalización. Es la base de todo lo demás.
2. Consentimientos válidos en los formularios
La ley eleva el estándar: el consentimiento debe ser específico, informado, libre, inequívoco y revocable con la misma facilidad con que se dio. Los formularios que no cumplen eso —la mayoría en producción hoy— necesitan intervención técnica real, no solo texto nuevo.
3. Habilitación de los derechos ARCO ampliados
Los titulares de datos ahora tienen más derechos que bajo la ley anterior (19.628): acceso, rectificación, supresión, oposición, portabilidad y no ser objeto de decisiones automatizadas. Tu empresa tiene que poder responder esas solicitudes en 30 días hábiles, prorrogables por 15 más. Si no tienes el proceso habilitado, cada solicitud sin respuesta es una infracción.
4. Acuerdos de procesamiento de datos (DPA) con proveedores
Si compartes datos personales con terceros —un proveedor de email, un CRM en la nube, una herramienta de analytics— necesitas un contrato de encargado de tratamiento. Sin ese contrato, la responsabilidad recae íntegra en tu empresa aunque el incidente lo cause el proveedor.
5. Plan de notificación de brechas en 72 horas
La ley exige notificar a la APDP dentro de las 72 horas de conocer una brecha de seguridad que pueda afectar a titulares. Sin el proceso definido —quién notifica, cómo, qué se informa— esas 72 horas pasan sin que nadie sepa qué hacer.
Para dimensionar lo que está en juego, las multas y cómo se gradúan están detalladas en el artículo de sanciones de la Ley 21.719. Y si quieres un rango de lo que cuesta cerrar cada capa, tenemos también cuánto cuesta adecuarse a la Ley 21.719.
El plan mes a mes: septiembre, octubre y noviembre
Tres meses es tiempo suficiente si se ejecuta con orden. Es tiempo insuficiente si se trata como un proyecto “para el próximo trimestre”.
Esta es la secuencia que recomendamos, basada en lo que hemos visto en los procesos de adecuación que acompañamos:
Septiembre: Diagnóstico y RAT
Objetivo del mes: saber exactamente dónde está tu empresa y formalizar el RAT.
El diagnóstico consiste en mapear, proceso por proceso, qué datos personales trata la organización. Eso incluye:
- ¿Qué datos recopilan los formularios del sitio web?
- ¿Qué bases de datos internas guardan datos de clientes, empleados o proveedores?
- ¿Qué herramientas externas reciben esos datos (CRM, proveedor de email, analytics, ERP)?
- ¿Cuál es la base legal de cada tratamiento: consentimiento, contrato, interés legítimo?
- ¿Cuánto tiempo se guardan los datos y dónde?
Con ese mapa, el RAT se redacta. Es un documento vivo —se actualiza cuando cambian los tratamientos— pero tiene que existir antes de diciembre.
Si partes en septiembre, terminas el RAT a tiempo para que octubre sea productivo.
Un punto de partida concreto: el evaluador gratuito JANUS analiza el estado de tu sitio web y genera un primer panorama técnico antes de que te sientes con nadie. No reemplaza el diagnóstico completo, pero sí te dice dónde están los problemas más visibles.
Octubre: Consentimientos, DPA y derechos ARCO
Objetivo del mes: cerrar las tres brechas más comunes y más exigibles.
Consentimientos en el sitio: revisar cada formulario que recopila datos —contacto, newsletter, registro, cotización— y verificar que el consentimiento sea específico, informado y revocable. Si hay casillas pre-marcadas, si el consentimiento es amplio (“acepto términos y condiciones” sin distinción), si no hay mecanismo de revocación: hay que intervenir el código.
DPA con proveedores: hacer un listado de todos los encargados de tratamiento y verificar si hay un contrato vigente. Los proveedores grandes como Google o Mailchimp tienen sus DPA estándar disponibles en línea. Con los más pequeños o locales hay que redactar uno a medida. Este proceso tiene más componente legal que técnico, pero el equipo de tecnología debe entregar el inventario de proveedores que lo hace posible.
Proceso de derechos ARCO: definir el flujo interno para recibir, registrar y responder solicitudes de titulares. Quién las recibe, quién ejecuta la respuesta, en qué plazo y cómo queda registrado. La ley es muy específica: 30 días hábiles con posibilidad de prórroga por 15 más. Sin el proceso documentado, la primera solicitud que llegue genera caos.
Noviembre: Brechas, capacitación y auditoría de cierre
Objetivo del mes: tener todo probado, documentado y al equipo informado.
Plan de notificación de brechas: el proceso de 72 horas hay que tenerlo escrito y probado antes de que pase algo. Quién notifica, a qué dirección de la APDP, qué información se reporta, quién lo aprueba. Noviembre es el mes del simulacro, no del diseño inicial.
Capacitación al equipo: las personas que manejan datos —ventas, marketing, RRHH, soporte— necesitan saber qué cambió con la ley. No un curso de tres horas sobre GDPR. Una sesión de 45 minutos con los escenarios concretos de su trabajo: cómo responder si un cliente pide sus datos, qué hacer si notan una brecha, cuándo no pueden compartir información.
Auditoría de cierre: revisar el RAT contra lo que está en producción, verificar que los formularios intervenidos funcionen correctamente, confirmar que los DPA estén firmados. El 30 de noviembre, la empresa tiene que estar en posición de responder cualquier fiscalización que llegue el 1 de diciembre.
Cómo Apollo.TI acelera la capa técnica
La capa legal de la adecuación —validar bases jurídicas, redactar políticas, asesorar sobre el DPA— la hace un abogado especialista. Nuestra responsabilidad es la capa técnica: el diagnóstico de los sistemas, la intervención del código, la construcción del RAT como artefacto técnico y el plan de brechas.
Somos un equipo AI-native: nuestros procesos de auditoría —mapeo de formularios, identificación de tratamientos por sistema, generación de documentación técnica— tienen partes automatizadas con agentes de IA que aceleran lo repetitivo. Lo que en un proceso manual toma semanas, en nuestro flujo toma días. Con 95 días en el reloj, esa diferencia importa.
No inventamos atajos. Hay obligaciones que toman el tiempo que toman: revisar cada formulario uno por uno, mapear cada proveedor, probar el proceso de derechos ARCO con solicitudes reales. Lo que acortamos es el tiempo entre hitos, no la rigurosidad del proceso.
Si quieres saber en cuánto tiempo y a qué costo podemos acompañarte, revisa los rangos del proceso de adecuación o habla directamente con nosotros en cumplimiento-ley-21719.
¿Qué pasa si no estás listo el 1 de diciembre?
La APDP no va a fiscalizar a todas las empresas de Chile el 2 de diciembre. Las fiscalizaciones empiezan por denuncias y por sectores que la agencia priorice. Pero hay tres escenarios que hacen que el riesgo sea concreto incluso en el primer año:
Primero: un cliente o empleado hace una denuncia porque no pudo ejercer sus derechos ARCO, o porque descubrió que sus datos se comparten sin consentimiento válido. La denuncia individual activa el proceso.
Segundo: una brecha de seguridad expone datos de titulares y no se notifica en 72 horas. En ese caso el no-cumplimiento deja de ser hipotético: hay un hecho que documentar y un plazo que se venció.
Tercero: un proceso de licitación o contrato con empresa grande exige evidencia de cumplimiento como condición. Esto ya está pasando. Algunos contratos B2B —especialmente con instituciones públicas o multinacionales— piden el DPA firmado y el RAT como parte de la due diligence del proveedor.
En los tres casos, tener el proceso armado —aunque no sea perfecto— es la diferencia entre “estamos en mejora continua” y “no teníamos nada”.
Preguntas frecuentes
¿Cuándo entra en vigencia la Ley 21.719 en Chile?
La plena vigencia es el 1 de diciembre de 2026. La ley fue publicada en diciembre de 2024 con un período de vacancia de 24 meses. Desde esa fecha, la APDP puede fiscalizar y aplicar multas.
¿Cuánto tiempo queda para adecuarse?
Al 28 de agosto de 2026 quedan 95 días. En la práctica: septiembre para el diagnóstico y el RAT, octubre para consentimientos y DPA, noviembre para probar y capacitar.
¿Qué pasa si no me adecuo antes del 1 de diciembre?
La APDP puede iniciar una investigación de oficio o por denuncia. Las multas van de 100 UTM (~$7M CLP) para infracciones leves hasta 20.000 UTM (~$1.400M CLP) para infracciones gravísimas. Los detalles sobre cómo se gradúan están en el artículo de sanciones.
¿Por dónde se empieza?
Por el diagnóstico: mapear qué datos trata la empresa, con qué base legal y cuánto tiempo. Ese mapeo se formaliza en el RAT. El evaluador gratuito JANUS puede darte un primer panorama del estado del sitio web antes de arrancar el proceso completo.
¿Qué es el RAT y cuándo hay que tenerlo?
El RAT es el inventario de todos los tratamientos de datos personales de la organización: qué datos, para qué, con qué base legal, cuánto tiempo, quién accede y si hay transferencias internacionales. La ley lo exige explícitamente. Hay que tenerlo antes del 1 de diciembre.
¿Se puede subcontratar el proceso de adecuación?
Sí, y es lo más eficiente. La capa legal la maneja un abogado especialista. La capa técnica —intervención de formularios, RAT técnico, plan de brechas, inventario de proveedores para los DPA— la manejamos nosotros. El proceso de cumplimiento a la Ley 21.719 está pensado para que cada especialista trabaje en lo suyo sin pisar al otro.
El plazo es real. Si tu empresa aún no empezó, septiembre es el mes del diagnóstico. Octubre para los formularios y los DPA. Noviembre para probar y capacitar. El 1 de diciembre, estar listos.