La pregunta que me hacen casi siempre al inicio de una conversación sobre la Ley 21.719 no es “¿qué cambia?”. Es más directa: ¿cuánto nos puede salir esto si no hacemos nada?
Tiene sentido. Cuando el plazo se acorta —la ley entra en vigencia plena el 1 de diciembre de 2026— lo primero que quiere saber un gerente es el peor escenario. Así que empecemos por ahí.
La tabla de sanciones: leve, grave y gravísima
La Ley 21.719 clasifica las infracciones en tres categorías y fija los montos en Unidades Tributarias Mensuales (UTM), no en cifras absolutas. Eso significa que el monto real se actualiza cada mes con la inflación. Con un valor referencial de UTM de ~$70.000 CLP para 2026, el cuadro se ve así:
| Categoría | Multa máxima | Aprox. CLP | Aprox. USD |
|---|---|---|---|
| Infracción leve | 100 UTM | ~$7M | ~US$7.400 |
| Infracción grave | 1.000 UTM | ~$70M | ~US$73.700 |
| Infracción gravísima | 20.000 UTM | ~$1.400M | ~US$1.470.000 |
Valores referenciales. UTM 2026: ~$70.000 CLP; dólar referencial: ~$950. Los montos exactos los determina la APDP dentro del rango de cada categoría según criterios que explico más abajo.
Veinte mil UTM. Casi un millón y medio de dólares. Para una empresa mediana, eso no es un susto abstracto: es el patrimonio completo de varios años.
¿Qué tipifica como leve?
Las infracciones leves son los incumplimientos formales: no informar adecuadamente la política de privacidad, no responder una solicitud ARCO (Acceso, Rectificación, Cancelación u Oposición) dentro del plazo legal, o no notificar internamente un incidente de seguridad menor. Son errores de procedimiento, no de fondo.
La multa máxima es de 100 UTM, pero lo más relevante acá no es el monto: una infracción leve reiterada puede escalar a grave.
¿Qué tipifica como grave?
Las infracciones graves incluyen situaciones que ya tocan el fondo del cumplimiento:
- Tratar datos personales sin consentimiento válido cuando este es requerido.
- No implementar medidas técnicas y organizativas de seguridad suficientes.
- Realizar transferencias internacionales de datos sin cumplir los requisitos legales.
- No mantener el Registro de Actividades de Tratamiento (RAT) cuando es obligatorio.
- Ceder o comercializar datos sin autorización del titular.
Aquí hablamos de hasta 1.000 UTM, ~$70M CLP. La mayoría de las empresas chilenas que hoy operan sin ajustar sus sistemas tiene al menos una de estas situaciones sin resolver — y muchas tienen varias.
¿Qué tipifica como gravísima?
Las infracciones gravísimas son las que combinan magnitud del daño con dolo o reincidencia:
- Reincidencia en infracciones graves dentro de los últimos 36 meses.
- Tratar datos para fines distintos a los declarados al titular en el momento de la recolección.
- Usar datos sensibles —salud, origen étnico, orientación sexual, datos biométricos, religión— sin autorización específica e informada.
- Obstruir o entorpecer una investigación de la APDP.
- Vulnerar gravemente los derechos de los titulares de manera masiva.
Aquí llegamos a las 20.000 UTM. No es la multa típica: es el techo. Pero el techo existe, y la reincidencia es la forma más directa de llegar a él.
Quién fiscaliza: la APDP
El organismo encargado de hacer cumplir la ley es la Agencia de Protección de Datos Personales (APDP), una institución autónoma del Estado creada específicamente por la Ley 21.719.
Lo que la distingue de otras superintendencias chilenas es el triple mandato: fiscaliza, sanciona y regula. Puede emitir instrucciones vinculantes, desarrollar reglamentos sectoriales e iniciar investigaciones tanto por denuncia como de oficio — es decir, sin esperar que alguien se queje.
¿Qué pide la APDP cuando inicia una investigación? Lo básico:
- El Registro de Actividades de Tratamiento (RAT): qué datos procesas, para qué, quiénes los ven y por cuánto tiempo.
- La base legal de cada tratamiento: consentimiento, contrato, interés legítimo, obligación legal.
- Los contratos de tratamiento por encargo (DPA) con proveedores que tocan tus datos —tu proveedor de correo, tu CRM en la nube, tu plataforma de pagos.
- El plan de respuesta a incidentes y el registro de los que ya ocurrieron.
- Los mecanismos implementados para que los titulares ejerzan sus derechos ARCO ampliados: portabilidad, oposición, eliminación.
Si no tienes ninguno de esos documentos, el proceso arranca con la APDP sabiendo que incumples y determinando cuánto. No es la posición en la que quieres empezar.
Cómo se gradúa la multa dentro de cada categoría
La ley no fija montos exactos: fija topes y establece criterios para que la APDP determine el monto dentro del rango de cada categoría. Los agravantes más relevantes:
- Reincidencia: haber sido sancionado antes es el agravante que más pesa. Por eso una infracción leve ignorada puede convertirse en el antecedente que convierte la siguiente en gravísima.
- Escala: la cantidad de titulares afectados. Un incidente que expone datos de 100.000 clientes recibe multa muy distinta a uno que afecta a 50.
- Tipo de datos comprometidos: los datos sensibles tienen tratamiento más severo, tanto en la categorización de la infracción como en la graduación de la multa.
- Impacto real o potencial causado a los titulares: daño patrimonial, reputacional o a su seguridad personal.
- Beneficio económico: si la infracción generó un beneficio para la empresa —por ejemplo, comercializar datos sin autorización— ese beneficio puede incorporarse al cálculo de la sanción.
Qué atenúa la multa
Acá está la parte que sí puedes controlar antes de que llegue una investigación. Los atenuantes principales que reconoce la ley:
- Haber adoptado medidas de cumplimiento previas al inicio de la investigación. Que la APDP llegue y encuentre un RAT documentado, consentimientos claros y contratos DPA firmados cambia completamente el escenario. Dice que el incumplimiento fue un error, no una política deliberada.
- Rectificar voluntariamente la situación antes de que se dicte la sanción.
- Colaborar activamente con la APDP durante la investigación, entregando información completa y a tiempo.
- No tener historial de infracciones previas.
- El tamaño de la empresa: la ley contempla que las microempresas y pequeñas empresas reciban tratamiento proporcional a su capacidad.
Lo que noto al conversar con gerentes es que el punto de los atenuantes los tranquiliza más de lo que debería. Porque “atenúa” no significa “exime”. Si la infracción es grave y tu empresa tenía capacidad técnica y económica para evitarla, la multa baja, pero no desaparece.
El riesgo que no aparece en la tabla
La multa de la APDP es el riesgo más visible, pero hay dos riesgos adicionales que no están en ese cuadro y que pueden resultar igual de costosos:
Demandas civiles. La Ley 21.719 otorga a los titulares el derecho de demandar directamente a la empresa por daños causados por el tratamiento indebido de sus datos. Esto funciona en paralelo con la sanción administrativa: la APDP multa, y encima puede llegar una demanda de los afectados. En un incidente que compromete decenas de miles de registros, el número de demandantes potenciales es real.
Reputación. La ley obliga a notificar los incidentes de seguridad —tanto a la APDP como a los titulares afectados. Una empresa que sufre una filtración y tiene que notificarla públicamente no solo paga la multa: enfrenta el impacto en clientes, partners y prensa. En sectores donde la confianza es el producto —salud, finanzas, educación, servicios legales— ese segundo golpe puede ser el más caro.
El plazo que ya está corriendo
El 1 de diciembre de 2026 no es la fecha en que empieza la discusión: es la fecha en que el plazo termina. Desde esa fecha, la APDP puede fiscalizar y sancionar plenamente a cualquier organización que trate datos personales.
Faltan algo más de tres meses al momento de publicar esto. Eso suena a tiempo suficiente, pero no lo es si estás empezando de cero. Un proceso de adecuación completo —diagnóstico, RAT, revisión de formularios y consentimientos, firma de DPA con proveedores, habilitación de derechos ARCO en los sistemas, plan de incidentes— toma entre 6 y 16 semanas de trabajo real, según el tamaño de la organización y la complejidad de los sistemas que ya tiene en producción.
Lo que vemos en las empresas con las que trabajamos en cumplimiento de la Ley 21.719: los que lo abordaron con anticipación llegaron a diciembre en orden. Los que esperaron a septiembre están comprimiendo meses en semanas, con más probabilidad de cometer errores que los pongan en posición de riesgo justo cuando la APDP está empezando a operar.
Un error de diagnóstico frecuente
Muchos gerentes me dicen: “nosotros no tratamos datos sensibles”. Y cuando revisamos en detalle, resulta que tienen datos de salud en los formularios de licencias médicas de RRHH, datos biométricos en el control de acceso, o datos de creencias religiosas recogidos sin querer en encuestas de bienvenida.
La categoría “datos sensibles” en la Ley 21.719 es más amplia de lo que la mayoría intuye. Incluye datos de salud, origen racial o étnico, opiniones políticas, convicciones religiosas o filosóficas, afiliación sindical, datos genéticos, datos biométricos que permiten identificar a una persona, y datos sobre la vida u orientación sexual. Si cualquier sistema de tu empresa guarda alguno de esos campos —aunque sea porque alguien lo agregó a un formulario sin pensar— tienes datos sensibles y los requisitos son más estrictos.
El evaluador gratuito en /diagnostico-ley-21719 te ayuda a mapear exactamente qué tipos de datos tratas y qué obligaciones específicas te aplican. Es el punto de partida que usamos antes de hacer cualquier diagnóstico más profundo.
Por dónde partir si ya vas tarde
Si lees esto a dos o tres meses del 1 de diciembre, la prioridad no es la perfección: es tener documentado lo esencial antes de que empiece la fiscalización.
La secuencia que recomendamos:
- Diagnóstico de tratamientos (semana 1–2): mapear qué datos recoges, para qué y quién los ve. El RAT empieza acá.
- Revisión de consentimientos (semana 2–4): formularios web, formularios físicos, cláusulas en contratos de trabajo. ¿El consentimiento está bien redactado y documenta el fin del tratamiento?
- DPA con proveedores (semana 3–6): identificar todos los terceros que procesan datos tuyos y firmar contratos de tratamiento por encargo. Incluye tu proveedor de correo masivo, tu CRM, tu plataforma de pagos, tu servicio de videoconferencia.
- Habilitación de derechos ARCO (semana 4–8): poner en marcha el canal para que los titulares pidan acceso, corrección, eliminación o portabilidad de sus datos.
- Plan de respuesta a incidentes (semana 6–10): ¿qué haces si mañana se filtran tus datos? La ley exige notificar en 72 horas.
Ninguna de estas etapas requiere reemplazar sistemas. Requieren documentación, ajuste de formularios, contratos con proveedores y —en la parte técnica— algunos cambios en cómo los sistemas manejan los datos.
En nuestra área de cumplimiento acompañamos todo ese proceso: la documentación técnica la manejamos nosotros, el componente legal lo coordinamos con los abogados especializados del cliente, y los cambios técnicos en sistemas los implementamos directamente. No son proyectos de año: en organizaciones medianas, la adecuación mínima tarda entre 6 y 12 semanas.
El costo de adecuarse —diagnóstico, RAT, DPA, ajustes técnicos— es una fracción de cualquiera de las multas de la tabla. La decisión es bastante directa.
Preguntas frecuentes
¿Cuánto es la multa máxima de la Ley 21.719?
La multa máxima es de 20.000 UTM, equivalentes a aproximadamente $1.400M CLP o USD 1,47M con valores de 2026. Aplica a infracciones gravísimas: reincidencia en sanciones previas, uso de datos sensibles sin autorización, tratamiento para fines distintos a los declarados, u obstrucción a la APDP.
¿Quién fiscaliza el cumplimiento de la Ley 21.719?
La Agencia de Protección de Datos Personales (APDP), un organismo autónomo del Estado creado por la propia ley. Tiene facultades de investigar, sancionar y emitir regulación vinculante. Puede iniciar investigaciones de oficio —sin esperar denuncias— y pedir acceso a toda la documentación de tratamiento de la empresa.
¿Qué infracciones son gravísimas?
Reincidencia en infracciones graves dentro de 36 meses, tratamiento de datos para fines distintos a los declarados al titular, uso de datos sensibles sin autorización específica, y obstrucción a la APDP durante una investigación. La multa llega hasta 20.000 UTM.
¿Qué atenúa la multa?
Tener medidas de cumplimiento adoptadas antes de que empiece la investigación, rectificar voluntariamente la infracción, colaborar con la APDP y no tener historial de sanciones previas. El tamaño de la empresa también se considera: las microempresas y pymes reciben tratamiento proporcional.
¿Aplica a toda empresa chilena?
Sí. La ley aplica a cualquier organización que trate datos personales de personas naturales, sin importar tamaño ni rubro. Incluye empresas con fines de lucro, ONGs, instituciones públicas y organismos del Estado. Si tienes una base de clientes, empleados o proveedores con datos personales, te aplica.
¿Qué debo tener listo antes del 1 de diciembre de 2026?
Como mínimo: el Registro de Actividades de Tratamiento (RAT), consentimientos revisados en formularios y sistemas, Data Processing Agreements (DPA) con proveedores que procesan tus datos, un canal para ejercer derechos ARCO, y un plan de respuesta a incidentes. El evaluador gratuito es un buen punto de partida para saber dónde estás hoy.
¿Quieres saber con qué infracciones específicas tu empresa tiene riesgo antes de diciembre? En nuestra área de cumplimiento de la Ley 21.719 hacemos el diagnóstico y te entregamos una ruta concreta. Conversemos.