Cuando una empresa me pregunta “¿de qué se trata la Ley 21.719?”, a estas alturas —a 92 días del 1 de diciembre— ya estamos tarde para la explicación teórica. Pero sigue siendo la pregunta correcta, porque es imposible cumplir algo que no entiendes.
Así que este artículo es el resumen que debería haber leído tu equipo hace seis meses: qué es la ley, qué cambia respecto de lo que había antes, a quién aplica exactamente y qué obligaciones concretas trae. Sin jerga legal innecesaria.
La ley que reemplaza a una norma de 1999
Antes existía la Ley 19.628, publicada en 1999. Era la ley de datos personales vigente en Chile durante 25 años —antes del iPhone, antes de las redes sociales, antes de que las empresas almacenaran millones de registros en la nube. Tenía varios problemas fundamentales:
- No había autoridad fiscalizadora. No existía ningún organismo con facultades reales para investigar ni sancionar incumplimientos. Las multas eran tan bajas que nadie las temía.
- El estándar de consentimiento era vago. Bastaba con que el usuario “no se opusiera” al tratamiento de sus datos en algunos casos.
- Los derechos de las personas eran difíciles de ejercer. No había plazos para responder, ni canales obligatorios, ni consecuencias claras si la empresa ignoraba una solicitud.
La Ley 21.719 cambia todo eso. Se publicó en el Diario Oficial el 13 de diciembre de 2024 y entra en plena vigencia el 1 de diciembre de 2026, tras un período de vacancia de 24 meses que se usa —o debería usarse— para adecuarse.
¿A quién aplica? A más empresas de las que crees
El artículo más importante de entender es el de aplicación: la Ley 21.719 aplica a toda organización que trate datos personales en Chile, sin importar su tamaño ni rubro.
No hay exención para pymes. No hay exención para empresas de menos de X empleados. Si tienes alguna de estas situaciones, la ley te aplica:
- Una lista de clientes con nombre, correo o teléfono
- Un CRM o sistema de ventas
- Un formulario de contacto en tu sitio web
- Nómina de empleados con datos de salud o remuneraciones
- Cámaras de seguridad que graban personas
- Un sistema de gestión de proveedores
“Tratar datos personales” significa recopilarlos, almacenarlos, usarlos, compartirlos o eliminarlos. Si haces cualquiera de esas cosas con datos de personas naturales identificadas o identificables, estás dentro del alcance de la ley.
Los cuatro cambios que de verdad importan
1. La APDP: por primera vez hay alguien que fiscaliza
La creación de la Agencia de Protección de Datos Personales (APDP) es el cambio más estructural. A diferencia de la 19.628 —donde no había nadie que investigara— la APDP tiene facultades reales:
- Puede iniciar investigaciones de oficio, sin esperar una denuncia
- Puede pedir documentación a las empresas investigadas
- Puede aplicar multas de hasta 20.000 UTM (~$1.400M CLP) por infracciones gravísimas
- Puede ordenar el cese de tratamientos ilegales
La APDP no empieza a fiscal el 2 de diciembre por inercia burocrática. Pero desde el 1 de diciembre tiene la facultad, y cualquier denuncia o investigación iniciada después de esa fecha se rige por la ley nueva y sus sanciones.
2. Las multas tienen dientes reales
La 19.628 tenía multas en pesos nominales que nadie tomaba en serio. La 21.719 las reemplaza por una escala en UTM (Unidad Tributaria Mensual, hoy ~$70.000 CLP):
| Categoría de infracción | Multa máxima | Equivalente CLP orientativo |
|---|---|---|
| Leve | 100 UTM | ~$7M CLP |
| Grave | 5.000 UTM | ~$350M CLP |
| Gravísima | 20.000 UTM | ~$1.400M CLP |
No todas las infracciones llegan al tope. La APDP gradúa la sanción según el daño causado, si hubo intención, el tamaño de la empresa y si cooperó en la investigación. El desglose completo de infracciones y atenuantes lo tratamos en un artículo dedicado.
Lo importante: la tabla de arriba no es un número teórico. Para una empresa mediana, una infracción grave puede ser igual o más cara que varios años de adecuación preventiva.
3. Consentimiento válido: el estándar sube
La ley define con precisión qué significa un consentimiento válido para tratar datos personales. Tiene que ser:
- Libre: sin condicionarlo al acceso a un servicio cuando no es necesario para ese servicio
- Específico: para finalidades concretas, no para “cualquier cosa que se nos ocurra en el futuro”
- Informado: el titular debe saber qué datos, para qué y durante cuánto tiempo
- Inequívoco: no basta con que no se oponga; tiene que haber una acción positiva
- Revocable: con la misma facilidad con que se dio
Ese último punto es el que más trabajo técnico requiere. Muchos sitios web tienen un checkbox de “acepto los términos” pero no tienen mecanismo para que el usuario revoque ese consentimiento después. La ley dice que si no hay mecanismo de revocación fácil, el consentimiento no es válido.
4. Derechos ARCO ampliados
ARCO es el acrónimo de los derechos que tiene toda persona sobre sus datos personales: Acceso, Rectificación, Cancelación y Oposición. La Ley 21.719 los mantiene y les agrega dos:
- Portabilidad: el titular puede pedir sus datos en un formato estructurado y legible para llevárselos a otro proveedor
- No ser objeto de decisiones exclusivamente automatizadas: si una empresa usa un algoritmo para tomar decisiones que afectan significativamente a una persona (como aprobar un crédito o filtrar candidatos), el titular puede pedir revisión humana
Además, la ley fija plazos para que las empresas respondan estas solicitudes. No responder a tiempo es en sí mismo una infracción.
Las cinco obligaciones concretas que tu empresa debe cumplir
Más allá de los principios, la ley impone obligaciones específicas. Estas son las cinco más críticas:
Obligación 1: El RAT (Registro de Actividades de Tratamiento)
El RAT es el inventario de todos los tratamientos de datos que hace tu organización. Por cada tratamiento debes documentar:
- Qué datos personales se tratan y de quiénes
- Con qué base legal (consentimiento, contrato, interés legítimo, obligación legal)
- Para qué finalidad
- Durante cuánto tiempo se conservan
- Quién tiene acceso (interno y externo)
- Si hay transferencias internacionales de datos
Sin el RAT no puedes responder coherentemente a una fiscalización. Es también el punto de partida para identificar qué hay que corregir. En la práctica, la mayoría de las empresas descubren cuando levantan el RAT que tienen tratamientos sin base legal clara o datos que se conservan indefinidamente sin justificación.
Obligación 2: Consentimientos válidos en los formularios
Los formularios de contacto, newsletters, registros de usuarios y cualquier recopilación de datos en tu sitio web o app deben cumplir el estándar de consentimiento descrito arriba. Esto requiere intervención técnica real: no basta con cambiar el texto, hay que cambiar el flujo.
Esto es trabajo de código, no solo de abogado.
Obligación 3: Canal habilitado para derechos ARCO
Tu empresa debe tener un mecanismo concreto para recibir y responder solicitudes ARCO. Puede ser un formulario, un correo específico, un proceso interno documentado. Lo que no es aceptable es no tener nada o ignorar las solicitudes.
Obligación 4: DPA con proveedores que traten datos por tu cuenta
Si contratas servicios que implican que un tercero trate datos personales por tu cuenta —un proveedor de email marketing, una plataforma de RRHH, un servicio de nube— necesitas un Acuerdo de Procesamiento de Datos (DPA por sus siglas en inglés). Este contrato especifica qué puede y qué no puede hacer el proveedor con esos datos, bajo qué condiciones y qué pasa si hay una brecha.
La ley lo exige. La mayoría de los proveedores internacionales grandes (Google, Microsoft, HubSpot) ya tienen DPA estándar disponibles. El problema está en proveedores más pequeños o locales que no saben qué es un DPA.
Obligación 5: Plan de respuesta a brechas de seguridad (notificación 72 horas)
Si tu empresa sufre una brecha de seguridad que afecta datos personales, tienes 72 horas para notificar a la APDP. Notificar a los titulares afectados puede ser requerido también dependiendo del riesgo.
Para cumplir eso en tiempo, necesitas un plan preparado con anterioridad: quién decide que hubo una brecha, quién notifica, qué información se incluye y a quién. Sin plan previo, 72 horas no alcanzan para organizar una respuesta coherente.
¿Cuánto tiempo queda y cuánto cuesta?
Al 31 de agosto de 2026 quedan 92 días. La línea de tiempo mes a mes hasta el 1 de diciembre la detallamos en un artículo aparte, con qué hacer cada mes según el tiempo que resta.
El costo de adecuarse varía según el tamaño y la complejidad de la empresa. Para una empresa mediana —50 a 200 empleados, con varios sistemas que tratan datos— el rango va de 180 a 500 UF por la capa técnica. Los rangos completos por tamaño de empresa, desglosados por partida, los publicamos en una guía de costos separada.
La regla práctica: el costo de adecuarse es mucho menor que la multa mínima por una infracción grave (5.000 UTM).
Por dónde empezar si todavía no has empezado
El paso cero es el diagnóstico: saber dónde estás antes de saber qué arreglar. Hemos construido JANUS, un evaluador gratuito que revisa el cumplimiento técnico visible de tu sitio web — consentimientos, política de privacidad, mecanismo de revocación, cabeceras de seguridad. No reemplaza una auditoría completa, pero es el punto de partida más rápido.
Puedes usarlo ahora en /diagnostico-ley-21719.
Si el diagnóstico muestra huecos, el siguiente paso es una revisión de dos capas: la capa legal (qué dice la política de privacidad, si el DPA con los proveedores está en orden, si la base legal de cada tratamiento está documentada) y la capa técnica (cómo está implementado el consentimiento en el código, si el RAT existe como documento, si hay plan de respuesta a brechas).
Nosotros nos hacemos cargo de la capa técnica. La capa legal requiere un abogado especialista —y podemos recomendar con quiénes hemos coordinado bien este proceso.
Si quieres partir con una revisión de tu situación actual, escríbenos desde la página de cumplimiento. Te decimos en qué estás en términos concretos y qué priorizaríamos.
Preguntas frecuentes
¿Qué es la Ley 21.719?
La Ley 21.719 es la nueva ley de protección de datos personales de Chile. Reemplaza a la Ley 19.628 (de 1999), crea la Agencia de Protección de Datos Personales (APDP) como autoridad fiscalizadora independiente, y establece obligaciones claras para toda organización que trate datos personales. Entra en plena vigencia el 1 de diciembre de 2026.
¿A quién aplica?
A toda organización que trate datos personales en Chile, sin importar su tamaño. No hay exención para pymes. Si tienes clientes, empleados, formularios de contacto o cualquier sistema que almacene datos de personas naturales, la ley te aplica.
¿Qué cambia respecto de la Ley 19.628?
Cuatro cambios fundamentales: (1) creación de la APDP con facultades fiscalizadoras reales, (2) multas de hasta 20.000 UTM (~$1.400M CLP) por infracciones gravísimas, (3) derechos ARCO ampliados con portabilidad y protección frente a decisiones automatizadas, y (4) obligaciones nuevas como el RAT, el DPA con proveedores, el plan de notificación de brechas en 72 horas y consentimientos con estándar más alto.
¿Qué son los derechos ARCO?
ARCO son los derechos de Acceso (saber qué datos tiene una empresa sobre ti), Rectificación (corregir errores), Cancelación (pedir que los eliminen) y Oposición (oponerse a ciertos tratamientos). La Ley 21.719 los amplía con el derecho a la portabilidad y el derecho a no ser objeto de decisiones exclusivamente automatizadas que produzcan efectos significativos. Las empresas deben tener canales para recibir y responder estas solicitudes dentro de los plazos legales.
¿Cuáles son las obligaciones principales?
Las cinco más críticas: (1) levantar el RAT (inventario de tratamientos), (2) obtener consentimientos válidos en formularios, (3) habilitar canal para derechos ARCO, (4) firmar DPA con proveedores que traten datos por tu cuenta, y (5) tener un plan de respuesta a brechas con capacidad de notificar a la APDP en 72 horas.
¿Cuándo entra en vigencia la Ley 21.719?
El 1 de diciembre de 2026. Quedan 92 días al momento de publicar este artículo (31 de agosto de 2026). Desde esa fecha la APDP puede iniciar fiscalizaciones de oficio y aplicar las sanciones de la ley.
¿Qué pasa si no me adecuo a tiempo?
Desde el 1 de diciembre el riesgo es real y exigible. La APDP puede investigar de oficio o por denuncia. Las multas van de 100 UTM (leve) a 20.000 UTM (gravísima). No se aplican automáticamente el primer día, pero el período de gracia termina exactamente el 1 de diciembre — no hay ninguna extensión adicional anunciada.
¿Por dónde se empieza?
Por el diagnóstico. Usa el evaluador gratuito JANUS en /diagnostico-ley-21719 para ver tu situación técnica visible en minutos. Luego, una revisión de dos capas: legal (abogado especialista) y técnica (nosotros). El plan completo mes a mes lo describimos en la guía de vigencia.
¿Tu empresa ya sabe dónde está parada frente a la Ley 21.719? Parte por el diagnóstico gratuito JANUS — en minutos ves los huecos técnicos más visibles. Si quieres revisar la imagen completa con nosotros, escríbenos desde la página de cumplimiento.