En resumen
- La Ley 21.719 moderniza la Ley 19.628 de protección de la vida privada y crea la Agencia de Protección de Datos Personales.
- Fue publicada el 13 de diciembre de 2024 y rige desde el 1 de diciembre de 2026.
- Aplica a todas las empresas que tratan datos personales, también a las PYMEs.
- Las multas llegan a 5.000, 10.000 o 20.000 UTM según la gravedad de la infracción.
- Exige, entre otras cosas, publicar una política de privacidad completa, pedir consentimiento válido, proteger los datos y reportar las filtraciones.
¿Qué es la Ley 21.719?
La Ley 21.719 es la nueva ley chilena que regula la protección y el tratamiento de los datos personales. No reemplaza a la Ley 19.628: la modifica profundamente para acercarla a estándares internacionales como el reglamento europeo (RGPD). Define qué es un tratamiento lícito, amplía los derechos de las personas, impone deberes de seguridad y transparencia a las empresas, y crea la Agencia de Protección de Datos Personales, que podrá fiscalizar y sancionar.
¿Desde cuándo rige?
La ley se publicó en el Diario Oficial el 13 de diciembre de 2024. Sus modificaciones entran en vigencia el 1 de diciembre de 2026, el primer día del mes 24 posterior a su publicación (artículo primero transitorio). Desde esa fecha la Agencia puede fiscalizar y aplicar multas.
¿A quién aplica?
A toda persona natural o jurídica que trate datos personales, es decir, cualquier información que identifique o permita identificar a una persona: nombre, RUT, correo, teléfono, dirección, datos de salud, de navegación y más. Si tu empresa tiene clientes, trabajadores, proveedores o una lista de contactos, la ley te aplica, sin importar su tamaño.
Obligaciones principales
Licitud del tratamiento
Arts. 12 y 13Cada uso de datos debe basarse en el consentimiento o en otra fuente legal: obligación legal, contrato o medidas precontractuales, interés legítimo, o ejercicio de derechos ante tribunales.
Consentimiento válido
Art. 12Debe ser libre, informado, específico, previo e inequívoco, mediante una declaración o un acto afirmativo claro. Una casilla premarcada no sirve.
Deber de información
Art. 14 terPublicar en el sitio web la política de tratamiento con 12 contenidos mínimos: responsable, canal de solicitudes, finalidades, base legal, derechos, transferencias, plazos de conservación y más.
Protección desde el diseño
Art. 14 quáterConfigurar sistemas y procesos para tratar solo los datos necesarios, por defecto.
Medidas de seguridad
Art. 14 quinquiesAdoptar medidas técnicas y organizativas proporcionales al riesgo para proteger los datos.
Reporte de vulneraciones
Art. 14 sexiesReportar a la Agencia las brechas de seguridad que generen riesgo, sin dilaciones indebidas, y avisar a los afectados en ciertos casos.
Contratos con encargados
Art. 15 bisQuien trata datos por cuenta de la empresa (proveedores de software, nube, contabilidad) debe hacerlo bajo un contrato que regule el tratamiento.
Transferencias internacionales
Arts. 27 y 28Enviar datos fuera de Chile solo a países con nivel adecuado de protección o con garantías, como cláusulas contractuales.
Derechos de las personas
Los titulares de datos pueden pedir a la empresa acceso, rectificación, supresión, oposición, portabilidad y bloqueo de sus datos, además de retirar su consentimiento. La empresa debe responder dentro de 30 días corridos, plazo prorrogable por una sola vez por otros 30 (Art. 11). Si la respuesta no llega o es negativa, la persona puede reclamar ante la Agencia. La portabilidad, que permite pedir los datos en un formato para llevarlos a otra empresa, es una de las novedades de la ley.
Infracciones y multas
La ley clasifica las infracciones en leves, graves y gravísimas (Art. 34) y fija las multas en el Art. 35:
| Gravedad | Multa máxima | Ejemplos |
|---|---|---|
| LeveArt. 34 bis | Hasta 5.000 UTM o amonestación escrita | No cumplir el deber de información (14 ter), no tener un canal de contacto operativo o no responder a tiempo las solicitudes de los titulares. |
| GraveArt. 34 ter | Hasta 10.000 UTM | Tratar datos sin consentimiento ni base legal, impedir el ejercicio de derechos, vulnerar las obligaciones de seguridad o transferir datos al extranjero sin cumplir la ley. |
| GravísimaArt. 34 quáter | Hasta 20.000 UTM | Tratamiento fraudulento, omitir deliberadamente el reporte de una brecha o tratar a sabiendas datos sensibles o de niños, niñas y adolescentes en contra de la ley. |
Además, la Agencia indica medidas para corregir la infracción, que deben adoptarse en un máximo de 60 días; si no, la multa sube un 50%. Si hay reincidencia, la multa puede llegar al triple. Y las empresas que no son de menor tamaño que reincidan en infracciones graves o gravísimas pueden recibir multas de hasta el 2% o 4% de sus ingresos anuales (Art. 35).
Qué cambia para las PYMEs
Las obligaciones son las mismas para todas las empresas, pero hay dos diferencias que alivian a las PYMEs:
- Durante los primeros 12 meses de vigencia, cuando proceda una sanción contra una empresa de menor tamaño, la Agencia podrá aplicar una amonestación por escrito en lugar de una multa (artículo sexto transitorio). Es una facultad de la Agencia, no una exención automática.
- Si la empresa adopta voluntariamente un modelo de prevención de infracciones, en las micro, pequeñas y medianas empresas el dueño puede asumir personalmente el rol de delegado de protección de datos (Art. 49).
Checklist de cumplimiento
- 1Hacer un inventario de los datos personales que maneja la empresa: de clientes, trabajadores, proveedores y contactos.
- 2Definir la base legal de cada tratamiento y la finalidad para la que se usa cada dato.
- 3Publicar una política de privacidad con los contenidos del Art. 14 ter y enlazarla desde el sitio y los formularios.
- 4Habilitar un correo o formulario para recibir solicitudes de los titulares y responderlas en 30 días corridos.
- 5Pedir consentimiento previo para marketing y para cookies de analítica o publicidad.
- 6Revisar contratos con proveedores que tratan datos por cuenta de la empresa y las transferencias fuera de Chile.
- 7Aplicar medidas de seguridad: verificación en dos pasos, control de accesos, cifrado y respaldos probados.
- 8Preparar un protocolo para detectar, registrar y reportar vulneraciones de seguridad.
- 9Definir plazos de conservación y eliminar los datos que ya no se necesitan.
- 10Capacitar al equipo que maneja datos personales.
¿Cómo está tu sitio web hoy?
Nuestra herramienta gratuita revisa en segundos la política de privacidad, los formularios, las cookies, el certificado y el correo de tu dominio frente a la Ley 21.719.
Analizar mi sitio gratisPreguntas frecuentes
¿Desde cuándo rige la Ley 21.719?
La Ley 21.719 fue publicada en el Diario Oficial el 13 de diciembre de 2024 y entra en vigencia el 1 de diciembre de 2026, el primer día del mes 24 posterior a su publicación (artículo primero transitorio).
¿La Ley 21.719 aplica a las PYMEs?
Sí. Aplica a toda persona o empresa que trate datos personales, sin importar su tamaño. Las empresas de menor tamaño tienen un trato especial solo en las sanciones durante los primeros 12 meses de vigencia.
¿Cuáles son las multas de la Ley 21.719?
Según el Art. 35, las infracciones leves se sancionan con amonestación escrita o multa de hasta 5.000 UTM, las graves con hasta 10.000 UTM y las gravísimas con hasta 20.000 UTM. En caso de reincidencia la multa puede llegar al triple, y para empresas que no son de menor tamaño que reincidan en infracciones graves o gravísimas, hasta el 2% o 4% de sus ingresos anuales.
¿Es obligatorio tener un delegado de protección de datos?
No en general. El delegado forma parte del modelo de prevención de infracciones, que las empresas pueden adoptar voluntariamente (Art. 49). En micro, pequeñas y medianas empresas el dueño o sus máximas autoridades pueden asumir esa función.
¿En cuánto tiempo hay que reportar una filtración de datos?
La ley exige reportar a la Agencia las vulneraciones de seguridad que generen riesgo sin dilaciones indebidas (Art. 14 sexies). A diferencia del reglamento europeo, el texto de la ley no fija un plazo de 72 horas.
¿Qué pasa si mi sitio web no tiene política de privacidad?
Incumplir el deber de información y transparencia del Art. 14 ter es una infracción leve según el Art. 34 bis letra a, sancionable con amonestación o multa de hasta 5.000 UTM.
Fuente: Ley 21.719, Diario Oficial de la República de Chile, núm. 44.023, 13 de diciembre de 2024. Esta guía es informativa y no constituye asesoría legal.