¿Qué es la Ley 21.719 de protección de datos?

A quién aplica

La Ley 21.719 aplica a toda organización pública o privada que trate datos personales de personas que se encuentran en Chile, sin importar su tamaño ni su industria. Da lo mismo si usted opera en el sector financiero, retail, educación, logística, manufactura, tecnología o servicios profesionales: si su organización recolecta nombres, correos, RUT, direcciones, datos de contacto, comportamiento de compra, datos laborales o cualquier antecedente que permita identificar a una persona, está dentro del alcance de la ley.

También alcanza a organizaciones extranjeras que ofrecen bienes o servicios a personas en Chile o que monitorean su comportamiento, y a quienes tratan datos por encargo de un tercero. En la práctica, casi ninguna organización queda fuera: la pregunta relevante no es si la ley le aplica, sino si podría acreditar su cumplimiento ante una fiscalización.

Qué cambia respecto de la Ley 19.628

La Ley 19.628 existía desde 1999, pero no tenía un organismo que la fiscalizara ni multas que hicieran costoso incumplirla. En la práctica, quedaba en manos de cada organización decidir cuánto esfuerzo dedicarle.

La Ley 21.719 cambia exactamente eso. Incorpora principios explícitos (licitud, finalidad, proporcionalidad, calidad, responsabilidad, seguridad, transparencia y confidencialidad), amplía los derechos de los titulares, exige documentar los tratamientos, obliga a notificar incidentes de seguridad y —lo más determinante— crea una autoridad con facultades sancionatorias y un régimen de multas en UTM.

Principales obligaciones

Registro de Actividades de Tratamiento (RAT): un inventario documentado de qué datos trata la organización, con qué finalidad, por cuánto tiempo y con quién los comparte. Es la primera evidencia que se solicita en una fiscalización.

Bases de licitud: todo tratamiento debe apoyarse en una base legal identificada (consentimiento, ejecución de un contrato, obligación legal, interés legítimo, entre otras). Consentimiento no es la única base, pero cuando se usa debe ser libre, informado, específico y revocable, y debe quedar registrado.

Derechos de los titulares (ARCO+BP): acceso, rectificación, cancelación, oposición, bloqueo y portabilidad. La organización debe tener un canal para recibir estas solicitudes, responderlas en los plazos legales y dejar constancia de cada respuesta.

Notificación de incidentes: las vulneraciones de seguridad que afecten datos personales deben notificarse a la Agencia, y a los titulares cuando exista riesgo relevante para sus derechos. Esto exige tener un procedimiento definido antes de que ocurra el incidente.

Evaluaciones de impacto (EIPD): cuando un tratamiento presenta un riesgo alto —por su volumen, por el uso de datos sensibles o por tecnologías intrusivas— se debe analizar y documentar ese riesgo y las medidas adoptadas para mitigarlo.

La Agencia de Protección de Datos y su rol fiscalizador

La ley crea la Agencia de Protección de Datos Personales, un organismo con facultades para dictar instrucciones, recibir reclamos de titulares, iniciar procedimientos de oficio, requerir información, fiscalizar y aplicar sanciones.

Esto significa que el cumplimiento deja de ser declarativo. Frente a un requerimiento, no basta afirmar que se protegen los datos: hay que mostrar el registro de tratamientos, las bases de licitud, las políticas vigentes, las capacitaciones realizadas, los incidentes gestionados y las respuestas entregadas a titulares. Sin documentación, la defensa es prácticamente imposible.

El plazo del 1 de diciembre de 2026

El 1 de diciembre de 2026 la ley entra en vigencia plena y la Agencia puede fiscalizar y sancionar. El período de adecuación no se extiende: quien llegue a esa fecha sin evidencia documentada queda expuesto desde el primer día.

Armar un RAT completo, definir bases de licitud, publicar políticas, habilitar el canal de derechos y capacitar a los equipos toma meses de trabajo coordinado entre legal, TI, operaciones y las áreas de negocio. Por eso el trabajo debe partir bastante antes de la fecha límite.

Qué debería hacer su organización ahora

Primero, levantar el inventario: qué sistemas, planillas, formularios y proveedores tratan datos personales hoy. Segundo, asignar a cada tratamiento su finalidad, su base de licitud y su plazo de conservación. Tercero, cerrar las brechas visibles: políticas desactualizadas, consentimientos sin registro, accesos excesivos, proveedores sin cláusulas de tratamiento.

Cuarto, y lo que más se subestima: definir cómo se mantiene vigente todo eso. Un RAT correcto en marzo y abandonado en octubre no sirve como evidencia en diciembre. El cumplimiento de la Ley 21.719 es un proceso continuo, no un proyecto que se cierra.

Preguntas frecuentes