Ley 21.719: qué deben hacer las empresas en Chile antes del 1 de diciembre de 2026

Chile tiene una nueva Ley de Protección de Datos Personales. La Ley N° 21.719, publicada en el Diario Oficial el 13 de diciembre de 2024, reemplaza a la antigua Ley N° 19.628 de 1999 —hasta ahora una de las normativas de protección de datos más desactualizadas de la región— y entrará en vigencia el 1 de diciembre de 2026, tras un período de vacancia legal de 24 meses. Para las empresas que operan en Chile, esa fecha no es un trámite administrativo más: marca el paso de un régimen con fiscalización prácticamente inexistente a uno con una agencia especializada, facultades sancionatorias reales y multas que pueden llegar a un porcentaje de los ingresos anuales de la compañía.

A solo tres meses de su entrada en vigencia, conviene que las empresas —especialmente aquellas que tratan datos de clientes, trabajadores o proveedores— entiendan qué cambia y qué deben implementar antes de esa fecha.

Qué crea la nueva ley

La Ley 21.719 crea la Agencia de Protección de Datos Personales (APDP), un nuevo organismo público con atribuciones para fiscalizar el cumplimiento de la normativa, instruir a las empresas y aplicar sanciones administrativas. Esto reemplaza el esquema anterior, en que la fiscalización de la Ley 19.628 recaía de forma limitada y parcial en el Consejo para la Transparencia, sin una autoridad dedicada ni un régimen sancionatorio disuasivo.

Junto con la nueva institucionalidad, la ley moderniza los conceptos centrales del derecho de protección de datos en Chile, alineándose —aunque con matices propios— a estándares como el Reglamento General de Protección de Datos de la Unión Europea (RGPD): bases de licitud más exigentes, nuevos derechos para los titulares de datos y obligaciones documentales concretas para quienes tratan esos datos.

Bases de licitud del tratamiento

Bajo la nueva ley, tratar datos personales exige contar con una base de licitud habilitante. Entre las que contempla la ley se cuentan el consentimiento del titular —que debe ser libre, informado, específico respecto de su finalidad, previo e inequívoco—, el cumplimiento de una obligación legal, la ejecución de un contrato o la adopción de medidas precontractuales solicitadas por el titular, el interés legítimo del responsable, y el ejercicio o defensa de derechos ante tribunales u órganos públicos.

El interés legítimo merece atención especial, porque a diferencia del consentimiento no basta con invocarlo: la empresa debe poder acreditar un análisis que sopese la finalidad perseguida, la necesidad del tratamiento, su impacto en los titulares y las medidas de resguardo adoptadas. En la práctica, esto significa que el interés legítimo no puede usarse como comodín; requiere documentación previa que sustente su procedencia.

Nuevos derechos y plazos para los titulares

La ley refuerza los tradicionales derechos ARCO (acceso, rectificación, cancelación y oposición) y agrega el derecho a la portabilidad de los datos. Las empresas deben responder a estas solicitudes dentro de 30 días corridos desde su ingreso, plazo prorrogable por una sola vez hasta por 30 días corridos adicionales.

También se contempla un mecanismo de bloqueo temporal de datos ante determinadas solicitudes, con un plazo de 2 días hábiles, y la posibilidad de que el titular reclame ante la Agencia si no queda conforme con la respuesta, dentro de los 30 días hábiles siguientes a la solicitud.

Esto obliga a las empresas a tener, antes de diciembre de 2026, un canal formal y trazable para recibir y tramitar estas solicitudes: no basta con responder "de buena fe" por correo electrónico sin registro ni control de plazos.

Obligaciones operativas para las empresas

Más allá de los principios, la ley impone cargas concretas de cumplimiento. La primera es el Registro de Actividades de Tratamiento (RAT): un inventario documentado de qué datos se tratan, con qué finalidad, bajo qué base de licitud y con qué medidas de seguridad. La segunda son las evaluaciones de impacto, exigibles en tratamientos de alto riesgo para los derechos de los titulares, como el uso de datos sensibles a gran escala o la evaluación sistemática de personas.

La ley también contempla la figura del Delegado de Protección de Datos, aunque su designación no es automáticamente obligatoria para toda empresa: depende del volumen, la naturaleza y el riesgo del tratamiento que realice. Aun así, conviene que toda organización defina formalmente quién responde ante la Agencia y ante los titulares, exista o no la obligación estricta de nombrar un Delegado. A esto se suman los contratos con encargados de tratamiento —proveedores externos que procesen datos por cuenta de la empresa, como servicios de nómina, marketing o almacenamiento en la nube—, que deben quedar sujetos a acuerdos que regulen ese tratamiento.

Por último, ante un incidente que comprometa datos personales, la empresa debe notificar a la Agencia sin dilaciones indebidas y por los medios más expeditos posibles. La ley no fija un plazo fijo en horas, a diferencia del RGPD europeo, pero exige poder acreditar que no hubo demora injustificada. Cuando la brecha involucra datos sensibles, información de menores de 14 años o datos económico-financieros, además debe informarse directamente a los titulares afectados.

Fiscalización y sanciones

El régimen sancionatorio es el cambio más disuasivo frente a la Ley 19.628. Las infracciones se clasifican en leves (multa de hasta 5.000 UTM), graves (hasta 10.000 UTM) y gravísimas (hasta 20.000 UTM), y en casos de reincidencia en infracciones graves o gravísimas la multa puede calcularse como un porcentaje de entre 2% y 4% de los ingresos anuales de la empresa en Chile. La Agencia también puede imponer medidas correctivas y, en los casos más graves, suspensiones temporales de hasta 30 días. Las infracciones prescriben en 4 años y las sanciones ya aplicadas, en 3 años desde que la resolución queda firme.

Un dato relevante para las pequeñas y medianas empresas: durante los primeros 12 meses de vigencia de la ley (es decir, hasta aproximadamente diciembre de 2027), la Agencia cuenta con la facultad de aplicar amonestación escrita en lugar de multas para determinadas infracciones, lo que en la práctica opera como un período de adaptación más flexible para las PYMES. Esto no exime del cumplimiento, pero sí modera el riesgo sancionatorio inmediato para quienes están adecuándose de buena fe.

Una advertencia necesaria

Conviene ser claros sobre el estado actual de esta materia: la Ley 21.719 aún no entra en vigencia y la Agencia de Protección de Datos Personales todavía no está operando con plenitud de facultades fiscalizadoras, por lo que a la fecha no existe jurisprudencia administrativa ni judicial consolidada que interprete sus disposiciones. Cualquier análisis sobre su aplicación práctica es, por ahora, de carácter preventivo y doctrinal, y debe tratarse con esa prudencia.

Qué debería hacer una empresa hoy

Con apenas tres meses para la entrada en vigencia, el margen para adecuarse con calma ya se acortó bastante. Un plan de adecuación realista, en este plazo, debería priorizar levantar un inventario real de los tratamientos de datos que realiza la empresa —el insumo para el RAT—, revisar bajo qué base de licitud se sustenta cada uno, actualizar o generar los contratos con proveedores que actúan como encargados de tratamiento, y definir formalmente un responsable interno de privacidad, tenga o no la calidad de Delegado exigido por ley. Postergar este trabajo más allá de estos tres meses deja a la empresa expuesta justo cuando la Agencia comience a fiscalizar activamente.