Vigencia: 1 de diciembre de 2026
Ley de Protección de Datos Personales (Ley 21.719)
La Ley 21.719 reemplaza un marco de protección de datos de 1999 y crea una nueva Agencia con poder para fiscalizar de oficio, suspender tratamientos de datos y aplicar multas de hasta 20.000 UTM, con un recargo de hasta el 4% de los ingresos anuales en caso de reincidencia. Faltan pocos meses para que entre en vigencia.
La Ley 21.719 moderniza por completo la protección de datos personales en Chile, reemplazando una normativa de 1999 que ya no respondía a cómo las empresas recolectan, almacenan y usan datos hoy. Desde el 1 de diciembre de 2026, toda empresa que trate datos de clientes, empleados o proveedores queda sujeta a un régimen de fiscalización activo, no solo a principios generales.
La nueva Agencia de Protección de Datos Personales puede investigar de oficio, sin que medie una denuncia, ordenar la suspensión de un tratamiento de datos y publicar sanciones en un registro público. Para muchas empresas esta ley cambia el estándar de cumplimiento de la noche a la mañana, y la ventana para prepararse antes de la entrada en vigencia se está cerrando.
Cómo trabajamos
Diagnóstico y auditoría de cumplimiento
Evaluamos cómo trata su empresa los datos personales hoy — de clientes, empleados y proveedores — y medimos la brecha real frente a las exigencias de la Ley 21.719 antes de que entre en vigencia.
Designación de Delegado de Protección de Datos (DPO)
La ley exige un DPO para organismos públicos y empresas cuya actividad principal implique tratamiento a gran escala de datos sensibles o monitoreo sistemático de personas; para el resto es voluntario, pero recomendable dentro de cualquier modelo de prevención de infracciones serio. Evaluamos si su empresa está obligada y podemos actuar como su DPO externo.
Políticas, consentimientos y contratos con proveedores
Redacción de políticas de privacidad, flujos de consentimiento, procedimientos para ejercer los derechos ARCO (Acceso, Rectificación, Cancelación, Oposición) y portabilidad, y actualización de contratos con proveedores que procesan datos por cuenta de la empresa.
Protocolo de respuesta a brechas y capacitación
Diseño del protocolo interno para responder a una brecha de seguridad, incluyendo plazos y procedimiento de reporte a la Agencia, más capacitación al equipo sobre las nuevas obligaciones.
Preguntas frecuentes
¿Cuándo entra en vigencia la Ley 21.719 y qué pasa si mi empresa no está lista?+
La ley fue publicada el 13 de diciembre de 2024 y entra en vigencia el 1 de diciembre de 2026. Desde esa fecha, la Agencia de Protección de Datos Personales puede fiscalizar de oficio y aplicar multas de hasta 5.000 UTM por infracciones leves, hasta 10.000 UTM por infracciones graves y hasta 20.000 UTM por infracciones gravísimas — a valores de agosto de 2026, este último tope equivale a cerca de $1.430 millones de pesos (aproximadamente USD 1,57 millones). En caso de reincidencia en infracciones graves o gravísimas, las empresas que no califiquen como de tamaño pequeño pueden además enfrentar una multa de hasta el 2% o 4% de sus ingresos anuales por ventas y servicios en Chile, la que sea mayor entre esa cifra y el triple de la multa original. No haber sido fiscalizado antes no es garantía de estar en regla: el nuevo régimen es activo, no reactivo.
¿Mi empresa está obligada a designar un Delegado de Protección de Datos (DPO)?+
Es obligatorio para organismos públicos y para empresas cuya actividad principal implique tratamiento a gran escala de datos sensibles o monitoreo sistemático de titulares. Para el resto de las empresas la designación es voluntaria, pero se vuelve un elemento esperado dentro de cualquier modelo de prevención de infracciones serio. La evaluación depende del volumen y tipo de datos que trata su empresa, no de su tamaño.
¿Qué cambia respecto a la ley anterior (Ley 19.628)?+
La Ley 19.628, de 1999, establecía principios generales con una fiscalización prácticamente inexistente. La Ley 21.719 crea una autoridad de control real (la Agencia), amplía los derechos de los titulares (ARCO más portabilidad de datos), exige bases de licitud más claras para tratar datos, y establece un régimen de sanciones proporcional a los ingresos de la empresa, no montos fijos simbólicos.
Hablemos de protección de datos
Cuéntenos su situación y le responderemos en menos de 24 horas hábiles.
Agendar Reunión