Respuesta rápida
La Ley 21.719 moderniza la protección de datos personales en Chile y hoy tiene vigencia legal el 1 de diciembre de 2026. El Gobierno presentó un proyecto para postergarla al 1 de diciembre de 2027, pero aún no es ley. Los 10 puntos de esta guía son el mínimo que conviene revisar ahora, porque el cambio de fondo es que la empresa debe poder demostrar que cumple.
Aviso: esta guía es informativa y no constituye asesoría legal. NDT es una consultora de procesos y tecnología, no un estudio jurídico. Para decisiones específicas, consulta con un abogado especialista.
1. ¿Cuándo entra en vigencia y qué pasa con la postergación?
La Ley 21.719 fue publicada en el Diario Oficial el 13 de diciembre de 2024 y modifica la Ley 19.628 sobre protección de la vida privada. Su vigencia legal es el 1 de diciembre de 2026.
El 1 de septiembre de 2026 el Gobierno ingresó al Senado un proyecto (boletín 18.623-07) para postergarla un año, al 1 de diciembre de 2027, y reforzar la institucionalidad de la Agencia de Protección de Datos Personales. Según el análisis de Carey Abogados de principios de septiembre, el proyecto aún no iniciaba su debate; puede cambiar y no es ley. Revisa su estado actual antes de decidir plazos. Por eso la fecha vigente sigue siendo la original. Tampoco cambia lo que la ley exige: el proyecto da más plazo, no modifica las obligaciones.
2. ¿Cuáles son los principios que debes respetar?
Los resúmenes jurídicos consultados coinciden en ocho principios: licitud y lealtad, finalidad, proporcionalidad, calidad, responsabilidad, seguridad, transparencia e información, y confidencialidad. Su inobservancia puede generar responsabilidad administrativa y civil.
3. ¿Qué base de licitud justifica cada tratamiento?
Cada vez que la empresa usa datos personales necesita una base reconocida por la ley: el consentimiento es la más conocida, pero existen otras, como el contrato o una obligación legal. Para el marketing directo, un resumen consultado señala que se exige consentimiento explícito. Define qué base usas en cada proceso y dónde queda registrada.
4. ¿Qué debes informar y publicar?
Los responsables del tratamiento deben informar a las personas quién trata sus datos, para qué, por cuánto tiempo y con quién se comparten. La ley exige además tener a disposición del público, por ejemplo en el sitio web, una política de tratamiento de datos personales (artículo 14 ter). Así lo reflejó el propio Banco Central de Chile al aplicar la ley.
5. ¿Qué derechos pueden ejercer las personas?
- Acceso: saber qué datos tienes y para qué los usas.
- Rectificación: corregir datos inexactos.
- Supresión: pedir que se eliminen.
- Oposición: negarse a ciertos tratamientos.
- Portabilidad: recibir sus datos para llevarlos a otro proveedor.
- Bloqueo o limitación del tratamiento.
- No ser objeto de decisiones automatizadas basadas solo en tratamiento automatizado, con garantías de explicación y de intervención humana.
Necesitas un canal y un procedimiento claros para recibir y responder estas solicitudes dentro del plazo legal.
6. ¿Qué medidas de seguridad y qué cuidado con proveedores?
La ley exige medidas técnicas y organizativas proporcionales al riesgo. En la práctica incluye controlar accesos, proteger la información y revisar los contratos con proveedores que tratan datos por tu cuenta, por ejemplo el servicio de correo, el CRM o la herramienta de IA. Las transferencias internacionales solo se permiten a países con nivel adecuado de protección o con garantías, como cláusulas contractuales modelo.
7. ¿Qué haces si hay una vulneración de seguridad?
La empresa debe notificar las vulneraciones de seguridad a la Agencia y, cuando exista riesgo para las personas, también a los afectados. Las fuentes consultadas no coinciden en un plazo exacto, por eso conviene revisar el texto oficial y definir un protocolo interno: quién detecta, quién decide, quién comunica y en cuánto tiempo.
8. ¿Cómo se tratan los datos sensibles y los de menores?
Los datos sensibles, como salud, origen étnico, vida sexual, datos biométricos o geolocalización precisa, requieren consentimiento expreso y medidas reforzadas. En el caso de niños, niñas y adolescentes, un resumen consultado señala que el consentimiento del propio menor no basta y se requiere autorización verificable de padres o tutores. Si tu empresa trata este tipo de datos, es el punto con mayor riesgo.
9. ¿Cómo demuestras que cumples?
El cambio de fondo es la responsabilidad proactiva: la empresa debe poder demostrar que cumple, documentando sus decisiones, sus bases de licitud y sus medidas de seguridad. La ley incentiva además programas de cumplimiento (modelo de prevención, artículo 49), voluntarios, cuya certificación opera como atenuante. Para tratamientos de alto riesgo, como el perfilamiento o el tratamiento masivo de datos sensibles, las fuentes recomiendan hacer una evaluación de impacto.
10. ¿Qué sanciones y qué fiscalización hay?
| Tipo de infracción | Multa máxima |
|---|---|
| Leve | Amonestación escrita o hasta 5.000 UTM |
| Grave | Hasta 10.000 UTM |
| Gravísima | Hasta 20.000 UTM (unos US$1,4 millones, según Carey Abogados) |
En caso de reincidencia, las multas pueden aumentar y, para empresas grandes, llegar a un porcentaje de los ingresos anuales; los resúmenes consultados mencionan entre 2% y 4%, un dato que conviene confirmar en el texto oficial. Las sanciones se inscriben en un registro público. La fiscalización le corresponde a la nueva Agencia de Protección de Datos Personales, que aún no completa su instalación.
¿Cómo empezar a prepararte?
- Inventario de datos: qué datos tratas, dónde están, para qué y con quién se comparten.
- Revisión de bases de licitud y consentimientos, especialmente en marketing.
- Política de tratamiento publicada y canal para los derechos de las personas.
- Revisión de proveedores y contratos.
- Protocolo de incidentes con responsables y tiempos.
- Documentar todo, porque la carga de demostrar el cumplimiento es de la empresa.
Lo que vemos desde NDT
Preguntas frecuentes
¿Cuándo entra en vigencia la Ley 21.719 de datos personales?
La ley, publicada el 13 de diciembre de 2024, tiene vigencia legal el 1 de diciembre de 2026. El Gobierno ingresó el 1 de septiembre de 2026 un proyecto para postergarla al 1 de diciembre de 2027; mientras no se publique, la fecha vigente es la original.
¿A qué empresas aplica la ley?
A cualquier organización que trate datos personales de personas, incluidas las empresas privadas de todos los tamaños. Las fuentes consultadas también indican que alcanza a empresas fuera de Chile que traten datos de residentes chilenos.
¿Cuáles son las multas por incumplir?
Hasta 5.000 UTM las infracciones leves, hasta 10.000 UTM las graves y hasta 20.000 UTM las gravísimas. En reincidencia de empresas grandes, los resúmenes jurídicos hablan de multas de entre el 2% y el 4% de los ingresos anuales; conviene confirmarlo en el texto oficial.
¿Qué derechos tienen las personas sobre sus datos?
Acceso, rectificación, supresión, oposición y portabilidad, además de bloqueo o limitación del tratamiento y el derecho a no ser objeto de decisiones basadas únicamente en tratamiento automatizado.
¿Qué debo hacer primero para prepararme?
Hacer un inventario de qué datos personales trata la empresa, dónde están, para qué se usan y con quién se comparten. Es la base para todo lo demás.
¿Esta guía es asesoría legal?
No. Es información general basada en fuentes públicas. Para decisiones sobre tu empresa, consulta con un abogado especialista en protección de datos.
Fuentes
- Gobierno ingresa proyecto de ley que posterga en un año la entrada en vigor de la Ley 21.719 (Carey Abogados, sep 2026)
- Ley 21.719 Chile: Checklist de Cumplimiento y Multas 2026 (Pirani Risk)
- Ley Nº 21.719 y la reconstrucción del derecho chileno de protección de datos personales (Thomson Reuters Chile)
- Ley 21.719: obligaciones, multas y plan de cumplimiento (Prey)
- Ley sobre Protección de Datos Personales (Banco Central de Chile)
- Texto oficial de la Ley 21.719 (Biblioteca del Congreso Nacional)
Datos y cifras consultados el 31 de octubre de 2026. Las referencias a normas o productos pueden cambiar; revisa las fuentes para la versión vigente.
Si quieres llevarlo a tu empresa
En NDT trabajamos este tema en Consultoría en transformación digital. Cuéntanos tu caso y partimos desde ahí.
