Protección de datos: qué cambia para tu empresa con la Ley 21.719
En diciembre de 2024 Chile publicó la Ley 21.719, que reemplaza a la antigua Ley 19.628 y moderniza por completo la protección de datos personales en el país. No es un ajuste menor: se parece al GDPR europeo y, sobre todo, cambia la lógica de fondo. A partir del 1 de diciembre de 2026 empieza a fiscalizarse, y desde esa fecha existe una Agencia de Protección de Datos con facultades reales para revisar y multar.
Si tu empresa tiene una base de clientes, empleados en nómina, venta online, cámaras o control de acceso por huella, esto te aplica. No hay exención por tamaño.
Qué cambia realmente
El cambio más importante es de mentalidad: pasas de declarar que cuidas los datos a tener que demostrarlo. Es lo que la ley llama responsabilidad proactiva. Ya no basta con una casilla de “acepto los términos”; hay que poder mostrar cómo, dónde y con qué base legal tratas cada dato.
Tres obligaciones nuevas pegan especialmente fuerte:
- Notificar las brechas de seguridad a la Agencia, y a las personas afectadas cuando el riesgo es alto.
- Responder los derechos del titular (acceder, rectificar, cancelar, oponerse, además de portabilidad) en un plazo máximo de 30 días.
- Regular las transferencias internacionales: cada servicio extranjero que uses —Google Workspace, AWS, HubSpot, Mailchimp— necesita un contrato de tratamiento de datos.
Las multas no son simbólicas
La Agencia puede aplicar sanciones que van desde las 5.000 UTM en infracciones leves hasta las 20.000 UTM (del orden de $1.480 millones) en las gravísimas, como el tratamiento de datos sensibles sin autorización o una fuga grave. En caso de reincidencia, la multa puede triplicarse o calcularse como un 2% a 4% de los ingresos anuales.
Durante los primeros 12 meses, las empresas más pequeñas pueden recibir una amonestación escrita en lugar de multa. Es un respiro, pero queda registrado: no es una exención.
Qué deberías tener listo
Sin entrar en tecnicismos legales, a diciembre de 2026 una empresa debería contar con:
- Un registro de sus tratamientos de datos (qué datos guarda, para qué y dónde).
- Una base legal clara para cada uno.
- Un canal para responder solicitudes de los titulares dentro del plazo.
- Política de privacidad y consentimientos bien hechos.
- Un procedimiento de respuesta a brechas documentado y probado.
- Medidas de seguridad concretas: cifrado, control de accesos, doble factor, respaldos y registros.
- Contratos de tratamiento con cada proveedor tecnológico.
Es más técnico que legal
Aquí está el punto que muchos pasan por alto: buena parte de la adecuación no la resuelve un abogado, la resuelve el área de tecnología. El registro de tratamientos, el cifrado, el doble factor, los respaldos, la configuración de tus SaaS y el procedimiento de brechas son trabajo de ingeniería. El papel jurídico es necesario, pero sin los sistemas detrás no sirve de nada.
Por eso lo abordamos como lo que es: un proyecto técnico con respaldo legal. Empezamos con un diagnóstico de exposición —un semáforo de riesgo con las brechas priorizadas— y desde ahí armamos el plan para llegar a diciembre sin frenar la operación. Si te queda la duda de por dónde partir, esa conversación es gratis.