Recursos / Guía general
Ley 21.719: guía para empresas en Chile
En resumen
- Aplica a todo tratamiento de datos personales que haga una persona natural o jurídica, sin excluir a las pymes.
- La fecha legal de entrada en vigencia sigue siendo el 1 de diciembre de 2026. Hay un proyecto de postergación, que aún no es ley.
- El consentimiento no es la única base: un contrato o una obligación legal también permiten tratar datos.
- Las multas llegan hasta 20.000 UTM. Además, puede haber indemnización por los daños causados.
Qué es la Ley 21.719
La Ley 21.719 modifica la Ley 19.628, cambia su nombre a «sobre protección de los datos personales» y crea la Agencia de Protección de Datos Personales. Por eso, cuando esta guía cita artículos, se refiere al texto de la Ley 19.628 ya modificada.
A quién aplica
A todo tratamiento de datos personales que realice una persona natural o jurídica, incluidos los órganos públicos (art. 1°). No hay una exclusión general por tamaño. Lo que sí contempla la ley es que la Agencia fije estándares diferenciados según el tamaño de la empresa, su actividad y los datos que trata (art. 14 septies).
Desde cuándo rige
Mientras no se publique otra norma, la fecha es el 1 de diciembre de 2026. El Boletín 18.623-07 propone moverla a diciembre de 2027 y, según lo revisado el 03-11-2026, sigue en tramitación. Conviene preparar la empresa sin depender de ese resultado.
Con qué base se pueden tratar datos
La regla general es el consentimiento, que debe ser libre, informado, específico, previo e inequívoco, y se puede revocar en cualquier momento (art. 12). También es lícito tratar datos sin consentimiento cuando es necesario para (art. 13):
- Cumplir una obligación legal.
- Celebrar o ejecutar un contrato con el titular, o medidas precontractuales que este haya pedido.
- Satisfacer intereses legítimos del responsable o de un tercero, sin afectar los derechos del titular.
- Ejercer o defender un derecho ante tribunales u órganos públicos.
El art. 13 también contempla los datos económicos, financieros, bancarios o comerciales, según las reglas del Título III. En todos los casos, el responsable debe poder acreditar la licitud.
Las obligaciones principales
| Obligación | Qué significa | Artículo |
|---|---|---|
| Transparencia | Mantener publicada su política, con fecha y versión, junto con los tipos de datos, finalidades, destinatarios, bases, plazos y derechos. | 14 ter |
| Seguridad | Adoptar medidas según el riesgo, que aseguren confidencialidad, integridad, disponibilidad y resiliencia. | 14 quinquies |
| Diseño y por defecto | Incorporar la protección de datos desde el diseño de cada tratamiento. | 14 quáter |
| Reporte de vulneraciones | Reportar a la Agencia sin dilaciones indebidas cuando hay riesgo razonable para los titulares. | 14 sexies |
| Encargados | Regular por contrato a los terceros que tratan datos por cuenta de la empresa. | 15 bis |
| Evaluación de impacto | Realizarla antes de un tratamiento de alto riesgo. En ciertos casos se exige siempre. | 15 ter |
| Conservación limitada | Guardar los datos solo el tiempo necesario y luego suprimirlos o anonimizarlos. | 3° letra c |
Datos que requieren más cuidado
Son sensibles, entre otros, los datos de salud, biométricos, de origen étnico, afiliación sindical, situación socioeconómica, creencias y vida sexual (art. 2° letra g). Por regla general requieren consentimiento expreso (art. 16). Los datos de salud y los biométricos tienen reglas adicionales (arts. 16 bis y 16 ter), y los de niños, niñas y adolescentes, reglas propias (art. 16 quáter).
Qué derechos tienen las personas
Acceso, rectificación, supresión, oposición, portabilidad y bloqueo (art. 4°). La empresa debe responder dentro de plazos definidos. Lo explicamos en la guía de derechos ARCO+.
Qué sanciones contempla
| Infracción | Sanción |
|---|---|
| Leve | Amonestación escrita o multa de hasta 5.000 UTM |
| Grave | Multa de hasta 10.000 UTM |
| Gravísima | Multa de hasta 20.000 UTM |
En caso de reincidencia, la multa puede llegar a tres veces el monto. Las empresas que no son de menor tamaño y reinciden en infracciones graves o gravísimas pueden enfrentar además hasta el 2% o 4% de sus ingresos anuales (art. 35). Durante los primeros 12 meses de vigencia, a las empresas de menor tamaño se les puede aplicar una amonestación por escrito cuando proceda una sanción (Ley 21.719, art. sexto transitorio). Por otra parte, quien cause daño debe indemnizarlo (art. 47).
Por dónde partir
- Levante qué datos trata. Haga un mapeo de datos: titulares, áreas, sistemas, terceros y transferencias.
- Defina una base para cada finalidad. Y un plazo para conservar los datos.
- Revise a sus proveedores. Identifique quién trata datos por usted y bajo qué contrato.
- Prepare dos procedimientos. Uno para las solicitudes de titulares y otro para incidentes.
- Publique su política. Con el contenido que exige el art. 14 ter.
Contenido informativo, no constituye asesoría jurídica para un caso particular. Los artículos citados corresponden a la Ley 19.628 modificada por la Ley 21.719, salvo que se indique otra norma. La Ley 21.663 también está en Ley Chile. Revise la versión vigente antes de tomar decisiones.