Ley 21.719: guía completa de cumplimiento para tu empresa

¿Qué es la Ley 21.719?

La Ley 21.719 es la reforma que moderniza el tratamiento de datos personales en Chile, reemplazando el cuerpo original de la Ley 19.628 por un estándar más exigente y alineado con marcos internacionales de protección de datos. Su cambio más visible es institucional: crea la Agencia de Protección de Datos Personales, un organismo con potestad fiscalizadora y sancionadora que antes no existía en esta materia.

Además de crear un regulador, la ley reordena las obligaciones de las organizaciones en torno a principios rectores (Art. 3°), un catálogo ampliado de derechos para los titulares de los datos (Arts. 4° a 11), y deberes concretos y verificables para quien trata datos personales: informar, tener una base de licitud, proteger la información y responder ante incidentes. La ley entra en vigencia el 1 de diciembre de 2026, lo que da a las organizaciones un plazo para adecuarse antes de que la Agencia comience a fiscalizar.

¿A quién aplica?

La Ley 21.719 aplica a cualquier organización —pública o privada, con o sin fines de lucro, de cualquier tamaño— que trate datos personales de personas naturales en Chile. Esto incluye datos de clientes, trabajadores, proveedores, postulantes, pacientes o usuarios de un sitio web, sin importar si el tratamiento es manual o mediante sistemas informáticos.

No existe un umbral mínimo de tamaño o de volumen de datos que exima a una empresa: una pyme que solo mantiene una planilla de clientes también está obligada. Lo que sí varía según el caso es el nivel de exigencia concreto, que la propia ley vincula al riesgo del tratamiento: mientras más datos, más sensibles o más decisiones automatizadas involucre la actividad de una organización, mayor es el estándar de diligencia que se espera de ella.

Los principios que ordenan la ley

El Artículo 3° de la Ley 21.719 establece los principios que deben inspirar todo tratamiento de datos personales, y que en la práctica funcionan como el criterio con que la Agencia evaluará cualquier caso concreto.

El principio de finalidad (Art. 3° letra b) exige que los datos se recolecten para fines determinados, explícitos y lícitos, y prohíbe reutilizarlos después para fines incompatibles con los informados al titular. El principio de proporcionalidad o minimización (Art. 3° letra c) limita la recolección a lo estrictamente necesario para esa finalidad: no se debe pedir ni conservar más datos de los que el propósito declarado justifica. Y el principio de responsabilidad o accountability (Art. 3° letra e) traslada la carga de la prueba a la organización: no basta con cumplir la ley, hay que poder demostrarlo con políticas, registros y evidencia concreta ante un requerimiento o una fiscalización.

A estos se suman los principios de licitud (toda operación necesita una base legal válida) y de seguridad, que se desarrollan en detalle en los artículos siguientes de la ley y que dan forma a las obligaciones operativas descritas a continuación.

Obligaciones clave para las empresas

El cumplimiento de la Ley 21.719 se traduce en un conjunto de deberes concretos, cada uno con respaldo en artículos específicos, que una organización debe poder acreditar en cualquier momento.

• Informar el tratamiento (Art. 3° letra b y Art. 14 ter): los fines deben quedar informados al momento de la recolección, y de forma permanente mediante una política de tratamiento pública con contenidos mínimos —responsable, finalidades, bases de licitud, destinatarios, plazos de conservación y transferencias internacionales, entre otros—.
• Contar con una base de licitud válida (Art. 12 y Art. 16 para datos sensibles): el consentimiento, cuando corresponde, debe ser libre, informado, específico e inequívoco, revocable en cualquier momento y acreditable por el responsable; otras causales legales pueden reemplazarlo según el caso.
• Mantener un Registro de Actividades de Tratamiento (RAT): el inventario de qué datos se tratan, con qué finalidad, quién accede a ellos y por cuánto tiempo se conservan, que permite responder a la Agencia y a los propios titulares.
• Aplicar medidas de seguridad proporcionales al riesgo (Art. 14 quinquies): controles de acceso, cifrado, respaldos y trazabilidad adecuados a la naturaleza y volumen de los datos tratados.
• Atender los derechos ARCOP de las personas (Arts. 4° a 11): acceso, rectificación, cancelación (supresión), oposición y portabilidad, respondiendo en los plazos legales y de forma gratuita.
• Regular por contrato a los encargados de tratamiento (Art. 15 bis): cuando un tercero —proveedor de software, hosting, contador— trata datos por cuenta de la empresa, debe existir un contrato escrito que fije objeto, medidas de seguridad y destino de los datos al término del servicio.
• Reportar las vulneraciones de seguridad (Art. 14 sexies): ante una filtración, pérdida o acceso no autorizado con riesgo razonable, notificar a la Agencia sin dilaciones indebidas y, si están involucrados datos sensibles, de menores de 14 años o financieros, también a los titulares afectados.

Datos sensibles y categorías con protección reforzada

El Artículo 16 establece la regla general para los datos sensibles: su tratamiento está prohibido, salvo que exista consentimiento expreso del titular u otra habilitación legal específica. Esta es una de las diferencias más importantes respecto del régimen anterior, que trataba estos datos con menor exigencia.

Dentro de esta categoría, la ley reconoce regímenes reforzados particulares. Los datos de salud y de perfil biológico (Art. 16 bis) exigen habilitaciones específicas y garantías adicionales de confidencialidad, especialmente relevantes para clínicas, prestadores de salud y aseguradoras. Los datos biométricos —huella, rostro, voz— (Art. 16 ter) requieren informar al titular el sistema usado, la finalidad y el plazo de conservación, y el consentimiento debe ser realmente libre, lo que en contextos como el laboral obliga a ofrecer una alternativa al trabajador. Y los datos de niños, niñas y adolescentes menores de 14 años (Art. 16 quáter) requieren la autorización de su padre, madre o representante legal, atendiendo siempre a su interés superior.

La Agencia de Protección de Datos Personales y las sanciones

La Ley 21.719 crea la Agencia de Protección de Datos Personales, el organismo encargado de fiscalizar el cumplimiento de la ley, resolver los reclamos de los titulares que no fueron satisfechos por el responsable del tratamiento, e instruir procedimientos sancionatorios cuando corresponda.

La ley contempla un régimen sancionatorio propio, con infracciones que se gradúan según su gravedad y con la Agencia como autoridad competente para instruir el procedimiento y aplicar las sanciones que correspondan. Más allá del monto de una eventual multa, el mayor riesgo práctico para una empresa suele ser la exposición reputacional y operativa de un procedimiento de fiscalización: la carga de acreditar cumplimiento recae en la propia organización, conforme al principio de responsabilidad ya descrito.

Cómo empezar a cumplir

La adecuación a la Ley 21.719 no es un proyecto de un solo paso, pero sí tiene un punto de partida claro: entender qué datos personales trata la organización hoy, con qué base legal y con qué nivel de exposición.

1. Levantar un inventario de los datos personales tratados (qué se recolecta, de quién, con qué finalidad y dónde se almacena).
2. Identificar la base de licitud de cada tratamiento y corregir los que no cuenten con una válida.
3. Redactar o actualizar la política de tratamiento de datos con los contenidos que exige el Art. 14 ter.
4. Revisar los contratos con proveedores que actúan como encargados de tratamiento.
5. Definir un canal para atender los derechos ARCOP y un procedimiento interno para responder a incidentes de seguridad.
6. Designar formalmente a la persona o equipo responsable de la protección de datos dentro de la organización.

Preguntas frecuentes

• ¿Cuándo entra en vigencia la Ley 21.719?

  El 1 de diciembre de 2026. Conviene comenzar la adecuación con anticipación, porque levantar el inventario de datos, ajustar contratos con proveedores y definir procedimientos internos toma tiempo.

• ¿Mi empresa debe cumplirla si es pequeña?

  Sí. La ley no distingue por tamaño de la organización: aplica a toda entidad que trate datos personales, aunque el nivel de exigencia concreto es proporcional al riesgo del tratamiento que realiza.

• ¿Qué cambia respecto de la Ley 19.628 anterior?

  La Ley 21.719 reforma la Ley 19.628 e introduce, entre otros cambios, la Agencia de Protección de Datos Personales como regulador con potestad fiscalizadora, un catálogo de derechos ampliado para los titulares, obligaciones expresas de reporte de incidentes de seguridad y un régimen reforzado para datos sensibles.

• ¿Qué es el RAT y por qué es obligatorio?

  El Registro de Actividades de Tratamiento (RAT) es el inventario de qué datos personales trata la organización, con qué finalidad, quién accede a ellos y por cuánto tiempo se conservan. Es la base para poder demostrar cumplimiento ante la Agencia y para responder correctamente a los titulares que ejercen sus derechos.

• ¿Qué pasa si mi empresa sufre una filtración de datos?

  El Art. 14 sexies obliga a reportar la vulneración a la Agencia por los medios más expeditos y sin dilaciones indebidas cuando existe un riesgo razonable para las personas. Si la filtración afecta datos sensibles, de menores de 14 años o financieros, también debe notificarse a los titulares afectados, y la organización debe mantener un registro de estos incidentes.