Multas de la Ley 21.719: montos, tramos y quién sanciona

¿Quién sanciona los incumplimientos de la Ley 21.719?

La Agencia de Protección de Datos Personales es el organismo público con potestad fiscalizadora y sancionadora sobre el tratamiento de datos personales en Chile. Puede iniciar un procedimiento sancionatorio de oficio o a partir de una denuncia de un titular que no obtuvo respuesta satisfactoria a un ejercicio de sus derechos.

Si una persona ejerce sus derechos de acceso, rectificación, supresión, oposición, portabilidad o bloqueo y la empresa no responde en el plazo legal o la respuesta no la satisface, puede reclamar ante la Agencia. Las resoluciones de la Agencia, a su vez, pueden ser reclamadas ante los tribunales de justicia.

• Fiscaliza el cumplimiento de la ley (Arts. 4° a 11, sobre los derechos del titular).
• Recibe los reportes obligatorios de vulneraciones de seguridad (Art. 14 sexies).
• Instruye procedimientos sancionatorios y aplica multas.
• Sus resoluciones son reclamables ante los tribunales.

Cómo clasifica la ley las infracciones

La Ley 21.719 no deja la gravedad al criterio de quien la aplica: la enumera. Sus artículos 34 bis, 34 ter y 34 quáter contienen tres listas cerradas que dicen, conducta por conducta, cuáles son infracciones leves, graves y gravísimas. En qué lista cae un incumplimiento es lo que determina el techo de la multa.

Las gravísimas tienen una particularidad que conviene conocer: casi todas exigen intención. La ley habla de tratamiento «fraudulento», de destinar los datos «maliciosamente» a otro fin, de ceder información «a sabiendas», de omitir «en forma deliberada» el aviso de una filtración. Una empresa que simplemente no implementó un control no cae ahí. Las excepciones, que no requieren intención, son el tratamiento masivo de registros de infracciones sin autorización, el incumplir una resolución de la Agencia y el omitir la evaluación de impacto del Art. 15 ter.

• Leves (Art. 34 bis): incumplir el deber de información y transparencia del Art. 14 ter, carecer de un medio de contacto operativo para que los titulares ejerzan sus derechos, no responder sus solicitudes o hacerlo fuera de plazo, y cualquier otra infracción que la ley no califique como grave o gravísima.
• Graves (Art. 34 ter): tratar datos sin consentimiento ni otro fundamento legal, o con una finalidad distinta de la informada; ceder datos sin consentimiento cuando es necesario; tratar datos innecesarios; obstaculizar el ejercicio de derechos; vulnerar el deber de secreto del Art. 14 bis o las medidas de seguridad del Art. 14 quinquies; omitir el reporte de una vulneración; y realizar transferencias internacionales contra la ley.
• Gravísimas (Art. 34 quáter): tratamiento fraudulento, desvío malicioso de finalidad, cesión a sabiendas de información inexacta, vulneración del secreto sobre datos sensibles, omisión deliberada del aviso de filtración y el incumplimiento de la evaluación de impacto del Art. 15 ter.

Los topes de multa que fija la ley

El Art. 35 fija un tope por nivel de infracción y no establece mínimos: las multas se enuncian como «de hasta» tal monto, y las infracciones leves pueden sancionarse con una simple amonestación escrita, sin multa.

Estos topes son por infracción, no un total acumulable. KPC no estima cuánto pagaría una empresa concreta: determinar el monto dentro del techo es facultad de la Agencia, que lo hace aplicando los criterios del Art. 37 —la gravedad de la conducta, la falta de diligencia o cuidado, el perjuicio producido, entre otros—.

• Infracción leve: amonestación escrita o multa de hasta 5.000 UTM.
• Infracción grave: multa de hasta 10.000 UTM.
• Infracción gravísima: multa de hasta 20.000 UTM.
• Porcentaje sobre ingresos: solo para responsables que no sean empresas de menor tamaño de la Ley 20.416 y que reincidan, la multa puede alcanzar el 2 % (graves) o el 4 % (gravísimas) de los ingresos anuales por ventas del último año calendario, si resulta más gravoso que el tope en UTM.
• Empresas de menor tamaño: durante los primeros doce meses de vigencia, la Agencia podrá aplicarles una amonestación por escrito en lugar de multa (artículo sexto transitorio).

Factores que agravan o atenúan una sanción

El Art. 36 no deja esto al criterio del caso: enumera cinco circunstancias atenuantes y tres agravantes. Vale la pena leerlas antes de un incidente, porque tres de las cinco atenuantes dependen de cómo reaccione la empresa cuando el problema ya ocurrió.

• Atenúan (Art. 36): las acciones de reparación y los acuerdos con los titulares afectados; la colaboración en la investigación de la Agencia; la ausencia de sanciones previas; la autodenuncia, comunicando las medidas de cese o mitigación adoptadas; y haber cumplido diligentemente los deberes de dirección y supervisión, acreditado con el certificado del Art. 51.
• Agravan (Art. 36): la reincidencia —haber sido sancionado en dos o más ocasiones en los últimos treinta meses, con resoluciones firmes—; el carácter continuado de la infracción; y haber puesto en riesgo la seguridad de los derechos y libertades de los titulares.
• La autodenuncia es la atenuante que más suele pasarse por alto: adelantarse a la Agencia, en lugar de esperar la fiscalización, es una circunstancia que la ley reconoce expresamente.

Cómo reducir el riesgo de una multa

La forma más efectiva de reducir el riesgo de sanción es construir y documentar un programa de cumplimiento antes de que ocurra un incidente o una fiscalización, no después.

1. Mantener actualizado el Registro de Actividades de Tratamiento (RAT).
2. Contar con una política de tratamiento pública con los contenidos mínimos exigidos (Art. 14 ter).
3. Firmar contratos de encargo de tratamiento con todos los proveedores que procesen datos por cuenta de la empresa (Art. 15 bis).
4. Aplicar medidas de seguridad proporcionales al riesgo (Art. 14 quinquies) y tener un protocolo de respuesta ante vulneraciones (Art. 14 sexies).
5. Hacer una Evaluación de Impacto (EIPD) cuando el tratamiento sea de alto riesgo (Art. 15 ter).
6. Ejecutar la autoevaluación gratuita de KPC para identificar brechas y priorizar el plan de adecuación antes de la entrada en vigencia de la ley.

Preguntas frecuentes

• ¿Cuál es la multa máxima que puede aplicar la Agencia bajo la Ley 21.719?

  Según la estimación del motor de diagnóstico de KPC, las brechas de severidad crítica pueden implicar una exposición de hasta 20.000 UTM (aprox. $1.345.880.000 con el valor de julio de 2026). El monto final en un caso real lo determina la Agencia según la gravedad concreta de la infracción.

• ¿Quién puede aplicar una multa por incumplir la Ley 21.719?

  La Agencia de Protección de Datos Personales, que fiscaliza el cumplimiento, instruye procedimientos sancionatorios y aplica las multas. Sus resoluciones pueden reclamarse ante los tribunales de justicia.

• ¿Una empresa pequeña también puede ser multada?

  Sí. La ley no distingue por tamaño de empresa: aplica a toda organización que trate datos personales, y el riesgo de sanción depende de la gravedad del incumplimiento, no del tamaño de quien lo comete.

• ¿Qué se considera al fijar el monto de una multa?

  La severidad del incumplimiento (tipo de dato afectado, artículo infringido, probabilidad e impacto del daño) y factores como la reincidencia, la diligencia previa de la empresa y su colaboración con la Agencia ante un incidente.

• ¿Reportar una filtración de datos a tiempo reduce el riesgo de multa?

  El Art. 14 sexies obliga a reportar a la Agencia una vulneración de seguridad sin dilaciones indebidas. Hacerlo oportunamente, junto con evidencia de las medidas de seguridad aplicadas, es un factor que puede atenuar la responsabilidad frente a no reportar o hacerlo tardíamente.