¿Qué es la Ley 21.719 y a quién afecta?

La Ley 21.719 marca un hito en la historia de la protección de datos personales en Chile. Publicada en diciembre de 2024, modifica sustancialmente la Ley 19.628 y crea la Agencia de Protección de Datos Personales.

Si tienes una empresa o eres responsable de cumplimiento, este artículo te explica todo lo que necesitas saber.

¿Por qué se necesitaba una nueva ley?

La Ley 19.628 fue promulgada en 1999, cuando internet era incipiente y el volumen de datos personales que las empresas recopilaban era una fracción de lo actual. Con la transformación digital, esa ley quedó obsoleta:

Las sanciones eran mínimas y difíciles de aplicar.
No existía una autoridad fiscalizadora independiente.
Los derechos de los titulares eran limitados.

La Ley 21.719 responde a esta realidad con un marco integral que protege efectivamente a las personas y establece responsabilidades claras para quienes tratan sus datos.

¿A quiénes afecta?

La ley aplica a toda persona natural o jurídica —pública o privada— que realice tratamiento de datos personales de personas ubicadas en Chile, independientemente de:

El tamaño de la organización (pyme, startup o gran empresa).
El sector económico.
El lugar donde se realice el tratamiento (puede ser en Chile o en el extranjero).

Esto significa que si tienes clientes chilenos cuyos datos tratas —aunque sea a través de un CRM en la nube— la ley te aplica.

Principales obligaciones

1. Registro de tratamientos (Inventario de datos)

Centralizar y mantener actualizada la información sobre las actividades de tratamiento es esencial para documentar la gestión de privacidad y apoyar el cumplimiento. En los programas de cumplimiento, el RAT permite realizar la caracterización de tratamientos prevista en el reglamento de modelos de prevención. Este inventario debe incluir:

Finalidad del tratamiento.
Categorías de datos y de titulares.
Base jurídica del tratamiento.
Destinatarios y transferencias internacionales.
Plazos de conservación.

2. Base jurídica válida

No puedes tratar datos personales sin una razón legal que lo justifique. La Ley 21.719 reconoce las siguientes bases jurídicas:

Consentimiento del titular (previo, expreso e informado).
Ejecución de un contrato con el titular.
Obligación legal que lo exige.
Interés vital del titular u otra persona.
Interés legítimo del responsable (con condiciones específicas).
Interés público para entidades del Estado.

3. Derechos de los titulares (ARCO+)

Los titulares de datos tienen derecho a:

Acceso: saber qué datos tienes sobre ellos.
Rectificación: corregir datos inexactos.
Cancelación / Supresión: eliminar sus datos cuando ya no sean necesarios.
Oposición: oponerse a ciertos tratamientos.
Portabilidad: recibir sus datos en formato estructurado.
No decisión automatizada: no ser objeto de decisiones basadas únicamente en algoritmos.

El responsable debe pronunciarse a más tardar dentro de los 30 días corridos siguientes al ingreso de la solicitud. Este plazo puede prorrogarse por una sola vez, hasta por otros 30 días corridos.

4. Evaluaciones de Impacto (EIPD)

Cuando un tratamiento pueda ocasionar alto riesgo para los derechos de los titulares —perfilamiento a gran escala, vigilancia sistemática, datos sensibles— debes realizar una Evaluación de Impacto en Protección de Datos antes de iniciar el tratamiento.

5. Medidas de seguridad

La ley exige implementar medidas técnicas y organizativas apropiadas para proteger los datos contra acceso no autorizado, pérdida o destrucción. Debes documentar estas medidas.

La Agencia de Protección de Datos Personales

Una de las novedades más relevantes de la Ley 21.719 es la creación de la Agencia de Protección de Datos Personales, un organismo autónomo con facultades para:

Fiscalizar el cumplimiento de la ley.
Recibir y tramitar denuncias de los titulares.
Iniciar procedimientos sancionatorios de oficio.
Imponer multas y otras sanciones.

Sanciones

Las infracciones se clasifican en tres niveles:

Tipo de infracción	Sanción prevista
Leve	Amonestación escrita o multa de hasta 5.000 UTM.
Grave	Multa de hasta 10.000 UTM.
Gravísima	Multa de hasta 20.000 UTM.

La sanción se determina según la infracción y las circunstancias del caso. Los montos indicados son topes legales del régimen general y no multas automáticas. Existen reglas especiales para la reincidencia y para el tratamiento de datos por órganos públicos.

Existe reincidencia cuando el responsable ha sido sancionado en dos o más ocasiones durante los últimos 30 meses, mediante resoluciones firmes o ejecutoriadas. En ese caso, la Agencia puede aplicar una multa de hasta tres veces el monto asignado a la infracción cometida. Si una empresa que no es de menor tamaño reincide en infracciones graves o gravísimas, la ley permite aplicar la alternativa más gravosa entre esa regla y hasta el 2% o el 4% de sus ingresos anuales por ventas, servicios y otras actividades del giro del último año calendario, respectivamente.

¿Cuándo debo estar en cumplimiento?

La Ley 21.719 establece un período de vacancia legal de 24 meses desde su publicación (diciembre de 2024) para que las organizaciones adecúen sus tratamientos.

Esto significa que si bien la Agencia no puede sancionar hoy, las organizaciones tienen un plazo definido y limitado para implementar los cambios necesarios. Esperar al último momento es arriesgado: la implementación de cumplimiento lleva tiempo y requiere planificación.

Por dónde empezar

El primer paso recomendado es el inventario de datos: mapear todos los tratamientos de datos personales que realiza tu organización. Sin ese mapa, es imposible saber dónde están los riesgos ni qué medidas son necesarias.

A partir del inventario, puedes priorizar:

Regularizar las bases jurídicas de cada tratamiento.
Implementar el mecanismo de atención de solicitudes ARCO.
Identificar tratamientos de alto riesgo que requieren EIPD.
Revisar los contratos con proveedores que tratan datos por tu cuenta.
Implementar medidas de seguridad adecuadas.

LeyDeDatos está diseñado para acompañarte en cada uno de estos pasos con una plataforma que guía el proceso, documenta automáticamente y mantiene el cumplimiento actualizado.

¿Quieres ver cómo funciona la plataforma? Solicita una demo de 30 minutos con nuestro equipo.