Qué es la Ley 21.719
La Ley 21.719 regula la protección y el tratamiento de los datos personales y crea la Agencia de Protección de Datos Personales. No reemplaza a la Ley 19.628, vigente desde 1999: la modifica a fondo y acerca a Chile a estándares internacionales como el Reglamento General de Protección de Datos (RGPD) europeo.
Fue publicada en el Diario Oficial en diciembre de 2024 y sus disposiciones principales entran en vigencia el 1 de diciembre de 2026. Desde esa fecha, la Agencia podrá fiscalizar, resolver reclamos de las personas y aplicar multas.
A quién se aplica
A toda persona o empresa, pública o privada, que trate datos personales, sin importar su tamaño ni su rubro. Un dato personal es cualquier información que identifica o permite identificar a una persona natural: nombre, RUT, correo, teléfono, dirección, imágenes de cámaras, historial de compras o datos de trabajadores y postulantes.
Si tu empresa tiene clientes, trabajadores, un sitio web con formulario o una base de contactos, la ley le aplica. También puede alcanzar a empresas extranjeras que ofrecen bienes o servicios a personas en Chile.
Los principios que guían todo tratamiento
El artículo 3 fija los principios que la Agencia usará para evaluar a cada empresa:
- Licitud y lealtad: tratar datos solo con una base legal y sin engañar a las personas.
- Finalidad: usar los datos para fines específicos, explícitos y lícitos, informados al recolectarlos.
- Proporcionalidad: pedir solo los datos necesarios y conservarlos solo el tiempo necesario.
- Calidad: mantener los datos exactos y actualizados.
- Responsabilidad: no basta con cumplir; hay que poder demostrarlo (Art. 3 e).
- Seguridad y confidencialidad: proteger los datos y guardar secreto sobre ellos.
- Transparencia e información: que la información sobre el tratamiento esté siempre accesible, sea clara y gratuita.
Cuándo se pueden tratar datos: bases de licitud
Todo tratamiento necesita una base de licitud (Arts. 12 y 13): el consentimiento de la persona, o bien una obligación legal, la ejecución de un contrato, un interés legítimo del responsable o la defensa de derechos, entre otras.
El consentimiento debe ser libre, informado, específico, previo e inequívoco, y la persona puede revocarlo en cualquier momento. Corresponde a la empresa probar que lo obtuvo. Para datos sensibles, como los de salud, el consentimiento debe ser expreso (Art. 16).
Derechos de los titulares
Las personas pueden ejercer los derechos de acceso, rectificación, supresión, oposición, portabilidad y bloqueo temporal del tratamiento (Arts. 4 a 9), conocidos como derechos ARCO o, con la nueva ley, ARCOP o ARSOP. Para la empresa esto se traduce en un proceso con plazos:
| Exigencia | Qué dice la ley |
|---|---|
| Canal | Medios expeditos, ágiles y sencillos para presentar solicitudes (Art. 10). |
| Costo | Rectificación, supresión y oposición siempre gratuitas; el acceso, gratuito al menos una vez por trimestre (Art. 10). |
| Plazo de respuesta | 30 días corridos, prorrogables una vez por 30 días (Art. 11). |
| Bloqueo temporal | 2 días hábiles (Art. 11). |
| Respaldo | Responder por escrito y conservar el envío, la fecha y el contenido de la respuesta (Art. 11). |
| Rechazo | Fundar la decisión e informar el derecho a reclamar ante la Agencia (Art. 11). |
Obligaciones principales para las empresas
- Conocer tus tratamientos. Llevar un inventario o registro de actividades de tratamiento (RAT): qué datos tratas, de quién, para qué, con qué base legal, a quién los comunicas y cuánto tiempo los conservas. Es la base para acreditar la licitud y para redactar la política.
- Publicar una política de privacidad con fecha y versión, el responsable, los canales de contacto, las finalidades, las bases de licitud, las medidas de seguridad, los derechos y las transferencias internacionales (Art. 14 ter).
- Adoptar medidas de seguridad técnicas y organizativas apropiadas al riesgo, y verificar periódicamente su eficacia (Art. 14 quinquies).
- Reportar vulneraciones de seguridad (brechas de datos) a la Agencia por los medios más expeditos y sin dilaciones indebidas cuando exista riesgo razonable para las personas. Si afectan datos sensibles, de menores de 14 años o financieros, también hay que comunicarlo a cada afectado (Art. 14 sexies).
- Guardar secreto sobre los datos, deber que se mantiene después de terminada la relación laboral o contractual (Art. 14 bis).
- Firmar contratos con los encargados, es decir, los proveedores que tratan datos por cuenta de tu empresa: software, nube, remuneraciones, marketing (Art. 15 bis).
- Hacer una evaluación de impacto en protección de datos (EIPD) antes de tratamientos de alto riesgo, como perfiles con efectos jurídicos, tratamientos a gran escala o monitoreo de zonas públicas (Art. 15 ter).
- Transferir datos al extranjero solo con garantías: a países con nivel adecuado declarado por la Agencia o con cláusulas contractuales u otras garantías (Arts. 27 y 28).
La Agencia de Protección de Datos Personales
La ley crea un organismo especializado que fiscaliza el cumplimiento, dicta instrucciones, resuelve los reclamos de las personas y sanciona. Si una persona no recibe respuesta o no está conforme con ella, puede reclamar ante la Agencia. Ante una fiscalización, la empresa debe mostrar registros: políticas, respuestas a solicitudes con sus fechas, consentimientos, contratos e incidentes.
Infracciones y multas
La ley clasifica las infracciones en leves, graves y gravísimas (Art. 35):
| Tipo | Sanción |
|---|---|
| Leve | Amonestación escrita o multa de hasta 5.000 UTM |
| Grave | Multa de hasta 10.000 UTM |
| Gravísima | Multa de hasta 20.000 UTM |
Si la infracción no se corrige, las multas tienen recargos, y la reincidencia puede triplicar el monto. Las sanciones se registran en un registro público, lo que también afecta la reputación de la empresa.
Delegado de protección de datos y modelo de prevención
Designar un delegado de protección de datos es voluntario (Art. 50). Si se designa, debe contar con autonomía, idoneidad y medios suficientes, y actúa como punto de contacto con la Agencia y con las personas. En las mipymes puede asumir este rol el propio dueño.
El modelo de prevención de infracciones (Art. 49) también es voluntario: incluye al delegado, la identificación de datos y actividades de riesgo, protocolos escritos, canales de reporte y sanciones internas. Si está certificado, es una circunstancia atenuante ante una sanción (Art. 36 n° 5).
Cómo preparar a tu empresa antes del 1 de diciembre de 2026
- Haz el inventario de tratamientos (RAT): clientes, trabajadores, postulantes, proveedores, sitio web y cámaras.
- Define la base de licitud de cada tratamiento y revisa dónde necesitas consentimiento.
- Publica tu política de privacidad a partir de ese inventario.
- Habilita un canal para las solicitudes de los titulares, con plazos controlados y respuestas por escrito.
- Registra y conserva los consentimientos, con la versión del texto aceptado y la opción de revocar.
- Revisa los contratos con tus proveedores que tratan datos por tu empresa.
- Prepara un procedimiento de incidentes para detectar, registrar y reportar vulneraciones.
- Capacita a tu equipo y deja constancia de la asistencia.
- Reúne la evidencia en un solo lugar para responder ante una fiscalización.
Un software de cumplimiento permite llevar estas tareas con plazos, responsables y respaldo, en vez de repartirlas en planillas y correos.