Ley 21.719: qué deben hacer las empresas en Chile

La Ley 21.719 reemplaza casi por completo la Ley 19.628 y entra en vigencia el 1 de diciembre de 2026 (hay un proyecto en trámite para postergarla a 2027, aún no aprobado). Las empresas que tratan datos personales en Chile, o que ofrecen bienes o servicios a personas en Chile, deben tener una base de licitud para cada tratamiento, publicar una política de tratamiento en su sitio web, responder las solicitudes de los titulares en 30 días corridos, adoptar medidas de seguridad y reportar las vulneraciones a la nueva Agencia de Protección de Datos Personales. Las multas llegan a 20.000 UTM.

Desde cuándo rige

**Publicación:** la Ley 21.719 se publicó en el Diario Oficial el 13 de diciembre de 2024.
**Vigencia:** su artículo primero transitorio fija la entrada en vigencia el día primero del mes 24 posterior a la publicación: el **1 de diciembre de 2026**.
**Proyecto de postergación:** en septiembre de 2026 el Gobierno ingresó el Boletín 18.623-07, que movería la fecha al 1 de diciembre de 2027. A la fecha de esta guía (24-10-2026) sigue en trámite en el Senado; mientras no se publique como ley, la fecha vigente es el 1 de diciembre de 2026.
**Reglamentos:** varios detalles (estándares por tamaño de empresa, autenticación de identidad, países adecuados, certificación del modelo de prevención) dependen de reglamentos y de instrucciones de la Agencia.

A quién se aplica

Según el art. 1 bis, a quien trata datos personales y está establecido en Chile, a quien trata datos por encargo de una empresa chilena y a empresas extranjeras que ofrecen bienes o servicios a personas en Chile o monitorean su comportamiento. No hay excepción por tamaño: las micro, pequeñas y medianas empresas también están obligadas, aunque los estándares de información y seguridad se diferencian según el tamaño y el volumen de datos (art. 14 septies). Los órganos públicos tienen reglas propias (arts. 20 a 25).

Qué exige la ley, en una tabla

Obligación	Qué significa en la práctica	Artículo
Principios	Licitud, finalidad, proporcionalidad, calidad, responsabilidad, seguridad, transparencia y confidencialidad	Art. 3
Base de licitud	Consentimiento o una de las otras bases (contrato, obligación legal, interés legítimo, entre otras) para cada tratamiento	Arts. 12 y 13
Derechos de los titulares	Acceso, rectificación, supresión, oposición, portabilidad y bloqueo; revisión de decisiones automatizadas	Arts. 4 a 9
Plazo de respuesta	30 días corridos, prorrogable una vez por 30; bloqueo temporal en 2 días hábiles	Art. 11
Política publicada	Política de tratamiento en el sitio web con contenido mínimo (finalidades, bases, destinatarios, conservación, derechos)	Art. 14 ter
Privacidad desde el diseño	Considerar la protección de datos al crear productos y procesos	Art. 14 quáter
Seguridad	Medidas técnicas y organizativas apropiadas al riesgo	Art. 14 quinquies
Reporte de vulneraciones	A la Agencia, por los medios más expeditos y sin dilaciones indebidas; a los titulares si hay datos sensibles, de niños o financieros	Art. 14 sexies
Encargados	Contrato con quien trata datos por usted, con instrucciones y prohibición de otros usos	Art. 15 bis
Evaluación de impacto	Antes de tratamientos de alto riesgo (perfiles, gran escala, monitoreo, datos sensibles)	Art. 15 ter
Transferencias internacionales	País adecuado, cláusulas contractuales, certificación o excepciones	Arts. 27 y 28
Modelo de prevención y delegado	Voluntarios; certificables y atenuantes ante una infracción	Arts. 49 a 51

Multas y la nueva Agencia

La ley crea la Agencia de Protección de Datos Personales, que fiscaliza, resuelve reclamos y sanciona. Las infracciones se clasifican en leves, graves y gravísimas (arts. 34 bis a 34 quáter) y las multas llegan a 5.000, 10.000 y 20.000 UTM respectivamente (art. 35). Si una empresa que no es de menor tamaño reincide en infracciones graves o gravísimas, la multa puede llegar al 2 % o 4 % de sus ingresos anuales. Las sanciones quedan en un Registro Nacional de Sanciones y Cumplimiento (art. 39).

10 pasos para preparar su empresa

**1. Inventario:** liste qué datos personales trata, de quién, para qué, dónde están y con quién los comparte (un registro de actividades de tratamiento).
**2. Base de licitud:** asigne a cada tratamiento su base (art. 12 o 13) y deje evidencia; revise los consentimientos que ya tiene.
**3. Política publicada:** redacte y publique la política de tratamiento con la información del art. 14 ter.
**4. Canal de solicitudes:** habilite un correo o formulario, un registro de solicitudes y respuestas tipo con los plazos del art. 11.
**5. Contratos con proveedores:** revise los contratos con quienes tratan datos por usted (nube, nómina, marketing) y agregue las cláusulas de encargo.
**6. Seguridad:** evalúe riesgos y aplique controles proporcionados; un sistema de gestión de seguridad de la información (ISO 27001) ordena este trabajo.
**7. Vulneraciones:** defina cómo detecta, evalúa y reporta un incidente a la Agencia y, cuando corresponde, a los titulares.
**8. Evaluaciones de impacto:** identifique los tratamientos de alto riesgo y evalúelos antes de iniciarlos.
**9. Transferencias:** identifique los datos que salen de Chile (por ejemplo, servicios en la nube) y el mecanismo que las respalda.
**10. Personas y gobierno:** capacite al personal (deber de confidencialidad, art. 14 bis), designe un responsable o delegado y decida si adoptará el modelo de prevención de infracciones.

Diferencias principales con el RGPD europeo

Tema	Ley 21.719 (Chile)	RGPD (UE)
Respuesta a solicitudes	30 días corridos, prorrogable por 30	Un mes, prorrogable por dos
Reporte de brechas a la autoridad	Sin dilaciones indebidas, sin plazo fijo en horas	72 horas
Delegado de protección de datos	Voluntario	Obligatorio en ciertos casos
Modelo de prevención certificable	Sí, como atenuante	No existe como tal
Derecho de bloqueo	Sí, con respuesta en 2 días hábiles	Limitación del tratamiento
Multa máxima	20.000 UTM (o 4 % de ingresos en reincidencia)	20 millones de euros o 4 % de la facturación mundial

Si su empresa ya tiene un programa RGPD o un sistema de gestión de la privacidad (ISO/IEC 27701), puede reutilizar la mayor parte y ajustar plazos, la política publicada y el reporte de vulneraciones.

Fuentes

Texto oficial de la Ley 21.719 en la Biblioteca del Congreso Nacional (bcn.cl/leychile). Los resúmenes de esta guía son de NexoDocs, citan los artículos por número y no reemplazan la lectura del texto oficial ni la asesoría de un abogado.

Descargar la muestra gratis Ver el curso de concientización en seguridad de la información para su personal

Preguntas frecuentes

¿Desde cuándo rige la Ley 21.719?

Desde el 1 de diciembre de 2026, según su artículo primero transitorio. Un proyecto de ley (Boletín 18.623-07) propone postergarla al 1 de diciembre de 2027, pero a octubre de 2026 sigue en trámite.

¿La Ley 21.719 aplica a las pymes?

Sí. No hay excepción por tamaño, aunque los estándares de información y seguridad se diferencian según el tamaño de la empresa y el volumen de datos, y en las mipymes el dueño puede asumir el rol de delegado.

¿Es obligatorio tener un delegado de protección de datos?

No en general. Es voluntario, salvo que la empresa adopte el modelo de prevención de infracciones, que exige designarlo.

¿Cuánto tiempo hay para responder una solicitud de un titular?

30 días corridos desde que se recibe, prorrogables una sola vez por otros 30. Una solicitud de bloqueo temporal se responde en 2 días hábiles.

¿Cuáles son las multas?

Hasta 5.000 UTM por infracciones leves, 10.000 por graves y 20.000 por gravísimas. En reincidencia de empresas que no son de menor tamaño, hasta el 2 % o 4 % de los ingresos anuales.

¿Esta guía es asesoría legal?

No. Es una orientación general redactada por NexoDocs. Para su caso concreto, consulte el texto oficial y a un abogado.

Guías relacionadas

Actualizado: 2026-10-20