Ley N° 21.719: qué cambia para las empresas chilenas
La Ley N° 21.719 moderniza la protección de datos personales en Chile, reemplazando el marco vigente desde 1999 (Ley 19.628) y creando la Agencia de Protección de Datos Personales, un organismo fiscalizador con potestad para investigar y sancionar. Entra en vigencia general el 1 de diciembre de 2026.
A diferencia de la normativa anterior, que rara vez se fiscalizaba en la práctica, esta ley introduce multas de hasta 20.000 UTM o el 4% de las ventas anuales de la empresa infractora — cifras diseñadas explícitamente para que el cumplimiento deje de ser opcional.
¿A qué empresas aplica?
Aplica a cualquier organización que trate datos personales de clientes, trabajadores o proveedores: desde una PYME con una base de clientes en Excel hasta un e-commerce, clínica o ERP. No hay una excepción general para empresas pequeñas, aunque el nivel de exigencia y las multas efectivas varían según el volumen de datos tratados y su sensibilidad.
Las cuatro obligaciones centrales
- Registro de Actividades de Tratamiento (RAT): un inventario formal de qué datos personales maneja la empresa, con qué finalidad y bajo qué base legal.
- Consentimiento y bases de legitimidad: cuando el tratamiento no se ampara en la ejecución de un contrato o una obligación legal, se requiere consentimiento expreso y trazable del titular.
- Derechos ARCOP: las empresas deben habilitar un canal para que las personas ejerzan sus derechos de Acceso, Rectificación, Cancelación, Oposición y Portabilidad, respondiendo dentro de plazos definidos.
- Protocolo ante brechas de seguridad: un procedimiento documentado para detectar, contener y reportar incidentes que comprometan datos personales.
Usa el simulador a continuación para estimar tu exposición financiera según el tamaño de tu empresa y el tipo de datos que tratas.
Exposición Financiera Estimada
Cálculo basado en los topes legales del Art. 36° de la Ley N° 21.719
- Implementar Registro de Actividades de Tratamiento (RAT): Identificar bases de datos de clientes, proveedores y trabajadores.
- Habilitar Portal de Derechos ARCOP: Atender solicitudes de acceso y borrado en menos de 10 días hábiles.
- Auditar Políticas y Proveedores: Formalizar contratos de encargo de tratamiento con pasarelas, ERP y hosting.
Preguntas Frecuentes sobre la Ley 21.719
¿Qué pasa si mi empresa no cumple antes del 1 de diciembre de 2026?
La Agencia de Protección de Datos Personales queda habilitada para fiscalizar e iniciar procedimientos sancionatorios desde la entrada en vigencia. Las multas dependen de la gravedad de la infracción, pero pueden alcanzar hasta 20.000 UTM o el 4% de las ventas anuales de la empresa infractora.
¿Una PYME pequeña también está obligada a tener un RAT?
Sí. La ley no exime a las empresas pequeñas de las obligaciones centrales, aunque el nivel de complejidad del Registro de Actividades de Tratamiento puede ser proporcional al volumen y sensibilidad de los datos que maneja cada empresa.
¿Qué se considera un dato sensible bajo esta ley?
Datos de salud, biométricos, de menores de edad, información financiera detallada y datos que revelen origen étnico, opiniones políticas o afiliación sindical. Estos datos requieren medidas de resguardo más estrictas que los datos generales.
¿En cuánto tiempo debo responder una solicitud de derechos ARCOP?
La ley exige responder dentro de un plazo acotado en días hábiles desde que se recibe la solicitud del titular. No contar con un canal habilitado para recibir y tramitar estas solicitudes es en sí mismo un incumplimiento.