Ley 21.719: checklist para preparar tu empresa en 2026

Actualizado el 9 de octubre de 2026. Este artículo es informativo y no reemplaza la asesoría legal.

La Ley N° 21.719, publicada el 13 de diciembre de 2024, moderniza la protección de datos personales en Chile: modifica la Ley 19.628, crea la Agencia de Protección de Datos Personales y fija multas que pueden llegar a 20.000 UTM. Su entrada en vigencia está fijada para el 1 de diciembre de 2026. En esta guía revisamos a quién aplica, qué arriesga tu empresa y un checklist de 12 puntos para prepararte.

¿Cuándo entra en vigencia la Ley 21.719? ¿Se va a postergar?

Según su artículo primero transitorio, la ley entra en vigencia el primer día del mes 24 después de su publicación, es decir, el 1 de diciembre de 2026. El 1 de septiembre de 2026 el Gobierno ingresó al Senado un proyecto (boletín 18.623-07) para postergar esa fecha hasta el 1 de diciembre de 2027, según detalla el estudio Carey. A la fecha de este artículo sigue en primer trámite: mientras no se apruebe y publique una ley que la cambie, la fecha vigente es el 1 de diciembre de 2026. Nuestra recomendación es no esperar. Prepararse toma meses y, si hay postergación, solo dará más tiempo para hacerlo bien.

¿A qué empresas aplica?

A todas. La Ley 19.628 modificada se aplica a todo tratamiento de datos personales que realice una persona natural o jurídica, incluidos los órganos públicos. Si tu empresa tiene una base de clientes, trabajadores, proveedores o contactos comerciales, trata datos personales.

¿Qué arriesga tu empresa si no cumple?

• Infracciones leves: amonestación escrita o multa de hasta 5.000 UTM.
• Infracciones graves: multa de hasta 10.000 UTM.
• Infracciones gravísimas: multa de hasta 20.000 UTM.

Si las medidas correctivas no se adoptan en 60 días, la multa tiene un recargo de 50%, y en caso de reincidencia puede llegar al triple. Para las empresas que no son de menor tamaño y reinciden en infracciones graves o gravísimas, la multa puede alcanzar el 2% o el 4% de sus ingresos anuales (art. 35). Durante los primeros 12 meses de vigencia, a las empresas de menor tamaño la Agencia podrá aplicarles una amonestación escrita en lugar de una multa.

Checklist: 12 pasos para preparar tu empresa

1. Inventario de datos: qué datos personales tienes, de quién, para qué, dónde están y quién accede.
2. Base de licitud: identifica para cada tratamiento si se basa en el consentimiento, un contrato, una obligación legal o un interés legítimo (arts. 12 y 13).
3. Política de tratamiento publicada en tu sitio web, con el contenido mínimo que exige la ley (art. 14 ter).
4. Canal para ejercer derechos de acceso, rectificación, supresión, oposición, portabilidad y bloqueo, con un procedimiento para responder dentro de 30 días corridos (art. 11).
5. Datos sensibles, como los de salud o biométricos: solo con consentimiento expreso o una excepción legal (art. 16).
6. Medidas de seguridad proporcionales al riesgo, que aseguren la confidencialidad, integridad, disponibilidad y resiliencia de los sistemas (art. 14 quinquies).
7. Protocolo de reporte de vulneraciones a la Agencia, «sin dilaciones indebidas», con registro interno y aviso a los titulares cuando corresponda (art. 14 sexies).
8. Protección desde el diseño y por defecto en los sistemas nuevos (art. 14 quáter).
9. Evaluación de impacto antes de tratamientos de alto riesgo, como perfiles automatizados o tratamiento masivo de datos (art. 15 ter).
10. Contratos con tus encargados (proveedores de nube, remuneraciones o marketing), con instrucciones claras sobre el tratamiento (art. 15 bis).
11. Transferencias internacionales: revisa adónde van los datos que guardan tus servicios en la nube y con qué garantías (art. 27).
12. Modelo de prevención de infracciones, voluntario, con un delegado de protección de datos (arts. 49 y 50).

¿Necesito un delegado de protección de datos?

No es obligatorio. La ley permite adoptar voluntariamente un modelo de prevención de infracciones, que la Agencia puede certificar por tres años y que incluye designar un delegado de protección de datos. En las micro, pequeñas y medianas empresas, el dueño o sus máximas autoridades pueden asumir personalmente esa función (art. 50).

¿Qué relación tiene con la ciberseguridad?

Mucha. La ley exige medidas de seguridad técnicas y organizativas, y obliga a reportar a la Agencia las vulneraciones de seguridad «por los medios más expeditos posibles y sin dilaciones indebidas». Ojo: la ley no fija un plazo de 72 horas, como se repite en algunos sitios. Si tu empresa además está obligada por la Ley Marco de Ciberseguridad, un mismo incidente puede requerir reportes tanto al CSIRT Nacional como a la Agencia de Protección de Datos Personales. Para empezar por lo básico, revisa nuestros 10 consejos de ciberseguridad para pymes.