La Ley 21.719 es la nueva ley chilena de protección de datos personales. Modifica a fondo la Ley 19.628 de 1999, crea la Agencia de Protección de Datos Personales con facultades para fiscalizar y multar, y exige a empresas e instituciones tener una base legal para tratar datos, informar cómo los usan, protegerlos y responder a los derechos de las personas. Se publicó el 13 de diciembre de 2024 y su entrada en vigencia está fijada para el 1 de diciembre de 2026.
Atención a la fecha. En septiembre de 2026 el Gobierno ingresó al Senado un proyecto (boletín 18.623-07) para postergar la entrada en vigencia al 1 de diciembre de 2027. Al 24 de octubre de 2026 sigue en primer trámite, pero desde el 21 de octubre tiene urgencia de discusión inmediata, así que podría aprobarse pronto. Mientras no se publique, la fecha vigente es el 1 de diciembre de 2026. Revisa el estado del proyecto antes de planificar.
Qué cambia respecto a la Ley 19.628
| Tema | Ley 19.628 (1999) | Con la Ley 21.719 |
|---|---|---|
| Fiscalización | Sin autoridad especializada; reclamos solo ante tribunales | Agencia de Protección de Datos Personales, con potestad sancionatoria |
| Multas | Bajas y poco aplicadas | Hasta 20.000 UTM, o un porcentaje de los ingresos en caso de reincidencia |
| Bases para tratar datos | Centradas en el consentimiento, con excepciones amplias | Consentimiento, contrato, obligación legal, interés legítimo y otras bases definidas |
| Derechos de las personas | Acceso, rectificación, cancelación y bloqueo, más una oposición limitada a publicidad y estudios de mercado | Se amplía la oposición y se agregan portabilidad y el derecho a no quedar sujeto a decisiones automatizadas |
| Seguridad | Obligación general de cuidado | Deber de adoptar medidas de seguridad y de reportar las vulneraciones |
| Transferencias al extranjero | Casi sin regulación (solo una mención a tratados internacionales) | Permitidas hacia países con protección adecuada o con garantías |
A quién se aplica
A cualquier persona natural o jurídica, pública o privada, que trate datos personales: empresas de todos los tamaños, organismos del Estado, fundaciones y profesionales independientes. También alcanza a quienes tratan datos desde el extranjero de personas en Chile cuando les ofrecen bienes o servicios o monitorean su comportamiento.
Un dato personal es cualquier información sobre una persona identificada o identificable: nombre, RUT, correo, teléfono, dirección IP, ubicación, historial de compras. Los datos sensibles (salud, biometría, origen étnico, orientación sexual, convicciones religiosas o políticas, datos de niños, niñas y adolescentes, entre otros) tienen reglas más estrictas.
Las obligaciones principales
- Tener una base de licitud para cada tratamiento. El consentimiento es una, pero no la única: ejecutar un contrato, cumplir una obligación legal o el interés legítimo del responsable también sirven, con condiciones.
- Informar a las personas qué datos se recogen, para qué, por cuánto tiempo y con quién se comparten. En la práctica, una política de privacidad clara y actualizada.
- Respetar los principios de finalidad (usar los datos solo para lo que se informó), proporcionalidad (recoger solo lo necesario) y calidad (mantenerlos exactos).
- Responder a los derechos de acceso, rectificación, supresión, oposición, portabilidad y bloqueo dentro de los plazos legales.
- Proteger los datos con medidas de seguridad acordes al riesgo, y reportar a la Agencia las vulneraciones de seguridad, y a las personas afectadas cuando corresponda.
- Controlar a los proveedores que tratan datos por encargo (hosting, CRM, plataformas de correo) mediante contratos que fijen sus obligaciones.
Multas
Las infracciones se clasifican en tres niveles:
| Infracción | Multa máxima |
|---|---|
| Leve | 5.000 UTM |
| Grave | 10.000 UTM |
| Gravísima | 20.000 UTM |
La UTM cambia cada mes; para ver cuánto es cada monto en pesos hoy puedes usar un conversor de UTM a pesos. Una multa gravísima, por ejemplo, supera los mil millones de pesos.
En caso de reincidencia, las empresas que no son de menor tamaño pueden recibir multas de hasta el 2 % (graves) o el 4 % (gravísimas) de sus ingresos anuales. Las sanciones quedan inscritas en un registro público. Durante el primer año de vigencia, la Agencia puede sancionar a las empresas de menor tamaño con una amonestación escrita en vez de multa.
La ley contempla además un modelo de prevención de infracciones, voluntario, que incluye designar un delegado de protección de datos. Tenerlo implementado puede atenuar las sanciones.
Qué significa para quien desarrolla software
La ley no regula tecnologías específicas, pero muchas obligaciones se resuelven en el código:
- Privacidad desde el diseño y por defecto. Pide solo los campos que necesitas. Un formulario de contacto no necesita el RUT.
- Derechos como funcionalidades. Exportar los datos de un usuario en un formato estructurado (portabilidad), corregirlos y borrarlos de verdad, incluidas copias en tablas de auditoría, cachés e integraciones.
- Retención. Define cuánto tiempo guardas cada dato y bórralo después. Los registros “por si acaso” son un riesgo.
- Registro de consentimientos. Si el consentimiento es tu base legal, guarda cuándo y para qué se dio, y permite retirarlo con la misma facilidad.
- Seguridad básica. Cifrado en tránsito y en reposo, control de accesos, contraseñas con hash, registros de quién consultó qué. Y un procedimiento para detectar y reportar incidentes.
- Decisiones automatizadas. Si tu sistema decide algo relevante sobre una persona sin intervención humana (aprobar un crédito, descartar un postulante), la persona tiene derecho a oponerse y a pedir revisión.
- Proveedores en la nube. Usar servicios alojados fuera de Chile es una transferencia internacional. Revisa dónde están los servidores de tus proveedores y qué garantías ofrecen.
El software libre ayuda en un punto concreto: permite auditar qué hace un programa con los datos y alojarlo en infraestructura propia, sin transferir información a terceros. Hay ejemplos en usos del software libre en empresas, y para inteligencia artificial, en IA local con Ollama.
Por dónde empezar
- Inventario: qué datos personales tienes, dónde están, para qué los usas y quién accede.
- Base legal: asigna una a cada uso y elimina lo que no la tenga.
- Política de privacidad: actualízala con lo anterior.
- Procedimiento de derechos: un canal y un responsable para responder solicitudes.
- Seguridad e incidentes: medidas proporcionales y un plan para reportar vulneraciones.
- Contratos con proveedores: revisa los que tratan datos por cuenta tuya.
Si tu organización presta servicios esenciales, revisa también la Ley Marco de Ciberseguridad, que tiene obligaciones de reporte propias.
Este artículo es informativo y no reemplaza asesoría legal.
Preguntas frecuentes
¿Cuándo entra en vigencia la Ley 21.719? Está fijada para el 1 de diciembre de 2026. En septiembre de 2026 el Gobierno ingresó un proyecto para postergarla al 1 de diciembre de 2027, por lo que conviene revisar su estado.
¿Qué es un dato personal según la ley chilena? Cualquier información sobre una persona identificada o identificable, como su nombre, RUT, correo, teléfono, dirección IP, ubicación o historial de compras.
¿Cuál es la multa máxima de la Ley 21.719? 20.000 UTM por una infracción gravísima. En caso de reincidencia, las empresas que no son de menor tamaño pueden recibir multas de hasta el 4 % de sus ingresos anuales.
¿La Ley 21.719 se aplica a las pymes? Sí. Se aplica a cualquier persona natural o jurídica que trate datos personales, sin importar su tamaño, aunque durante el primer año de vigencia la Agencia puede sancionar a las empresas de menor tamaño con una amonestación escrita en vez de multa.
¿Es obligatorio tener un delegado de protección de datos? No como regla general. Designarlo es parte del modelo de prevención de infracciones, que es voluntario y puede atenuar las sanciones.
Fuentes
- Ley 21.719, Biblioteca del Congreso Nacional.
- Ley 19.628 sobre protección de la vida privada, Biblioteca del Congreso Nacional.
- Tramitación de proyectos de ley, Senado de Chile (buscar boletín 18.623-07).