Ley 21.719: qué cambia para las empresas y qué hacer primero
La Ley 21.719 reescribe la Ley 19.628, la ley chilena de datos personales, que pasa a llamarse «sobre protección de los datos personales». Crea la Agencia de Protección de Datos Personales, ordena en principios cómo se pueden tratar los datos, amplía los derechos de las personas y fija multas que pueden llegar a 20.000 UTM. Esta guía resume qué cambia y por dónde empezar.
Cuándo entra en vigencia
La ley se publicó en el Diario Oficial el 13 de diciembre de 2024. Su artículo primero transitorio dispone que las modificaciones a la Ley 19.628:
«entrarán en vigencia el día primero del mes vigésimo cuarto posterior a la publicación de esta ley en el Diario Oficial».Ley 21.719, artículo primero transitorio
Eso corresponde al 1 de diciembre de 2026. A la fecha de esta guía hay un proyecto de ley en trámite que propone postergar esa fecha; conviene seguir su avance, pero el trabajo de preparación es el mismo en cualquier caso.
A quién se aplica
A todo tratamiento de datos personales de personas naturales que haga una persona natural o jurídica, incluidos los órganos públicos. En la práctica: cualquier empresa que tenga datos de sus trabajadores, clientes, proveedores o postulantes.
Los ocho principios
El artículo 3 ordena todo el tratamiento de datos en torno a estos principios:
| Principio | Qué exige, en simple |
|---|---|
| Licitud y lealtad | Tratar datos solo con una base legal, y poder acreditarla. |
| Finalidad | Recolectar datos para fines específicos, explícitos y lícitos, y no usarlos para otros incompatibles. |
| Proporcionalidad | Usar solo los datos necesarios y conservarlos solo el tiempo necesario. |
| Calidad | Mantener los datos exactos, completos y actualizados. |
| Responsabilidad | Quien trata los datos es legalmente responsable de cumplir los principios y los deberes de la ley. |
| Seguridad | Proteger los datos con medidas adecuadas al riesgo. |
| Transparencia e información | Informar a las personas cómo se tratan sus datos. |
| Confidencialidad | Guardar secreto sobre los datos tratados. |
Cuándo se pueden tratar datos: las bases de licitud
La regla general (artículo 12) es el consentimiento del titular, que debe ser libre, informado y específico. El artículo 13 agrega otras fuentes de licitud que no requieren consentimiento, por ejemplo cuando el tratamiento es necesario para ejecutar un contrato con el titular, para cumplir una obligación legal o para satisfacer un interés legítimo del responsable. Cada actividad de tratamiento de la empresa debe tener la suya identificada.
Las obligaciones que más trabajo dan
1. Saber qué datos se tratan
No se puede cumplir lo que no se conoce. El primer paso es un inventario de las actividades de tratamiento: qué datos, de quién, para qué, con qué base, quién más los recibe, dónde se guardan y por cuánto tiempo. Es lo que en la práctica se conoce como registro de actividades de tratamiento.
2. Informar públicamente
El artículo 14 ter obliga a mantener «permanentemente a disposición del público», en el sitio web u otro medio equivalente, la política de tratamiento y un conjunto mínimo de información: quién es el responsable, qué datos trata y para qué, cómo ejercer los derechos, a quién se transfieren y por cuánto tiempo se conservan, entre otros.
3. Seguridad y vulneraciones
Hay que adoptar medidas de seguridad adecuadas al riesgo (artículo 14 quinquies) y reportar a la Agencia las vulneraciones que generen un riesgo razonable para los titulares, «por los medios más expeditos posibles y sin dilaciones indebidas» (artículo 14 sexies).
4. Evaluación de impacto
Cuando un tratamiento pueda producir un alto riesgo para los derechos de las personas, hay que evaluar su impacto antes de empezar (artículo 15 ter). La ley la exige siempre, entre otros casos, en tratamientos masivos o a gran escala y en la observación sistemática de zonas de acceso público.
5. Responder a los titulares
Las personas pueden pedir acceso, rectificación, supresión, oposición, portabilidad y bloqueo de sus datos. La empresa necesita un canal y un procedimiento para responder dentro de plazo.
6. Contratos con proveedores
Cuando un proveedor trata datos por encargo de la empresa, la relación se rige por un contrato con contenido mínimo, y el proveedor no puede subcontratar sin autorización específica y por escrito (artículo 15 bis).
Las multas
El artículo 35 fija tres niveles:
| Infracción | Sanción |
|---|---|
| Leve | Amonestación escrita o multa de hasta 5.000 UTM |
| Grave | Multa de hasta 10.000 UTM |
| Gravísima | Multa de hasta 20.000 UTM |
En caso de reincidencia, la multa puede triplicarse y, para empresas que no son de menor tamaño, alcanzar el 2% o el 4% de los ingresos anuales, según se trate de infracciones graves o gravísimas. Entre las atenuantes del artículo 36 está haber cumplido diligentemente los deberes de dirección y supervisión, acreditado con la certificación del modelo de prevención de infracciones.
Te mostramos en 30 minutos cómo se organiza el cumplimiento de una empresa en DPOCentral, desde el registro hasta la evaluación de impacto.
Agenda una demo por WhatsAppVer planesPor dónde empezar: cinco pasos
- Designar a alguien a cargo. La ley contempla la figura del delegado de protección de datos; en una pyme puede asumirla el dueño o su máxima autoridad. Ver la guía del delegado.
- Hacer el inventario de las actividades de tratamiento, con su finalidad y su base de licitud.
- Detectar las brechas: qué falta en cada actividad (base, plazo de conservación, contrato con el proveedor, medidas).
- Evaluar el impacto de las actividades de alto riesgo antes de iniciarlas o de seguir con ellas.
- Publicar la política de tratamiento y preparar el canal para los titulares.
DPOCentral está pensado para recorrer estos pasos: un arranque guiado arma el registro, la plataforma detecta las brechas de cada actividad y la evaluación de impacto termina en un informe en Word con una matriz de riesgo de 4×4.
Esta guía explica la Ley 19.628, con las modificaciones de la Ley 21.719, a partir de su texto oficial publicado por la Biblioteca del Congreso Nacional. Es material informativo y no reemplaza la asesoría de un abogado para un caso concreto.