Ley 21.719: quedan cinco meses para adecuarse (y qué arriesga tu empresa)
La nueva Ley de Protección de Datos Personales entra en vigencia el 1 de diciembre de 2026. Las multas llegan a 20.000 UTA o al 4% de las ventas anuales. Qué exige, a quién y qué hacer en los meses que quedan.
El plazo ya no es lejano
La Ley N° 21.719, publicada el 13 de diciembre de 2024, entra en plena vigencia el 1 de diciembre de 2026. Reemplaza el régimen de la Ley 19.628 —que llevaba más de dos décadas sin actualizarse— por uno con obligaciones concretas, una autoridad con dientes y sanciones que sí duelen.
El error más común que vemos: creer que esto es un tema de empresas grandes o tecnológicas. La ley aplica a cualquier organización que trate datos personales de personas naturales: clientes, trabajadores, proveedores, postulantes, contactos comerciales. Es decir, prácticamente todas.
Las cuatro obligaciones que hay que tener listas
Delegado de Protección de Datos
Designar un DPO en organizaciones que traten información personal de forma significativa.
Registro de actividades
Documentar qué datos se tratan, con qué finalidad, por cuánto tiempo y con quién se comparten.
Evaluaciones de impacto (DPIA)
Obligatorias en tratamientos de alto riesgo: datos sensibles, perfilamiento o monitoreo masivo.
Notificación de brechas
Avisar a la Agencia dentro de 72 horas desde que se toma conocimiento del incidente.
Por qué esta vez sí importa
La ley crea la Agencia de Protección de Datos Personales, una corporación autónoma de derecho público con facultades para investigar de oficio, aplicar multas, ordenar la suspensión del tratamiento y publicar un Registro Nacional de Sanciones. Ese último punto es relevante: el costo reputacional puede superar al de la multa.
Las infracciones gravísimas llegan a 20.000 UTA. En caso de reincidencia, la sanción puede alcanzar el 4% de los ingresos anuales por ventas y servicios en Chile, o el triple de la multa, lo que resulte mayor.
Un año de gracia que conviene no desperdiciar
Hay una válvula de escape para las empresas de menor tamaño: durante el primer año de vigencia (diciembre 2026 a diciembre 2027), las PyMEs quedan sujetas solo a amonestaciones y no a multas.
Es un margen para adecuarse sin sanción, no una prórroga. La obligación existe desde el día uno; lo que cambia es la consecuencia de incumplirla. Y llegar a diciembre de 2027 sin haber avanzado deja a la empresa expuesta de golpe.
Nuestra recomendación práctica: partir por el registro de actividades de tratamiento. Es el ejercicio que ordena todo lo demás —sin saber qué datos tienes y para qué, no puedes evaluar riesgos, ni redactar políticas, ni responder una fiscalización.
¿Tu empresa está en regla con la Ley 21.719?
Hacemos el diagnóstico inicial sin costo: qué datos tratas, qué te falta y en qué orden abordarlo.
De dónde salen estos datos
- Ley 21.719 — Biblioteca del Congreso Nacional
- Guía de implementación — Secretaría de Gobierno Digital
Este artículo es un análisis informativo sobre normativa vigente en Chile y no constituye asesoría legal para un caso particular. Para evaluar tu situación, conversemos.