§ 01 — Resumen
La ley en 60 segundos
La Ley 21.719 reemplaza un régimen de 1999 que tenía sanciones bajas y casi nula fiscalización. Define reglas claras para tratar datos personales, amplía los derechos de las personas, crea una Agencia con facultades para fiscalizar y fija multas que ya no son simbólicas.
- Publicación en el Diario Oficial
- 13 dic 2024Moderniza la Ley 19.628 de 1999 sobre protección de la vida privada.
- Entrada en vigencia
- 1 dic 2026Tras un período de adecuación de 24 meses que termina este año.
- Nuevo organismo fiscalizador
- AgenciaLa Agencia de Protección de Datos Personales podrá fiscalizar, resolver reclamos y sancionar.
- Multa máxima por infracción gravísima
- 20.000 UTMMás de mil millones de pesos, y más en caso de reincidencia.
§ 02 — Obligaciones
Qué obliga la ley
Aplica a toda organización, pública o privada, que trate datos de personas naturales. Estas son las obligaciones que más impacto tienen en la operación diaria.
- 01
Principios
Licitud y lealtad, finalidad, proporcionalidad, calidad, responsabilidad, seguridad, transparencia y confidencialidad. El de responsabilidad es clave: no basta con cumplir, hay que poder demostrarlo.
- 02
Una base de licitud para cada tratamiento
Consentimiento libre, informado, específico e inequívoco, o alguna otra base legal: obligación legal, ejecución de un contrato, interés legítimo, entre otras. Sin base, el tratamiento es ilícito.
- 03
Derechos de los titulares
Acceso, rectificación, supresión, oposición, portabilidad y bloqueo, además del derecho a no ser objeto de decisiones basadas únicamente en tratamientos automatizados, con excepciones.
- 04
Deber de seguridad
Medidas técnicas y organizativas apropiadas al riesgo: control de accesos, cifrado, respaldos, trazabilidad. La ley no da una lista cerrada; exige que sean adecuadas y demostrables.
- 05
Reporte de vulneraciones
Las vulneraciones de seguridad que generen riesgo para los titulares deben reportarse a la Agencia y, en ciertos casos, comunicarse a las personas afectadas.
- 06
Datos sensibles y de menores
Salud, datos biométricos, situación socioeconómica y datos de niños, niñas y adolescentes tienen reglas reforzadas y exigen un estándar mayor de protección.
- 07
Proveedores y transferencias
Quien trata datos por encargo tuyo debe hacerlo bajo contrato y con garantías. Enviar datos fuera de Chile requiere un nivel adecuado de protección o garantías suficientes.
- 08
Evaluación de impacto
Obligatoria antes de tratamientos de alto riesgo, como el tratamiento masivo de datos sensibles o la observación sistemática de personas.
- 09
Modelo de prevención de infracciones
Voluntario y certificable. Incluye un delegado de protección de datos y controles internos. Funciona como atenuante ante una sanción.
§ 03 — Plazos
Qué cambia el 1 de diciembre de 2026
Hasta esa fecha corre el período de adecuación. Desde ese día, la Agencia de Protección de Datos Personales puede actuar: recibir reclamos de las personas, fiscalizar de oficio y sancionar. Y la carga de demostrar el cumplimiento recae en la organización, no en quien reclama.
13 dic 2024
Publicación
La ley se publica en el Diario Oficial y comienza el período de adecuación.
Hoy
Estás aquí
Quedan pocos meses para ordenar datos, accesos, procedimientos y evidencia.
1 dic 2026
Vigencia plena
La Agencia puede fiscalizar, recibir reclamos de los titulares y aplicar sanciones.
Después
Registro público
Las sanciones quedan inscritas en el Registro Nacional de Sanciones y Cumplimiento.
§ 04 — El corazón de la guía
Qué evidencia técnica pide un fiscalizador
Una fiscalización no pregunta si tienes una política. Pregunta cosas concretas, y cada respuesta necesita un respaldo que salga de tus sistemas. Estas son las preguntas que conviene poder responder hoy, con la evidencia que las sostiene.
| Lo que pregunta el fiscalizador | Evidencia que lo responde | Cómo se implementa |
|---|---|---|
| ¿Quién accedió a los datos de esta persona, y cuándo? | Registros de acceso por usuario: fecha, hora, acción y registro afectado. | Logs de auditoría a nivel de aplicación, centralizados y protegidos contra alteración. |
| ¿Quién tiene acceso hoy, y por qué? | Matriz de roles y permisos, con revisiones periódicas documentadas. | Acceso por roles, autenticación multifactor, revisión trimestral y baja al desvincular. |
| ¿Qué datos tratan, para qué y con qué base legal? | Inventario de tratamientos actualizado. | Levantamiento por sistema y por proceso, mantenido como documento vivo. |
| ¿Cómo respondieron las solicitudes de los titulares? | Registro de solicitudes: fecha de ingreso, respuesta y cumplimiento del plazo. | Canal único, flujo con plazos y herramientas para extraer, corregir o eliminar datos por persona. |
| ¿Qué pasó en el último incidente, y cuándo lo reportaron? | Bitácora del incidente con línea de tiempo, evaluación de riesgo y comunicaciones. | Procedimiento de respuesta, plantillas de reporte y simulacros periódicos. |
| ¿Cómo protegen los datos? | Configuraciones de cifrado, respaldos y resultados de pruebas de restauración. | Cifrado en tránsito y en reposo, respaldos automáticos y restauraciones de prueba registradas. |
| ¿Qué proveedores tratan datos por ustedes, y dónde? | Contratos de encargo y registro de transferencias internacionales. | Revisión contractual con tu asesoría legal y verificación técnica de regiones y medidas. |
§ 05 — Incidentes
Reporte de vulneraciones: el reloj corre
La ley obliga a reportar a la Agencia, por los medios más expeditos posibles y sin dilaciones indebidas, las vulneraciones de seguridad que provoquen la destrucción, filtración, pérdida o alteración de datos personales, o su comunicación o acceso no autorizado, cuando exista un riesgo razonable para los derechos de las personas. Si involucran datos sensibles, datos de niños, niñas y adolescentes o datos de carácter económico o financiero, también hay que comunicarlo a los afectados.
La ley no fija un número de horas. Por eso recomendamos diseñar el procedimiento con una meta operativa de 72 horas: es el plazo que usa el reglamento europeo de protección de datos y el estándar de referencia en la industria. Cumplirlo depende de lo que hayas preparado antes del incidente, no durante.
Hora 0
Detección
Una alerta o un aviso. Se abre la bitácora y se designa a un responsable.
Paso 10–24 h
Contención y alcance
Qué datos, cuántas personas, desde cuándo. Sin registros de acceso, esta pregunta no tiene respuesta.
Paso 224–48 h
Evaluación de riesgo
¿Hay riesgo razonable para los titulares? ¿Involucra datos sensibles, de menores o financieros?
Paso 348–72 h
Reporte y comunicación
Reporte a la Agencia y, cuando corresponde, comunicación a las personas afectadas.
Paso 4Después
Cierre
Medidas correctivas documentadas y lecciones aprendidas incorporadas al procedimiento.
Paso 5
§ 06 — Educación
Colegios y sostenedores: los datos más delicados
Pocas organizaciones concentran tantos datos sensibles de menores como un colegio. Eso lo convierte en uno de los sectores donde la ley exige más cuidado.
- 01Tratan datos de niños, niñas y adolescentes a gran escala: identificación, notas, asistencia, convivencia escolar.
- 02Muchos son datos sensibles: fichas de salud, necesidades educativas especiales, situación socioeconómica.
- 03Por regla general, los datos de menores de 14 años requieren el consentimiento de padres o representantes legales, y siempre debe primar el interés superior del niño.
- 04Las plataformas de gestión escolar, de aprendizaje y de comunicación con apoderados son proveedores que tratan datos por encargo: requieren contrato y verificación.
- 05Una vulneración que afecte datos de menores debe comunicarse también a las personas afectadas, no solo a la Agencia.
Preguntas para hacerse hoy: ¿quién puede ver la ficha de salud de un estudiante? ¿Queda registro? ¿Siguen activas las cuentas de docentes que ya no trabajan en el colegio?
Cómo trabajamos con sostenedores§ 07 — Riesgo
Sanciones
Las infracciones se clasifican según su gravedad. En caso de reincidencia las multas pueden aumentar considerablemente, y las sanciones quedan inscritas en un registro público. Contar con un modelo de prevención de infracciones certificado es un atenuante.
Leves
Hasta 5.000 UTM
O amonestación escrita.
Graves
Hasta 10.000 UTM
Según la naturaleza y las circunstancias de la infracción.
Gravísimas
Hasta 20.000 UTM
Con montos mayores en caso de reincidencia.
§ 08 — Enfoque
Por qué un documento no alcanza
Las dos columnas son necesarias. La diferencia es que la segunda es la que responde cuando llega una fiscalización o un reclamo.
A — Cumplimiento en papel
- Una política de privacidad publicada
- Cláusulas de consentimiento en los formularios
- Un manual de procedimientos
- La declaración de que existen medidas de seguridad
B — Cumplimiento operativo
- Logs que muestran quién accedió a qué dato y cuándo
- Consentimientos registrados con fecha y versión del texto
- Solicitudes de titulares respondidas en plazo, con registro
- Incidentes con bitácora, línea de tiempo y reporte
- Accesos revisados y cuentas dadas de baja a tiempo
Trabajamos junto a tu asesoría legal: ellos interpretan la norma y redactan; nosotros implementamos lo que la política promete y dejamos la evidencia técnica.
§ 09 — Recurso gratuito
Checklist de cumplimiento Ley 21.719
30 controles en 8 áreas para revisar dónde está tu organización hoy. Imprimible y lista para compartir con tu equipo.
- 01Gobierno y responsabilidad
- 02Inventario de datos
- 03Consentimiento y bases de licitud
- 04Derechos de los titulares
- 05Seguridad y control de accesos
- 06Registro y trazabilidad
- 07Incidentes y reporte de vulneraciones
- 08Proveedores y evaluación de impacto
§ 10 — FAQ
Preguntas frecuentes
¿La ley aplica a mi organización?
Si tratas datos de personas naturales (clientes, trabajadores, estudiantes, apoderados, pacientes), sí. Aplica a empresas de cualquier tamaño y también a los organismos públicos, con reglas específicas para ellos.
¿Es obligatorio tener un delegado de protección de datos?
No en todos los casos. El delegado es parte del modelo de prevención de infracciones, que es voluntario y puede servir como atenuante. En la práctica, alguien tiene que ser responsable del tema dentro de la organización.
¿Basta con actualizar la política de privacidad?
No. La política es necesaria, pero describe compromisos. Lo que se fiscaliza es si la operación los cumple: registros de acceso, atención de solicitudes, gestión de incidentes y seguridad demostrable.
¿Qué pasa con los datos que ya tenemos?
Las nuevas reglas aplican a los tratamientos que se realicen desde la entrada en vigencia, incluidos los datos que ya tienes. Conviene revisar que cada base de datos existente tenga una base de licitud y un plazo de conservación.
¿Cuánto cuesta adecuarse?
Depende de cuántos sistemas y datos tengas. Un diagnóstico acotado permite dimensionarlo antes de invertir. Muchas brechas se cierran con configuración y procedimientos, no con software nuevo.
¿Ustedes reemplazan a un abogado?
No. Trabajamos junto a tu asesoría legal: ellos interpretan la norma y redactan los documentos; nosotros implementamos los controles y dejamos la evidencia técnica.
Este contenido es informativo, se basa en el texto de la Ley 21.719 y no constituye asesoría legal. Para decisiones específicas, consulta con tu asesoría jurídica. ¿Tienes una duda o encontraste algo que corregir? Escríbenos a hardwhereitsolutions@gmail.com.