Qué es la Ley 21.719
La Ley 21.719 se publicó en el Diario Oficial el 13 de diciembre de 2024. No reemplaza a la Ley 19.628 sobre protección de la vida privada: la modifica a fondo. Por eso los artículos que se citan en esta guía son los de la Ley 19.628 tal como queda con la reforma.
Los cambios principales son tres. Ordena los deberes de quien trata datos personales (información, seguridad, reporte de vulneraciones, contratos con proveedores). Amplía los derechos de las personas, que ahora pueden pedir acceso, rectificación, supresión, oposición y portabilidad. Y crea la Agencia de Protección de Datos Personales, con facultades para fiscalizar y sancionar (artículo 30).
Desde cuándo rige
El artículo primero transitorio fija la entrada en vigencia el primer día del mes vigésimo cuarto posterior a la publicación. Contado desde el 13 de diciembre de 2024, eso es el 1 de diciembre de 2026.
Las modificaciones de la Ley 21.719 entran en vigencia el 1 de diciembre de 2026 (artículo primero transitorio). El Senado aprobó el 28 de octubre de 2026 un proyecto que posterga esa fecha al 15 de octubre de 2027 (boletín 18.623-07); al cierre de esta guía sigue en trámite en la Cámara y no es ley.
Para las empresas de menor tamaño hay un alivio inicial: durante los primeros doce meses de vigencia, la Agencia puede aplicarles una amonestación por escrito en lugar de una multa (artículo sexto transitorio). Es una facultad de la Agencia, no una exención.
A quién se aplica
A todo tratamiento de datos personales que haga una persona natural o jurídica, incluidos los órganos públicos (artículo 1). En la práctica, a casi cualquier organización: basta con tener trabajadores, clientes o proveedores con nombre y RUT.
Quedan fuera el tratamiento que hacen las personas en su vida privada y el que se hace en ejercicio de las libertades de opinar e informar. La ley también se aplica a quien trata datos desde el extranjero por encargo de un responsable establecido en Chile (artículo 1 bis).
La exigencia no es igual para todos. El artículo 14 septies encarga a la Agencia fijar estándares de información y seguridad diferenciados según el tipo de dato, el tamaño de la empresa y el volumen de datos que trata.
Qué deberes impone
| Deber | Qué pide | Artículo |
|---|---|---|
| Información y transparencia | Publicar la política de tratamiento, los datos que se tratan, sus finalidades, destinatarios, base de legitimidad, plazo de conservación y cómo ejercer los derechos. | 14 ter |
| Protección desde el diseño | Aplicar medidas técnicas y organizativas antes y durante el tratamiento, y tratar por defecto solo los datos necesarios. | 14 quáter |
| Seguridad | Medidas acordes al riesgo para la confidencialidad, integridad y disponibilidad. Ante un incidente, el responsable debe acreditarlas. | 14 quinquies |
| Reporte de vulneraciones | Informar a la Agencia sin dilaciones indebidas cuando haya riesgo razonable, registrar esas comunicaciones y, en ciertos casos, avisar a los titulares. | 14 sexies |
| Contratos con encargados | Todo proveedor que trate datos por cuenta de la empresa lo hace bajo un contrato con objeto, duración, finalidad y tipo de datos. | 15 bis |
| Evaluación de impacto | Obligatoria antes de tratamientos de alto riesgo; la Agencia publicará una lista orientativa. | 15 ter |
| Responder solicitudes | Acusar recibo y responder dentro de 30 días corridos, prorrogables una vez por otros 30. | 11 |
Además, el principio de responsabilidad del artículo 3 deja claro que quien trata datos responde por cumplir todo lo anterior. No basta con cumplir: hay que poder mostrarlo.
Multas
El artículo 35 clasifica las infracciones en tres niveles:
| Infracción | Sanción |
|---|---|
| Leve | Amonestación escrita o multa de hasta 5.000 UTM |
| Grave | Multa de hasta 10.000 UTM |
| Gravísima | Multa de hasta 20.000 UTM |
La Agencia fija además medidas para corregir la causa de la sanción. Si no se adoptan en un plazo de 60 días, la multa sube un 50%. En caso de reincidencia la multa puede llegar al triple, y una empresa que no sea de menor tamaño y reincida en una infracción grave o gravísima puede ser multada con hasta el 2% o el 4% de sus ingresos anuales, respectivamente. El detalle está en la guía de multas y sanciones.
Por dónde partir
- Levanta el inventario de tratamientos. Sin saber qué datos tratas, para qué y con quién los compartes, no se puede cumplir ningún otro deber. Lo explicamos en la guía del Registro de Actividades de Tratamiento.
- Publica la información del artículo 14 ter. Una política de privacidad que coincida con lo que de verdad hace la organización, con fecha y versión.
- Abre un canal para las solicitudes. Un correo o formulario, alguien a cargo y un registro de plazos.
- Revisa los contratos con proveedores. Nube, nóminas, mesa de ayuda, marketing: todo encargado necesita su contrato del artículo 15 bis.
- Prepara el procedimiento de brechas. Quién decide si hay riesgo, quién informa a la Agencia y dónde queda el registro.
Designar un delegado de protección de datos es voluntario (artículo 50), igual que adoptar un modelo de prevención de infracciones (artículo 49); lo explicamos en la guía del delegado. Pero tener un modelo certificado (artículo 51) cuenta como atenuante si llega una sanción (artículo 36), y en organizaciones medianas o grandes ordena todo lo anterior.