La Ley 21.719 es la nueva ley de protección de datos personales de Chile: reescribe casi entera la Ley 19.628, sobre protección de la vida privada, vigente desde 1999, y crea la Agencia de Protección de Datos Personales. Se publicó en el Diario Oficial el 13 de diciembre de 2024 y entra en vigencia el 1 de diciembre de 2026, porque su artículo primero transitorio fija la entrada en vigor «el día primero del mes vigésimo cuarto posterior a la publicación» (texto en BCN).
A 11 de octubre de 2026 esa fecha sigue en pie, aunque puede moverse. El 1 de septiembre el Gobierno ingresó al Senado un proyecto (boletín 18.623-07) que la retrasaría al 1 de diciembre de 2027. Está en primer trámite, en la Comisión de Constitución, sin informe ni votación, y con suma urgencia renovada el 6 de octubre (ficha del Senado). Mientras no se apruebe y se publique, la fecha legal es diciembre de 2026.
Cronograma de la Ley 21.719
| Fecha | Qué pasa |
|---|---|
| 13 de diciembre de 2024 | Publicación de la Ley 21.719 en el Diario Oficial. |
| 20 de mayo de 2026 | El Senado rechaza la terna de consejeros por no alcanzar los dos tercios. |
| 1 de junio de 2026 | Plazo para nombrar el primer consejo de la Agencia, seis meses antes de la vigencia (art. cuarto transitorio). No se cumplió. |
| 1 de septiembre de 2026 | El Gobierno ingresa el proyecto de aplazamiento (boletín 18.623-07). |
| 6 de octubre de 2026 | Se renueva la suma urgencia del proyecto, que sigue en primer trámite. |
| 1 de diciembre de 2026 | Entrada en vigencia de la ley (art. primero transitorio), salvo que antes se apruebe y publique el aplazamiento. |
| 1 de diciembre de 2026 a 30 de noviembre de 2027 | Primeros doce meses: la Agencia puede sancionar a las empresas de menor tamaño con amonestación escrita en lugar de multa (art. sexto transitorio). |
| 1 de diciembre de 2027 | Nueva fecha de vigencia solo si el proyecto 18.623-07 se convierte en ley. |
A quién aplica
A cualquier persona natural o jurídica que trate datos personales, incluidos los órganos públicos (art. 1 de la Ley 19.628 modificada). Quedan fuera el tratamiento que hacen las personas en su vida personal y el que se ampara en las libertades de opinión e información.
El alcance territorial es más amplio que el de la ley de 1999. Según el artículo 1 bis, la ley aplica si el responsable o el mandatario está establecido en Chile, si un mandatario de cualquier país trata datos por cuenta de un responsable chileno y, lo que más cambia, si una empresa sin establecimiento en Chile ofrece bienes o servicios a personas en Chile o monitorea su comportamiento, perfilamiento incluido. Una tienda en línea extranjera que vende a clientes chilenos entra.
Qué obligaciones trae
Bases de licitud
El consentimiento sigue siendo la regla general (art. 12), pero el artículo 13 admite tratar datos sin él cuando hay obligación legal, un contrato o medidas precontractuales, un interés legítimo del responsable, la defensa de derechos ante tribunales u organismos públicos, o datos de obligaciones económicas, financieras, bancarias o comerciales. Los datos sensibles necesitan consentimiento expreso salvo excepciones tasadas (art. 16), y los de niños y niñas menores de 14 años, el de sus padres o representantes (art. 16 quáter).
Derechos ARCO, portabilidad y algo más
Los titulares tienen derecho de acceso, rectificación, supresión, oposición, portabilidad y bloqueo (art. 4), y a oponerse a decisiones basadas únicamente en tratamiento automatizado que les produzcan efectos jurídicos o les afecten de forma significativa (art. 8 bis). El responsable tiene 30 días corridos para responder, prorrogables una sola vez por otros 30, y el bloqueo temporal se resuelve en dos días hábiles (art. 11). Si deniega, tiene que fundarlo e informar de que el titular puede reclamar ante la Agencia en 30 días hábiles.
Seguridad y vulneraciones
El responsable debe aplicar medidas técnicas y organizativas proporcionales al riesgo, como seudonimización, cifrado o capacidad de restaurar los datos, y ante un incidente le toca acreditar que existían y funcionaban (art. 14 quinquies). Cuando una vulneración genera un riesgo razonable para los titulares, hay que reportarla a la Agencia «por los medios más expeditos posibles y sin dilaciones indebidas» (art. 14 sexies). Si afecta a datos sensibles, a datos de menores de 14 años o a obligaciones económicas, también hay que avisar a cada titular o, si no se puede, mediante un aviso en medios de alcance nacional.
La ley chilena no fija horas, a diferencia de las 72 del RGPD europeo. No lo leas como más margen: «sin dilaciones indebidas» se juzga después, con el incidente encima de la mesa. Si la empresa además está obligada por la Ley 21.663, el mismo incidente puede tener que reportarse por la vía de la Ley 21.663 de ciberseguridad, así que conviene un único procedimiento con las dos salidas.
Evaluación de impacto
Antes de empezar un tratamiento con probable alto riesgo, el responsable hace una evaluación de impacto (art. 15 ter). Es obligatoria en cuatro casos: decisiones automatizadas o perfilamiento con efectos jurídicos significativos, tratamiento masivo o a gran escala, monitoreo sistemático de zonas de acceso público y tratamiento de datos sensibles en los supuestos en que no se pide consentimiento. La Agencia publicará una lista orientativa de operaciones que la requieren.
Delegado de protección de datos: voluntario
Aquí se equivocan muchos resúmenes. La ley no obliga a nombrar delegado: el artículo 50 dice que el responsable «podrá designar» uno. Si lo nombra, tiene que ser una persona idónea, con autonomía respecto de la administración, y entre sus funciones están asesorar, supervisar el cumplimiento, promover la formación, elaborar un plan anual y servir de contacto con la Agencia. El delegado es además el primer elemento del modelo de prevención de infracciones, que veremos más abajo.
Transferencias internacionales
Enviar datos fuera de Chile es lícito si el país de destino tiene un nivel de protección adecuado o si hay garantías como cláusulas contractuales, normas corporativas vinculantes o modelos de certificación (art. 27). La Agencia publicará la lista de países adecuados y las cláusulas modelo, y quien transfiere carga con la prueba de que cumple (art. 28). Para una empresa que trabaja con nube en Estados Unidos o Europa, esto se resuelve en los contratos con proveedores, no en la política de privacidad.
La Agencia de Protección de Datos Personales, todavía sin consejo
La Agencia es una corporación autónoma de derecho público, técnica y descentralizada, que se relaciona con el Presidente a través del Ministerio de Economía (art. 30). La dirige un Consejo Directivo de tres consejeros nombrados por el Presidente con acuerdo de dos tercios del Senado, por seis años (art. 30 quáter). Dicta instrucciones generales, fiscaliza, sanciona y lleva el Registro Nacional de Sanciones y Cumplimiento.
A octubre de 2026 no está constituida. El artículo cuarto transitorio pedía nombrar el primer consejo seis meses antes de la entrada en vigencia, pero en mayo de 2026 la Sala del Senado desechó la terna propuesta por no alcanzar los dos tercios (Senado, 20 de mayo de 2026). El proyecto de septiembre propone, además de aplazar la ley, ampliar el consejo a cinco integrantes con quórum de tres y adelantar su designación (Ministerio de Economía). Sin consejo tampoco hay listas de países adecuados, cláusulas modelo ni instrucciones generales, y eso es lo que más pesa en la discusión del plazo.
Infracciones y multas
La ley de 1999 multaba entre 1 y 50 UTM. La nueva clasifica las infracciones en tres niveles (arts. 34 bis a 34 quáter) con estos máximos (art. 35):
| Infracción | Ejemplos de la ley | Sanción máxima |
|---|---|---|
| Leve (art. 34 bis) | No responder a las solicitudes de los titulares o hacerlo incompleto o fuera de plazo; no enviar a la Agencia las comunicaciones exigidas. | Amonestación escrita o multa de hasta 5.000 UTM |
| Grave (art. 34 ter) | Tratar datos sin consentimiento ni otra base legal; impedir el ejercicio de los derechos de acceso o rectificación; incumplir el deber de seguridad. | Multa de hasta 10.000 UTM |
| Gravísima (art. 34 quáter) | Tratamiento fraudulento; comunicar a sabiendas datos inexactos. | Multa de hasta 20.000 UTM |
Con reincidencia, la multa puede llegar al triple. Si el reincidente no es empresa de menor tamaño según la Ley 20.416 y la infracción es grave o gravísima, el tope pasa a ser el mayor entre ese triple y el 2 % (grave) o el 4 % (gravísima) de sus ingresos anuales por ventas y servicios del último año calendario. La Agencia fija además medidas correctoras con un plazo de hasta 60 días; si no se cumplen, la multa sube un 50 %. Ante gravísimas reiteradas en 24 meses puede suspender el tratamiento hasta 30 días (art. 38). Las infracciones prescriben a los cuatro años (art. 40).
Durante los primeros doce meses de vigencia, la Agencia puede sancionar a las empresas de menor tamaño con una amonestación por escrito en lugar de otra sanción, cuando proceda (art. sexto transitorio). Es un margen para empezar, no una exención.
El modelo de prevención de infracciones como atenuante
Quien conozca la Ley 20.393 reconocerá la idea. El modelo es voluntario (art. 49) y tiene siete elementos mínimos: designar un delegado de protección de datos, darle medios y facultades, identificar la información que se trata y sus bases de datos, identificar los procesos con riesgo de infracción, fijar protocolos para prevenirla, crear canales de reporte interno y hacia la autoridad, y prever sanciones internas.
La Agencia lo certifica por tres años (arts. 51 y 52) y la empresa queda inscrita en el Registro Nacional de Sanciones y Cumplimiento. Haber cumplido con diligencia los deberes de dirección y supervisión, acreditado con ese certificado, es una de las atenuantes del artículo 36. En nuestra lectura, merece la pena para cualquier empresa que trate datos a escala o datos sensibles: los siete elementos son casi los mismos que vas a necesitar igual para cumplir, y el certificado convierte ese trabajo en una defensa cuando llegue un expediente.
Qué tener listo antes del 1 de diciembre de 2026
El proyecto de aplazamiento puede salir o no, y nadie sabe en qué versión. Planificar contando con él es apostar. Por dónde empezaríamos:
- Inventario de tratamientos con su base de licitud. Qué datos, para qué, con qué base del artículo 13 y quién los recibe. Todo lo demás cuelga de aquí, y es donde aparecen los tratamientos que hoy viven solo del consentimiento sin necesitarlo, o al revés.
- Procedimiento de derechos con el reloj de 30 días. Un canal, un responsable y un registro de cada solicitud. No responder a tiempo es infracción leve, y la más fácil de probar.
- Protocolo de vulneraciones. Criterio de «riesgo razonable», quién decide reportar, plantilla para la Agencia y para los titulares, y registro de cada comunicación.
- Evaluaciones de impacto de los cuatro casos obligatorios. Empieza por perfilamiento y datos sensibles, que son los que más se repiten.
- Contratos con encargados y transferencias. Revisa las cláusulas con proveedores, en especial los de nube fuera de Chile.
- Decidir sobre el delegado y el modelo de prevención. Aunque sean voluntarios, alguien tiene que ser el dueño de todo lo anterior.
En GlobalSuite® Privacidad y protección de datos, la Ley 19.628 viene precargada junto a otras normas de la región, el registro de actividades guarda la base jurídica, la finalidad, los encargados y las transferencias de cada tratamiento, y las evaluaciones de impacto parten de plantillas con riesgos de privacidad ya cargados. Las solicitudes de derechos quedan registradas con su plazo y recordatorios. Si quieres el detalle de requisitos, el white paper sobre la Ley 21.719 los recorre uno a uno.
Fuentes oficiales: Ley 21.719, publicada en el Diario Oficial el 13 de diciembre de 2024 y texto refundido de la Ley 19.628 con vigencia 1 de diciembre de 2026, en la Biblioteca del Congreso Nacional; tramitación del boletín 18.623-07 en el Senado. Contenido revisado en octubre de 2026.
