La Ley 21.719 en 30 segundos
- Es la nueva ley de protección de datos personales de Chile. Reescribe la Ley 19.628 de 1999 y la acerca al estándar europeo (RGPD).
- Se publicó el 13 de diciembre de 2024 y rige desde el 1 de diciembre de 2026. Hay un proyecto para moverla a 2027, todavía en trámite.
- Para tratar datos necesitas consentimiento u otra base legal, y tienes que poder demostrarlo.
- Las personas pueden pedir acceso, rectificación, supresión, oposición, portabilidad y bloqueo. Tienes 30 días corridos para responder.
- Crea la Agencia de Protección de Datos Personales, que fiscaliza y multa hasta 20.000 UTM (más de $1.443 millones).
¿Qué es la Ley 21.719?
La Ley 21.719 «regula la protección y el tratamiento de los datos personales y crea la Agencia de Protección de Datos Personales». Se promulgó el 25 de noviembre de 2024 y se publicó en el Diario Oficial el 13 de diciembre de 2024.
No es una ley que conviva con la anterior: su artículo primero reescribe casi por completo la Ley 19.628 sobre protección de la vida privada. Por eso vas a ver que se habla indistintamente de «la nueva 19.628» o «la Ley 21.719». En la práctica, desde el 1 de diciembre de 2026 las reglas del juego son las de la 21.719.
Los tres cambios que más le importan a una empresa:
- Hay que tener una base legal para cada uso de datos. El consentimiento ya no se presume y la carga de la prueba es tuya.
- Hay un fiscalizador con dientes. Antes, el único camino era demandar en tribunales. Ahora la Agencia investiga, sanciona y publica las sanciones en un registro nacional.
- Hay que mostrar el cumplimiento, no solo cumplir. Política publicada, respuestas documentadas, registro de brechas, contratos con proveedores.
¿Cuándo entra en vigencia la Ley 21.719?
El artículo primero transitorio dice que las modificaciones rigen «el día primero del mes vigésimo cuarto posterior a la publicación». Publicada en diciembre de 2024, eso da el 1 de diciembre de 2026.
Estado de la postergación al 22 de octubre de 2026. El Gobierno ingresó al Senado un proyecto (boletín 18.623-07) que mueve la vigencia al 1 de diciembre de 2027 y amplía el Consejo de la Agencia de tres a cinco miembros. La Comisión de Constitución lo aprobó en general por unanimidad (Senado, 20 de octubre) y el Ejecutivo comprometió urgencia de discusión inmediata. Falta la discusión en particular, la Sala del Senado, la Cámara y la publicación. Hasta que se publique, la fecha legal sigue siendo el 1 de diciembre de 2026.
Aunque la postergación se apruebe, el proyecto no cambia ni una sola obligación: solo corre la fecha. Lo que hagas ahora te sirve igual.
¿A quién se aplica?
A toda persona natural o jurídica, pública o privada, que trate datos personales: recolectarlos, guardarlos, ordenarlos, usarlos, comunicarlos o borrarlos. No hay umbral de tamaño. Una pyme con un formulario de contacto, una planilla de clientes y una lista de WhatsApp está dentro.
Un dato personal es cualquier información que identifica o puede identificar a una persona: nombre, RUT, correo, teléfono, dirección, IP, historial de compras, ubicación. Hay categorías con reglas más estrictas:
Datos sensibles
Salud, origen étnico, afiliación política o sindical, creencias, vida sexual, datos biométricos. En general requieren consentimiento expreso.
Niños, niñas y adolescentes
Los datos de menores de 14 años requieren el consentimiento de sus padres o de quien los tenga a su cargo, salvo que la ley lo autorice.
Datos biométricos
Huella, rostro, voz. Tienen reglas propias de información y seguridad (artículo 16 ter).
Geolocalización
Seguir la ubicación de una persona es tratamiento de datos y tiene regulación específica (artículo 16 sexies).
¿Cuándo puedes tratar datos personales? Las bases de licitud
La regla general es el consentimiento del titular (artículo 12): libre, informado, específico para cada finalidad, previo e inequívoco. Se puede revocar en cualquier momento, por un medio tan fácil como el que se usó para darlo. Y le corresponde a la empresa probar que lo obtuvo.
El artículo 13 permite tratar datos sin consentimiento en cinco casos:
- Datos de obligaciones económicas, financieras, bancarias o comerciales, según el Título III de la ley.
- Cuando lo exige o dispone una ley (por ejemplo, emitir una factura).
- Cuando es necesario para celebrar o ejecutar un contrato con el titular, o para medidas precontractuales que él pidió (como responder la cotización que solicitó).
- Para satisfacer un interés legítimo del responsable o de un tercero, siempre que no afecte los derechos del titular, que puede exigir que le expliques cuál es ese interés.
- Para formular, ejercer o defender un derecho ante tribunales u organismos públicos.
Ojo con un detalle práctico: se presume que el consentimiento no fue libre si lo pediste como condición para un contrato o servicio en el que esos datos no eran necesarios. «Para descargar el catálogo acepta recibir publicidad de nosotros y de terceros» es justamente el ejemplo de lo que no se puede.
Derechos de las personas: ARCOP y bloqueo
El artículo 4 reconoce seis derechos, personales e irrenunciables. Ningún contrato o término y condición los puede limitar.
| Derecho | Qué puede pedir la persona |
|---|---|
| Acceso | Saber si tratas sus datos, cuáles, para qué, de dónde salieron y a quién se los comunicaste. |
| Rectificación | Que corrijas datos inexactos, desactualizados o incompletos. |
| Supresión | Que borres sus datos cuando ya no son necesarios, retiró el consentimiento o se trataron ilícitamente. |
| Oposición | Que dejes de usar sus datos para un fin determinado, como marketing directo o perfiles. |
| Portabilidad | Recibir sus datos en un formato estructurado y de uso común, y llevárselos a otro proveedor. |
| Bloqueo | Que suspendas temporalmente el tratamiento mientras se resuelve su solicitud. |
Plazos que tienes que cumplir (artículo 11): acusar recibo y responder por escrito dentro de 30 días corridos, prorrogables una sola vez por otros 30. Si rechazas, tienes que fundamentar e informar que la persona tiene 30 días hábiles para reclamar ante la Agencia. Y guardar respaldo de la respuesta, su fecha y su contenido.
Obligaciones de la empresa
1. Deber de información y transparencia
El artículo 14 ter exige mantener permanentemente disponible, en tu sitio web o un medio equivalente, al menos:
- La política de tratamiento de datos, con su fecha y versión.
- La individualización del responsable y su representante legal.
- Un domicilio, correo o formulario para recibir solicitudes.
- Qué datos tratas, de quiénes, para qué, con qué base legal y a quién los comunicas.
- Las medidas de seguridad adoptadas.
- Los derechos del titular y su derecho a reclamar ante la Agencia.
- Las transferencias internacionales y sus garantías.
- Cuánto tiempo conservas los datos y de qué fuente provienen.
- El derecho a retirar el consentimiento y si hay decisiones automatizadas o perfiles.
No cumplir esto, total o parcialmente, es una infracción leve por sí sola (artículo 34 bis). Es lo primero que se ve desde afuera y lo más fácil de fiscalizar.
2. Seguridad y reporte de brechas
Tienes que adoptar medidas de seguridad proporcionales al riesgo. Si una filtración, pérdida o acceso no autorizado genera un riesgo razonable para las personas, debes reportarla a la Agencia sin dilaciones indebidas y dejar registro (artículo 14 sexies). Si afecta datos sensibles, de menores de 14 años o financieros, además tienes que avisar a cada persona afectada.
3. Proveedores que tratan datos por ti
Tu hosting, tu CRM, tu plataforma de email marketing y tu contador son encargados. El artículo 15 bis exige un contrato que fije objeto, duración, finalidad, tipos de datos y obligaciones. Si el encargado usa los datos para otra cosa, responde como responsable y solidariamente contigo.
4. Transferencias internacionales
Google, Meta, HubSpot o Mailchimp guardan datos fuera de Chile. Eso es una transferencia internacional: tienes que informarla y apoyarte en un país con nivel adecuado de protección o en garantías contractuales.
La Agencia de Protección de Datos Personales
Es un organismo autónomo que dicta instrucciones, fiscaliza, resuelve reclamos de las personas, sanciona y administra el Registro Nacional de Sanciones y Cumplimiento, donde quedan públicas las empresas sancionadas y las que certificaron su modelo de prevención. La dirige un Consejo Directivo de tres consejeros (el proyecto de postergación propone cinco).
Multas y sanciones de la Ley 21.719
El artículo 35 fija tres niveles. Esto es lo que significan en pesos con la UTM de octubre de 2026 ($72.151):
| Infracción | Ejemplos | Tope | En pesos |
|---|---|---|---|
| Leve | No publicar la política, no tener un canal para solicitudes, responder tarde. | 5.000 UTM | $360.755.000 |
| Grave | Tratar datos sin base legal o para otro fin, obstaculizar derechos, seguridad insuficiente, no registrar brechas, datos de menores mal tratados. | 10.000 UTM | $721.510.000 |
| Gravísima | Tratamiento fraudulento, uso malicioso para otro fin, ceder datos falsos a sabiendas. | 20.000 UTM | $1.443.020.000 |
- Reincidencia (dos o más sanciones en 30 meses): la multa puede triplicarse.
- Empresas que no son de menor tamaño y reinciden en una infracción grave o gravísima: hasta el 2% o 4% de sus ingresos anuales, lo que sea más gravoso.
- Si no corriges la causa en el plazo que fija la Agencia (máximo 60 días), la multa sube un 50%.
- Primer año para pymes: durante los primeros doce meses de vigencia, a las empresas de menor tamaño la Agencia puede aplicarles una amonestación escrita en vez de multa. Igual queda en el registro público.
Son topes. La Agencia gradúa según la gravedad, el daño, el número de afectados, la capacidad económica y las atenuantes, entre ellas la autodenuncia y tener un modelo de prevención certificado.
Modelo de prevención de infracciones y delegado de protección de datos
La ley no obliga a nombrar un delegado de protección de datos (DPO). Lo que hace el artículo 49 es ofrecer un modelo de prevención de infracciones voluntario: designar un delegado, mapear qué datos tratas, identificar los procesos de riesgo, fijar protocolos, reporte interno y sanciones. Si la Agencia lo certifica, cuenta como atenuante ante cualquier sanción.
Para una pyme, la recomendación práctica es tener la documentación de ese modelo aunque no lo certifique: es exactamente lo que vas a necesitar mostrar si te fiscalizan.
Qué cambia en tu sitio web
El sitio es la vitrina del cumplimiento: es lo único que la Agencia, un cliente molesto o un competidor pueden revisar sin pedirte nada. Los puntos críticos:
- Política de privacidad actualizada a la 21.719, con fecha, versión y responsable identificado.
- Formularios con aviso de finalidad, casilla de aceptación sin marcar y enlace a la política.
- Registro del consentimiento: cuándo, desde dónde y con qué texto aceptó cada persona.
- Analítica y publicidad (Google Analytics, Meta Pixel, TikTok) que no se cargan sin una base legal.
- Newsletter y WhatsApp con una forma fácil de darse de baja.
Ver el checklist completo para sitios web →
Autodiagnóstico: ¿qué tan lista está tu empresa?
Diez preguntas, dos minutos. No guardamos tus respuestas: el cálculo se hace en tu navegador.
- ¿Tu sitio tiene una política de privacidad publicada, con fecha y versión?
- ¿La política identifica a la empresa responsable (razón social, RUT, representante legal)?
- ¿Hay un correo o formulario para que las personas pidan acceso, corrección o borrado de sus datos?
- ¿Tus formularios explican para qué usarás los datos y piden aceptar con una casilla sin marcar?
- ¿Guardas registro de cuándo y con qué texto aceptó cada persona?
- ¿Google Analytics, Meta Pixel u otras etiquetas esperan el consentimiento antes de cargarse?
- ¿Sabes en qué sistemas están los datos de tus clientes: sitio, correo, planillas, CRM?
- ¿Tienes contrato o términos de encargo con tu hosting, CRM y proveedor de correo?
- ¿Podrías responder hoy una solicitud de acceso o borrado en 30 días, dejando respaldo?
- ¿Tienes un protocolo para reportar una filtración de datos a la Agencia?
Responde las diez preguntas para ver tu resultado.
Plan para cumplir la Ley 21.719 en ocho semanas
Así lo trabajamos con nuestros clientes. El primer paso cierra lo que se ve desde afuera y está listo en dos semanas.
Cerrar lo urgente (semanas 1 y 2)
Política de privacidad redactada y publicada, aviso de finalidad y casilla de aceptación en cada formulario, registro del consentimiento, etiquetas de analítica detrás del consentimiento.
Ordenar lo que ya existe (semanas 3 a 5)
Inventario de dónde están los datos, registro de actividades de tratamiento, contratos de encargo con proveedores, plazos de conservación y borrado de lo que ya no corresponde.
Dejarlo funcionando (semanas 6 a 8)
Canal y procedimiento para responder solicitudes en 30 días, protocolo de brechas con responsables, capacitación breve al equipo y carpeta de cumplimiento lista para una fiscalización.
Trabajamos sobre tu sitio y tus herramientas actuales, sin cambiar de proveedor. Si el sitio lo hicimos nosotros o no, da lo mismo.
Preguntas frecuentes sobre la Ley 21.719
¿Qué es la Ley 21.719?
Es la nueva ley de protección de datos personales de Chile. Reescribe la Ley 19.628, fija bases de licitud para tratar datos, amplía los derechos de las personas, crea la Agencia de Protección de Datos Personales y establece multas de hasta 20.000 UTM. Se publicó en el Diario Oficial el 13 de diciembre de 2024.
¿Cuándo entra en vigencia la Ley 21.719?
El 1 de diciembre de 2026. Hay un proyecto para moverla al 1 de diciembre de 2027, pero mientras no se apruebe y publique, la fecha vigente es el 1 de diciembre de 2026.
¿Se postergó la Ley 21.719 a 2027?
Todavía no. El boletín 18.623-07 ingresó al Senado el 1 de septiembre de 2026 y la Comisión de Constitución lo aprobó en general por unanimidad (informado el 20 de octubre). Le falta la votación en particular, la Sala, la Cámara y la publicación. Ver el estado actualizado.
¿Cuánto son las multas?
Leves: amonestación o hasta 5.000 UTM. Graves: hasta 10.000 UTM. Gravísimas: hasta 20.000 UTM, más de $1.443 millones con la UTM de octubre de 2026. Con reincidencia, hasta el triple o el 2% a 4% de los ingresos anuales para empresas que no son de menor tamaño.
¿Aplica a pymes?
Sí, a toda empresa que trate datos personales. Durante el primer año de vigencia, la Agencia puede sancionar a las empresas de menor tamaño con amonestación escrita en vez de multa, y los estándares se gradúan según el tamaño.
¿Es obligatorio tener un delegado de protección de datos?
No. El delegado es parte del modelo de prevención de infracciones, que es voluntario. Pero tenerlo certificado es una atenuante si te sancionan.
¿Qué derechos tienen las personas?
Acceso, rectificación, supresión, oposición, portabilidad y bloqueo. Debes responder en 30 días corridos, prorrogables una vez. Si rechazas o no respondes, la persona puede reclamar ante la Agencia.
¿Qué tiene que cambiar mi sitio web?
Política de privacidad con fecha, versión y responsable; canal para ejercer derechos; consentimiento informado en formularios y su registro; y analítica y publicidad que no se carguen sin base legal. Checklist completo.
¿Necesito un abogado?
Para la mayoría de las pymes, el trabajo es más operativo que legal: inventariar datos, ajustar el sitio, ordenar proveedores y procesos. Si tratas datos sensibles a gran escala (salud, por ejemplo) o haces transferencias internacionales complejas, conviene sumar asesoría legal.
Fuentes oficiales
- Texto de la Ley 21.719 en LeyChile (Biblioteca del Congreso Nacional)
- Senado: avanza el proyecto que busca postergar la entrada en vigencia
- SII: valores de la UTM 2026
- Política de privacidad de Boostify, adecuada a la Ley 21.719 (como ejemplo aplicado)
¿Revisamos tu sitio gratis?
Te enviamos un diagnóstico de lo que hoy se ve desde afuera en tu sitio frente a la Ley 21.719, con los puntos a corregir.
Este contenido es información general sobre la Ley 21.719 y no constituye asesoría legal. Revisado contra el texto publicado en LeyChile el 22 de octubre de 2026. Montos en pesos calculados con la UTM de octubre de 2026 ($72.151).