Ley 21.719: checklist de 12 puntos para tu pyme

Por qué conviene partir ahora

La Ley 21.719 se publicó en diciembre de 2024 y su artículo primero transitorio fija la plena vigencia el día primero del mes 24 después de la publicación: el 1 de diciembre de 2026. Desde esa fecha la Agencia de Protección de Datos Personales puede fiscalizar y multar.

Para las empresas de menor tamaño hay un respiro, pero no una exención: el artículo sexto transitorio de la ley dice que durante los primeros 12 meses la Agencia podrá aplicar solo una amonestación por escrito. Podrá, no deberá. Y las tareas de abajo no se hacen en una tarde, porque varias dependen de proveedores que también tienen que responder.

Los 12 puntos

Cada punto dice qué hacer y qué artículo lo pide. Si quieres entender el porqué de cada uno, la guía completa de la Ley 21.719 lo explica en detalle.

Ordenar lo que tienes

• 1. Inventario de datos. Anota en una planilla qué datos personales guardas (nombre, RUT, teléfono, dirección, salud), para qué, dónde (Excel, CRM, WhatsApp, correo) y quién los ve. Sin esto, el resto de la lista no se puede hacer.
• 2. Borrar lo que sobra. El principio de proporcionalidad (art. 3) pide tratar solo los datos necesarios para el fin y guardarlos solo el tiempo que hace falta. Esa planilla de clientes de hace años que nadie usa es un riesgo sin beneficio.
• 3. Marcar los datos sensibles. La salud, los datos biométricos y los demás que la ley califica como sensibles tienen reglas más estrictas (art. 16). Si tienes una clínica, un gimnasio o recursos humanos, este punto va primero.

Decir y pedir bien

• 4. Base de cada tratamiento. Para cada uso de la planilla, anota si te basas en el consentimiento (art. 12) o en otra base legal del art. 13, como la ejecución de un contrato con el cliente.
• 5. Aviso de privacidad. El art. 14 ter obliga a informar quién trata los datos, para qué, con qué base y cómo ejercer los derechos. Va en tu sitio y en cada formulario, en lenguaje simple.
• 6. Consentimiento que se pueda probar. Si mandas promociones por WhatsApp o correo, guarda cuándo y cómo aceptó cada persona. Una casilla premarcada no sirve.

Proveedores, bots y seguridad

• 7. Contratos con proveedores. Quien procesa datos por ti (el CRM, el hosting, la agencia del bot) es un encargado según el art. 15 bis. Pide un contrato o anexo que diga qué puede hacer con los datos y qué no.
• 8. Revisar el bot y la IA. Si un chatbot recibe datos de clientes, revisa qué guarda, dónde y quién lo entrena. Lo desarmamos en chatbots y datos personales. Si esos datos salen del país, aplica el art. 27 de transferencia internacional.
• 9. Seguridad mínima. El art. 14 quinquies pide medidas apropiadas al riesgo: claves únicas, doble factor en el correo y el CRM, permisos por cargo y respaldos. No hace falta un área de TI para empezar.

Estar listo cuando algo pase

• 10. Procedimiento para los derechos. Las personas pueden pedir acceso, rectificación, supresión, oposición, portabilidad y bloqueo (art. 4). El art. 11 da 30 días corridos para contestar, prorrogables por otros 30. Define quién recibe la solicitud y cómo se registra.
• 11. Plan ante una filtración. El art. 14 sexies obliga a reportar las vulneraciones de seguridad a la Agencia y, si afectan datos sensibles, de menores de 14 años o financieros, también a las personas afectadas. Escribe en una hoja quién avisa y a quién.
• 12. Un responsable interno. Designar un delegado de protección de datos es voluntario (art. 50) y en una micro, pequeña o mediana empresa puede asumirlo el propio dueño. Aunque no lo formalices, alguien tiene que ser dueño de esta lista. Más en delegado de protección de datos.

Qué hacer si no alcanzas todo

Prioriza por riesgo. Si solo puedes hacer tres cosas antes de diciembre, que sean el inventario (punto 1), el aviso de privacidad (punto 5) y la seguridad mínima (punto 9). Son las que más reducen el daño si algo sale mal y las que primero se notan desde fuera.

Después, los proveedores: un correo a cada uno preguntando dónde guardan tus datos y si firman un anexo resuelve mucho del punto 7. Y si tu empresa usa ChatGPT u otras herramientas de IA sin reglas, una política de uso de IA de una página evita que alguien pegue la base de clientes en un chat.

Si vienes de la ley antigua y quieres ver solo qué cambió, la comparación entre la Ley 19.628 y la 21.719 lo muestra punto por punto. Y si prefieres que alguien revise tu caso contigo, en IA para pymes partimos por esta misma lista.