Ley 21.719: lo que tu empresa debe tener listo al 1 de diciembre de 2026

Qué cambia respecto de la ley antigua

Con la Ley 19.628 una persona que quería corregir o borrar sus datos tenía que ir a un juzgado civil si la empresa no respondía, y las multas eran bajas. Con la reforma aparece una autoridad administrativa dedicada, derechos nuevos y deberes que antes no existían para las empresas, como avisar de una filtración.

Si quieres el contraste punto por punto, lo armamos en otra guía: Ley 19.628 frente a la Ley 21.719. Aquí nos quedamos con lo que tu empresa tiene que hacer.

Las obligaciones, en 10 puntos

Estos son los deberes que más trabajo dan en una empresa común, con el artículo de la ley reformada donde está cada uno:

• Tener una razón para cada dato (arts. 12 y 13). Consentimiento libre, informado, específico y previo, o alguna de las otras bases: un contrato con la persona, una obligación legal o un interés legítimo que no pase por encima de sus derechos.
• Pedir solo lo necesario y no guardarlo para siempre (art. 3). El principio de proporcionalidad dice que los datos se conservan solo el tiempo necesario para su fin; después se borran o se anonimizan.
• Publicar cómo tratas los datos (art. 14 ter). En tu sitio web o un medio equivalente: tu política de tratamiento con fecha y versión, quién es el responsable y un canal para que te escriban.
• Responder a las personas (arts. 4 y 11). Acceso, rectificación, supresión, oposición, portabilidad y bloqueo. Hay 30 días corridos para contestar, prorrogables una vez por otros 30.
• Cuidar la seguridad (art. 14 quinquies). Medidas proporcionales al riesgo y al tipo de dato, que protejan la confidencialidad, la integridad y la disponibilidad.
• Reportar las filtraciones (art. 14 sexies). A la Agencia, sin demora, cuando haya riesgo razonable para las personas. Si son datos sensibles, de niños menores de 14 años o financieros, también a los afectados.
• Controlar a tus proveedores (art. 15 bis). Quien trata datos por encargo tuyo, desde la plataforma del bot hasta la agencia de marketing, solo puede usarlos para lo que le encargaste.
• Evaluar el impacto antes de ciertos usos (art. 15 ter). Obligatorio en tratamiento masivo, en perfiles automatizados con efectos importantes o en datos sensibles sin consentimiento.
• Cuidar las decisiones automáticas (art. 8 bis). La persona puede oponerse a decisiones basadas solo en un tratamiento automatizado que la afecten de forma significativa, y pedir intervención humana.
• Revisar a dónde viajan los datos (art. 27). Enviar datos a otro país exige un país con protección adecuada, cláusulas contractuales u otra vía que la ley permita.

Multas y atenuantes

El artículo 35 de la ley fija tres niveles: las infracciones leves se sancionan con amonestación escrita o multa de hasta 5.000 UTM, las graves con hasta 10.000 UTM y las gravísimas con hasta 20.000 UTM. Si la empresa no corrige en el plazo que fije la Agencia, que no puede pasar de 60 días, la multa sube un 50%.

Para las empresas que no son de menor tamaño y reinciden en una infracción grave o gravísima, la multa puede llegar al 2% o al 4% de sus ingresos anuales del último año calendario, lo que resulte más gravoso. Las empresas de menor tamaño tienen un respiro acotado: durante los primeros doce meses la Agencia podrá aplicarles solo una amonestación escrita (artículo sexto transitorio). Podrá, no deberá.

El artículo 36 enumera los atenuantes: reparar el daño por iniciativa propia, colaborar con la investigación, no tener sanciones previas, autodenunciarse con medidas de mitigación y haber cumplido los deberes de dirección y supervisión, lo que se acredita con un modelo de prevención de infracciones aprobado por la Agencia. Ese modelo parte por designar a un delegado de protección de datos.

Dónde están los datos en tu operación

Ninguna empresa guarda los datos de sus clientes en un solo lugar. Antes de redactar políticas conviene hacer el inventario real, porque la persona que pida borrar sus datos va a esperar que se borren de todos lados.

El WhatsApp de ventas

Nombres, direcciones, fotos de la casa o del producto, a veces un RUT o un dato de salud. Casi siempre en el celular de una persona, sin plazo de borrado y sin respaldo ordenado. Es el lugar donde más datos se acumulan sin que nadie lo decida.

Planillas y CRM

La planilla que alguien bajó del CRM hace dos años y sigue en su computador es una copia más. Cada exportación es un lugar que hay que conocer y, si no tiene motivo, eliminar.

Formularios y sitio web

El formulario de contacto debe decir para qué se piden los datos. Las herramientas de medición y publicidad del sitio también tratan datos de los visitantes.

Chatbots y automatizaciones

Un bot guarda conversaciones completas y a veces las procesa un modelo de IA fuera de Chile. Eso toca los puntos de proveedores, seguridad y transferencia internacional al mismo tiempo. Lo desarrollamos en chatbots y datos personales.