Qué exige la ley, a quién alcanza, qué arriesgas y cómo cumplir. Cada artículo empieza con la respuesta corta, para que no tengas que leer todo si solo viniste a resolver una duda.
Marco legal
La Ley 21.719 es la norma chilena que regula el tratamiento de datos personales y crea la Agencia de Protección de Datos Personales; se publicó en el Diario Oficial el 13 de diciembre de 2024 y entra en vigencia el 1 de diciembre de 2026. No deroga la Ley 19.628: la modifica casi por completo y le cambia el nombre, por lo que la norma vigente se seguirá citando como Ley 19.628 sobre protección de los datos personales. Aplica a toda persona natural o jurídica y a los órganos públicos que traten datos personales, sin exención por tamaño de empresa, e incluso a empresas extranjeras que ofrezcan bienes o servicios a personas que se encuentren en Chile.
Sanciones y multas
El artículo 35 de la Ley 21.719 sanciona las infracciones leves con amonestación escrita o multa de hasta 5.000 UTM, las graves con multa de hasta 10.000 UTM y las gravísimas con multa de hasta 20.000 UTM. Con la UTM de agosto de 2026, que es de $71.649, ese tope máximo equivale aproximadamente a $1.433 millones. El 2% y el 4% de los ingresos anuales solo se aplica a empresas que no califican como de menor tamaño según la Ley 20.416 y que además reinciden en infracciones graves o gravísimas, de modo que no es la regla general ni alcanza a una PyME típica. La Ley 21.719 entra en vigencia el 1 de diciembre de 2026.
Costos y presupuesto
A agosto de 2026, en nuestra revisión de páginas de precios de proveedores no encontramos otra tarifa publicada y fija para adecuarse a la Ley 21.719: la auditoría en línea de Check21 cuesta $49.990 CLP en pago único e incluye informe de brechas, plan de acción priorizado, matrices de tratamiento y kit documental; su alcance es el diagnóstico y la base documental, no el análisis jurídico del caso concreto. Las demás alternativas —software de cumplimiento por suscripción y asesoría jurídica por honorarios— se cotizan según el alcance de cada encargo, porque comprometer un precio antes de conocer el caso no sería serio; por eso cualquier rango que circule es referencial y no una cotización. El costo total depende de cuántos tratamientos tenga la empresa y de si maneja datos sensibles, biometría, datos de niños y niñas menores de 14 años o transferencias internacionales, casos en que corresponde sumar asesoría jurídica especializada desde el inicio.
Cumplimiento normativo
La Ley 21.719 no obliga a contratar un abogado ni a designar un delegado de protección de datos: el artículo 50 dice que el responsable "podrá" designarlo, y solo se vuelve exigible dentro de un modelo de prevención de infracciones, que el artículo 49 declara voluntario. Para tratamientos estándar hay tareas operativas y documentales que tu propio equipo puede ejecutar: levantar qué datos tratas y con qué base de licitud, publicar los 12 deberes de información del artículo 14 ter, habilitar el canal de solicitudes del artículo 11 y firmar contratos con tus encargados conforme al artículo 15 bis. Cuando hay datos sensibles, biometría, transferencias internacionales, un reclamo ante la Agencia o un modelo de prevención certificado, la interpretación jurídica es indispensable y corresponde a un abogado especialista. Son dos trabajos distintos y ambos hay que hacerlos.
Guías de cumplimiento
Implementar la Ley 21.719 son siete pasos: inventariar los tratamientos de datos personales, asignar a cada uno una base de licitud del artículo 12 o 13, publicar la información del artículo 14 ter con fecha y versión, habilitar el canal para responder solicitudes dentro de 30 días corridos, firmar contratos con los encargados según el artículo 15 bis, definir medidas de seguridad y el procedimiento ante vulneraciones del artículo 14 sexies, y dejar evidencia fechada de todo lo anterior. El plazo legal vigente para tener esto operativo es el 1 de diciembre de 2026.
Obligaciones documentales
La Ley 21.719 no impone a las empresas privadas la obligación de llevar un "registro de actividades de tratamiento": esa expresión no aparece en el texto de la ley chilena y proviene del artículo 30 del GDPR europeo. Lo que sí exige Chile es poder acreditar el cumplimiento, porque el principio de responsabilidad del artículo 3 letra e), la carga de probar el consentimiento del artículo 12 y el deber de demostrar las medidas de seguridad del artículo 14 quinquies recaen sobre el responsable. Por eso documentar tus tratamientos sigue siendo la forma práctica de acreditar lo que hiciste ante la Agencia, aunque el formato no esté impuesto por la ley.
Contratos y proveedores
El artículo 15 bis de la Ley 21.719 exige que el tratamiento realizado por un encargado se rija por un contrato que establezca al menos seis elementos: objeto del encargo, duración, finalidad del tratamiento, tipo de datos personales tratados, categorías de titulares y los derechos y obligaciones de las partes. El encargado no puede subcontratar sin autorización específica y por escrito, y si delega sigue siendo solidariamente responsable. Cumplida la prestación del servicio, debe suprimir o devolver los datos al responsable, según corresponda. Si trata los datos con un objeto distinto al encargo o los cede sin autorización, pasa a ser considerado responsable para todos los efectos legales: responde personalmente por las infracciones y solidariamente con el responsable de datos por los daños ocasionados.
Documentos de cumplimiento
El artículo 14 ter de la Ley 21.719 obliga al responsable a mantener permanentemente a disposición del público, en su sitio web o medio equivalente, al menos 12 ítems de información. El primero es la política de tratamiento de datos personales que hayas adoptado, con su fecha y versión; los otros once son la información que en la práctica se publica dentro de esa misma política. Entre ellos están la base de legitimidad de cada tratamiento, el período de conservación de los datos y la existencia de decisiones automatizadas o perfilamiento con información significativa sobre la lógica aplicada. Esos tres, más la fecha y versión de la letra a), son los que una política genérica copiada de otro sitio no puede traer, porque dependen de tu operación concreta. La obligación rige desde el 1 de diciembre de 2026.
Recursos Humanos
La huella dactilar es un dato biométrico y, por eso, dato sensible del artículo 2 letra g). El artículo 16 ter permite tratarla sólo con el consentimiento expreso del artículo 16 inciso primero, y obliga a informar al trabajador el sistema usado, la finalidad, el período de uso y cómo ejercer sus derechos. No queda prohibida, pero sí condicionada.
Cumplimiento normativo
Una auditoría de cumplimiento de la Ley 21.719 revisa ocho frentes: mapa de tratamientos, base de licitud, datos sensibles, información al público del artículo 14 ter, derechos de los titulares, seguridad y registro de vulneraciones, contratos con encargados y transferencias internacionales. Termina en un informe de brechas con plan de acción priorizado, matrices de tratamiento, kit documental y registro de evidencia fechado. En formato en línea cuesta $49.990 CLP de pago único y el informe se genera al terminar el cuestionario guiado. Cuando hay datos sensibles, biometría, transferencias internacionales o un conflicto en curso, corresponde sumar asesoría jurídica sobre el caso concreto.