Cómo implementar la Ley 21.719 paso a paso (y quién hace cada parte)

Si tienes una empresa en Chile y ya sabes que la Ley 21.719 entra en vigencia el 1 de diciembre de 2026, la pregunta que sigue no es qué dice la ley, sino qué tienes que hacer tú. Esta guía ordena la implementación en siete pasos, con el artículo exacto que respalda cada uno, y agrega una distinción que te va a ordenar el trabajo: qué parte exige criterio jurídico y qué parte es proceso repetible que tu equipo puede ejecutar. Un detalle técnico que conviene tener claro desde el principio: la Ley 21.719 no deroga la Ley 19.628, la modifica y le cambia el nombre, así que desde diciembre de 2026 la norma vigente se seguirá citando como Ley 19.628, sobre protección de los datos personales.

¿Cómo se implementa la Ley 21.719 en una empresa?

La forma más útil de mirar la implementación es por lo que produce. Al terminar deberías tener siete entregables sobre la mesa: el inventario de tratamientos, la matriz de bases de licitud, la política del artículo 14 ter publicada con fecha y versión, el procedimiento escrito para responder solicitudes de titulares, los contratos con cada encargado, la documentación de medidas de seguridad junto a su protocolo de vulneraciones, y la carpeta de evidencia fechada. Cada paso de esta guía produce uno de esos entregables, con el artículo que lo respalda.

Antes de entrar, dos precisiones de alcance. No hay umbral de tamaño: la ley aplica a todo tratamiento de datos personales que realice una persona natural o jurídica, incluidos los órganos públicos, sin importar cuántos trabajadores tengas ni cuánto factures. Y tampoco hay frontera que te deje afuera si vendes hacia Chile desde otro país: el artículo 1° bis extiende la aplicación a responsables no establecidos acá cuando sus operaciones están destinadas a ofrecer bienes o servicios a titulares que se encuentren en Chile, con o sin pago, o a monitorear su comportamiento, incluido el rastreo, el perfilamiento y la predicción de conducta. Las exclusiones expresas del artículo 1° son dos: el ejercicio de las libertades de emitir opinión e informar, y el tratamiento que hacen las personas naturales en relación con sus actividades personales.

Entender la ley y aplicarla son dos trabajos distintos y complementarios

Antes de entrar en los pasos conviene despejar una confusión que aparece apenas se empieza. Interpretar la norma, resolver casos dudosos y defender a la empresa frente a la autoridad es trabajo jurídico: requiere criterio, responsabilidad profesional y conocimiento del contexto legal chileno. Levantar qué datos tratas, dónde viven, con qué proveedores los compartes y documentarlo con fecha es otra cosa: es un proceso repetible, con formato estable, que se puede sistematizar. Las dos partes son necesarias y ninguna reemplaza a la otra. Lo que sí cambia es el orden. El criterio jurídico rinde mucho más cuando llega con el inventario sobre la mesa: así el abogado dedica su tiempo a lo que solo él puede resolver —ponderar interés legítimo, calificar datos sensibles, fundamentar una denegación, diseñar la posición de la empresa— en vez de partir reconstruyendo qué datos tratas. Por eso conviene llevar el levantamiento hecho.

Los siete pasos, en orden

1. Levantar el inventario de tratamientos de datosIdentifica cada actividad en la que tu empresa recolecta, guarda o usa datos personales: clientes, trabajadores, postulantes, proveedores, cámaras, formularios web. Anota qué datos, de quién, para qué, dónde se guardan y cuánto tiempo.
2. Asignar una base de licitud a cada tratamientoPor cada tratamiento del inventario, define si se apoya en el consentimiento del artículo 12 o en alguna de las cinco fuentes del artículo 13, como la ejecución de un contrato o el interés legítimo. La carga de acreditar la licitud es tuya.
3. Publicar la información del artículo 14 terMantén permanentemente disponible en tu sitio web, o medio equivalente, una política de tratamiento con fecha y versión que cubra los doce ítems del artículo 14 ter, incluidas las bases de legitimidad y los plazos de conservación.
4. Habilitar el canal de derechos y cumplir el plazo de 30 días corridosDesigna un correo o formulario para recibir solicitudes, acusa recibo y pronúnciate dentro de 30 días corridos, prorrogables por una sola vez hasta 30 días corridos más, según el artículo 11. Guarda respaldo de cada respuesta.
5. Firmar contratos con los encargadosTodo proveedor que trate datos por encargo tuyo debe estar cubierto por un contrato que fije objeto, duración, finalidad, tipo de datos, categorías de titulares y derechos y obligaciones de las partes, conforme al artículo 15 bis.
6. Definir medidas de seguridad y el procedimiento ante vulneracionesAdopta medidas técnicas y organizativas proporcionales al riesgo (artículo 14 quinquies) y escribe el procedimiento para reportar vulneraciones a la Agencia sin dilaciones indebidas, además del registro interno que exige el artículo 14 sexies.
7. Dejar evidencia fechada de cada decisiónDocumenta cuándo decidiste cada cosa, quién la aprobó y en qué te basaste. El principio de responsabilidad del artículo 3 letra e y la carga probatoria del artículo 14 quinquies hacen que sin evidencia no puedas acreditar cumplimiento.

Paso 1: levantar el inventario de tratamientos de datos

Aquí hay que ser preciso, porque circula un error que un abogado detecta en segundos: la Ley 21.719 no impone un "registro de actividades de tratamiento" como obligación autónoma. Esa figura viene del artículo 30 del Reglamento europeo y no está en el texto chileno. Lo que sí ocurre es que el principio de responsabilidad del artículo 3 letra e, la carga de la prueba del consentimiento que el artículo 12 pone sobre el responsable y el deber de acreditar las medidas de seguridad del artículo 14 quinquies hacen que documentar tus tratamientos sea prácticamente la única forma de acreditar cumplimiento. Los únicos registros que la ley sí nombra son otros dos: el registro interno de vulneraciones del artículo 14 sexies y el Registro Nacional de Sanciones y Cumplimiento del artículo 39, que administra la Agencia y no las empresas. Si quieres entender bien esa diferencia antes de armar la planilla, revisa nuestro análisis sobre si el registro de actividades de tratamiento es obligatorio en Chile. En la práctica, el inventario es la pieza de la que cuelgan los seis pasos siguientes: sin él no puedes asignar bases de licitud ni redactar la política del artículo 14 ter.

Paso 2: asignar una base de licitud a cada tratamiento

La regla general del artículo 12 es el consentimiento, que debe ser libre, informado y específico en cuanto a su finalidad, previo e inequívoco, y revocable en cualquier momento sin expresión de causa y sin efecto retroactivo. Los medios para otorgarlo y revocarlo deben ser expeditos, fidedignos, gratuitos y estar permanentemente disponibles, y la carga de probar que lo obtuviste recae en ti. Hay además una presunción que conviene conocer antes de diseñar tus formularios: se presume que el consentimiento no fue libremente otorgado cuando se recaba en el marco de un contrato o servicio en que esa recolección no es necesaria. Pero no todo tratamiento necesita consentimiento. Estas son las cinco fuentes de licitud del artículo 13 que permiten tratar datos sin él:

• Datos de obligaciones económicas, financieras, bancarias o comerciales tratados conforme al Título III de la ley.
• Cumplimiento de una obligación legal.
• Celebración o ejecución de un contrato con el titular, o medidas precontractuales solicitadas por él.
• Interés legítimo del responsable o de un tercero, siempre que no se afecten los derechos y libertades del titular, informando al titular cuál es ese interés.
• Formulación, ejercicio o defensa de un derecho ante tribunales u órganos públicos.

Este es el paso donde más se necesita criterio, sobre todo con el interés legítimo, que exige que no se afecten los derechos y libertades del titular y que el titular pueda ser informado de cuál es ese interés. Y fíjate en un rasgo propio de la ley chilena que no tiene equivalente europeo: la situación socioeconómica es dato sensible según el artículo 2 letra g, así que si segmentas clientes por nivel socioeconómico estás tratando datos sensibles y aplica el régimen de consentimiento expreso del artículo 16.

Paso 3: publicar la información del artículo 14 ter

Este es el artículo que convierte una política de privacidad genérica en incumplimiento. El artículo 14 ter obliga a mantener permanentemente a disposición del público, en el sitio web o medio equivalente, al menos doce ítems de información. No basta con un texto copiado de internet: exige fecha y versión, la base de legitimidad de cada tratamiento, el período de conservación de los datos y, si usas decisiones automatizadas o perfilamiento, información significativa sobre la lógica aplicada y sus consecuencias previstas. Estos son los doce ítems, uno por uno, tal como los ordena la norma. Si estás partiendo desde cero, la guía sobre qué debe contener una política de privacidad bajo la Ley 21.719 los desarrolla con ejemplos de redacción.

1. Política de tratamiento de datos, con fecha y versión.
2. Individualización del responsable, de su representante legal y del encargado de prevención, si existe.
3. Canal de contacto para que los titulares presenten sus solicitudes.
4. Categorías de datos, universo de personas, destinatarios, finalidades y base de legitimidad de cada tratamiento; si es interés legítimo, cuál es.
5. Política y medidas de seguridad adoptadas.
6. Derechos de acceso, rectificación, supresión, oposición y portabilidad.
7. Derecho a recurrir ante la Agencia.
8. Transferencias internacionales, indicando si el país de destino ofrece nivel adecuado de protección o qué garantías las justifican.
9. Período de conservación de los datos.
10. Fuente de los datos y si provienen de fuentes de acceso público.
11. Derecho a retirar el consentimiento.
12. Existencia de decisiones automatizadas y perfilamiento, con información significativa sobre la lógica aplicada y sus consecuencias previstas.

Paso 4: habilitar el canal de derechos y el plazo de 30 días corridos

El artículo 11 fija el procedimiento: la solicitud se presenta por escrito al correo designado, al formulario de contacto o a un medio electrónico equivalente; tú debes acusar recibo y pronunciarte a más tardar dentro de 30 días corridos desde el ingreso, prorrogables por una sola vez hasta por 30 días corridos más. Son días corridos, no hábiles. Además debes almacenar respaldos que acrediten la remisión de la respuesta, su fecha y su contenido íntegro. Si deniegas total o parcialmente, la negativa debe ser fundada y tienes que informar al titular que dispone de 30 días hábiles para reclamar ante la Agencia, por el procedimiento del artículo 41. Y no son los cuatro derechos que se siguen llamando ARCO: la ley reconoce seis o siete facultades distintas, según cómo se cuente la oposición a decisiones automatizadas, repartidas en los artículos 5° a 9°.

Paso 5: firmar contratos con los encargados

Cada proveedor que trate datos personales por cuenta tuya —el sistema de remuneraciones, el CRM, la empresa de cobranza, la agencia que maneja tu base de correos— es un encargado, y el artículo 15 bis exige que esa relación se rija por un contrato que establezca objeto del encargo, duración, finalidad del tratamiento, tipo de datos tratados, categorías de titulares y derechos y obligaciones de las partes. El encargado no puede subcontratar sin tu autorización específica y por escrito, y si delega igual sigue siendo solidariamente responsable. Si trata los datos con un objeto distinto al encargo, o los cede sin autorización, pasa a ser considerado responsable para todos los efectos legales, responde personalmente por las infracciones y solidariamente por los daños. El encargado también debe cumplir el deber de secreto del artículo 14 bis y las medidas de seguridad del artículo 14 quinquies, y reportarte a ti cualquier vulneración. La ley dispone que la Agencia pondrá a disposición del público modelos tipo de contratos en su página web; mientras eso no ocurra, revisa qué cláusulas debe tener el contrato con un encargado de tratamiento para no quedarte esperando.

Paso 6: definir medidas de seguridad y el procedimiento ante vulneraciones

El artículo 14 quinquies pide medidas proporcionales al riesgo, considerando el estado actual de la técnica y los costos de aplicación, que aseguren confidencialidad, integridad, disponibilidad y resiliencia. Menciona expresamente la seudonimización y el cifrado, la capacidad de restaurar el acceso ante un incidente y la verificación y evaluación regulares de la eficacia. A esto se suman el deber de secreto del artículo 14 bis y la protección desde el diseño y por defecto del artículo 14 quáter. El punto que más pesa: ante un incidente y una controversia, la carga de acreditar que esas medidas existían y funcionaban es del responsable, es decir, tuya. Sobre las vulneraciones, hay un punto que conviene precisar antes de escribir tu procedimiento interno. El artículo 14 sexies obliga a reportar la vulneración a la Agencia cuando exista un riesgo razonable para los derechos y libertades de los titulares, y fija la exigencia temporal con estas palabras:

por los medios más expeditos posibles y sin dilaciones indebidas

Artículo 14 sexies incorporado por la Ley 21.719 (texto oficial BCN)

Paso 7: dejar evidencia fechada de cada decisión

Este paso no produce nada visible hacia afuera, y por eso se posterga; también es el que decide cómo te va si alguna vez tienes que responderle a la autoridad. Cumplir no es tener los documentos: es poder probar cuándo los tuviste. Deja fechado el inventario y sus actualizaciones, la decisión de base de licitud de cada tratamiento y su fundamento, las versiones de la política del artículo 14 ter, los contratos firmados con encargados, las pruebas de las medidas de seguridad y las evaluaciones de su eficacia, y el registro de solicitudes de titulares con su fecha de ingreso y de respuesta. Si además haces tratamiento masivo o a gran escala, monitoreo sistemático de zonas de acceso público, perfilamiento con efectos jurídicos significativos o tratas datos sensibles bajo las excepciones al consentimiento, el artículo 15 ter te obliga a realizar una evaluación de impacto previa al inicio del tratamiento, y esa evaluación también es evidencia.

¿Qué pasos requieren criterio jurídico y cuáles no?

De los siete pasos, tres son mayoritariamente operativos y documentales: el inventario, la publicación de la información del artículo 14 ter una vez que el contenido está decidido —decidir qué dice es mixto, publicarlo y versionarlo es operativo— y la evidencia fechada. Tres son mixtos: el canal de derechos, donde el procedimiento es proceso pero una denegación fundada es criterio legal; los contratos con encargados, donde el contenido mínimo lo fija el artículo 15 bis pero la negociación con cada proveedor requiere lectura jurídica; y las medidas de seguridad, donde implementar cifrado o seudonimización es trabajo técnico pero calificar qué resulta proporcional al riesgo es criterio. Y uno concentra el criterio jurídico por sobre todos: la asignación de bases de licitud, sobre todo cuando entra el interés legítimo o los datos sensibles. Trabajar en ese orden hace que cada especialidad entre donde aporta más.

Fuera de estos siete pasos quedan dos frentes que son estrictamente jurídicos de principio a fin: la evaluación de impacto del artículo 15 ter, que debe hacerse antes de iniciar el tratamiento cuando sea probable un alto riesgo, y cualquier defensa de la empresa en un procedimiento sancionatorio ante la Agencia. Ninguno de los dos es una tarea que se resuelva con plantillas. Si quieres precisar en qué puntos conviene apoyarte en un abogado, revisa el análisis sobre en qué casos conviene un abogado para la Ley 21.719.

Vale la pena aclarar otro punto que genera confusión: el delegado de protección de datos no es obligatorio por sí solo. El artículo 50 dice que el responsable "podrá" designarlo, y solo se vuelve exigible como primer componente de un modelo de prevención de infracciones que el artículo 49 declara voluntario. Ese modelo tiene, eso sí, un incentivo concreto: la Agencia lo certifica por tres años y adoptarlo opera como atenuante y como vía de garantías adecuadas para transferencias internacionales. Además, la ley señala expresamente que en micro, pequeñas y medianas empresas el dueño o sus máximas autoridades pueden asumir personalmente las tareas de delegado. Si se designa, debe nombrarlo la máxima autoridad directiva y tener autonomía respecto de la administración.

¿Cuánto demora todo esto y por dónde empezar si quedan pocas semanas?

El tiempo total depende de cuántos sistemas, planillas y proveedores tengas, y de una variable que no controlas: el paso 5 avanza al ritmo al que respondan tus proveedores, porque un contrato del artículo 15 bis necesita dos firmas. Lo que no se puede improvisar es la evidencia: un documento fechado el 30 de noviembre de 2026 dice poco sobre cómo operabas antes. Si vas apretado de tiempo, este es un orden de prioridad razonable, porque cada ítem habilita al siguiente.

1. Inventario de tratamientos: sin él, ningún otro paso se puede hacer bien.
2. Bases de licitud de los tratamientos de mayor volumen o mayor sensibilidad.
3. Política del artículo 14 ter publicada, con fecha y versión.
4. Canal de derechos operativo y procedimiento escrito de 30 días corridos.
5. Contratos con los encargados críticos, partiendo por los que tratan más datos.
6. Medidas de seguridad documentadas y procedimiento ante vulneraciones.
7. Evidencia fechada y calendario de revisión.

Si prefieres partir con el levantamiento ya hecho, la auditoría en línea de Check21 entrega un informe de brechas, un plan de acción priorizado, las matrices de tratamiento y el kit documental que cubre la parte operativa y documental de los siete pasos de esta guía.

Qué pasa si el 1 de diciembre de 2026 no tienes esto listo

Los artículos 34 y siguientes clasifican las infracciones en leves, graves y gravísimas, y el artículo 35 fija los topes de multa en 5.000, 10.000 y 20.000 UTM respectivamente. Con la UTM de agosto de 2026, fijada por el Servicio de Impuestos Internos en $71.649, el tope de las gravísimas equivale a aproximadamente $1.433 millones; la cifra es referencial porque la UTM se reajusta todos los meses y lo que corre es el valor vigente al momento de la sanción. Ese tope máximo no es el escenario típico de una PyME, y conviene decirlo así. Tampoco es regla general el 2% o 4% de los ingresos anuales que a veces se cita: según el artículo 35 esa fórmula alcanza solo a empresas que no califican como de menor tamaño y que además reinciden en infracciones graves o gravísimas. Lo que sí conviene mirar de cerca son los agravantes de cuantía del mismo artículo 35: si no se subsanan las causas dentro de un plazo máximo de 60 días, la multa lleva un recargo de 50%, y ante reincidencia la Agencia puede aplicar hasta tres veces el monto asignado a la infracción. El artículo 40 fija en cuatro años la prescripción de las acciones para perseguir esta responsabilidad.

También existe el artículo sexto transitorio: durante los primeros doce meses de vigencia, la Agencia "podrá" aplicar una amonestación por escrito a las empresas calificadas como de menor tamaño. Es una facultad discrecional de la autoridad, no un derecho tuyo, no suspende la obligación de cumplir, y la amonestación igual se inscribe en el Registro Nacional de Sanciones y Cumplimiento del artículo 39, que es público, gratuito y electrónico, y donde cada anotación queda de acceso público durante cinco años. Vender esa ventana como "un año de gracia para las PyMEs" es inexacto en los dos sentidos.