Multas de la Ley 21.719: cuánto son en pesos y a quién se le aplican

Cuando la Ley 21.719 entra en la conversación de una PyME, una de las primeras dudas que aparece es cuánto le pueden cobrar si algo sale mal. La respuesta tiene dos partes que conviene no mezclar. El tope legal es el mismo para todos, sin importar el tamaño de la empresa: no hay tramos distintos para PyMEs. Lo que sí cambia es la exposición real, que para una empresa chica se juega mucho antes de ese titular de $1.433 millones. Aquí está el detalle, artículo por artículo, con las conversiones a pesos y la fecha del valor UTM usado.

¿Cuánto son las multas de la Ley 21.719?

El artículo 35 de la Ley 21.719 fija tres topes de multa según la gravedad de la infracción. Las infracciones leves se sancionan con amonestación escrita o con multa de hasta 5.000 UTM. Las graves, con multa de hasta 10.000 UTM. Las gravísimas, con multa de hasta 20.000 UTM. Son topes máximos, no montos fijos: la Agencia de Protección de Datos Personales gradúa el monto dentro de ese rango según el caso concreto.

Los montos en pesos de esa tabla son referenciales y están calculados con la UTM de agosto de 2026. La multa que efectivamente se cursaría se calcula con la UTM vigente al momento de la sanción. Si todavía no tienes claro qué obligaciones concretas generan estas sanciones, parte por la explicación de qué es la Ley 21.719 y a quién obliga antes de seguir con los montos.

¿Cuánto vale la UTM y por qué el monto cambia cada mes?

La UTM es la Unidad Tributaria Mensual, una unidad de cuenta que se reajusta mensualmente según la variación del IPC y cuyo valor publica el Servicio de Impuestos Internos. En agosto de 2026 el valor oficial de la UTM es de $71.649, el mismo que en julio de 2026. Para septiembre de 2026 la proyección del SII es de $71.721. Los valores de octubre a diciembre de 2026 todavía no están publicados a la fecha de este artículo. Por eso cualquier tabla de multas expresada en pesos envejece rápido: la referencia dura es la cifra en UTM, y el peso es solo una traducción con fecha.

¿Hay multas más bajas para las PyMEs?

No. La ley no establece ningún umbral por tamaño de empresa ni deja exenta a ninguna PyME: el artículo 1° alcanza a todo tratamiento de datos personales que realice una persona natural o jurídica. Los topes del artículo 35 son los mismos para una empresa de tres personas y para un banco. Lo que sí existe es proporcionalidad. El artículo 14 septies, titulado 'Diferenciación de estándares de cumplimiento', ordena que los estándares mínimos del deber de información (artículo 14 ter) y del deber de seguridad (artículo 14 quinquies) se determinen considerando el tipo de dato, si el responsable es persona natural o jurídica, el tamaño de la entidad según el artículo 2 de la Ley 20.416, la actividad que desarrolla y el volumen, la naturaleza y la finalidad de los datos tratados. Hay una precisión que cambia el panorama: esos estándares diferenciados los fija la Agencia mediante instrucción general, y a la fecha de este artículo esa instrucción no existe, porque la Agencia todavía no está constituida. O sea, el estándar concreto y proporcionado exigible a una PyME todavía no está escrito. Los deberes de la ley, en cambio, sí lo están.

¿Qué es una infracción leve, una grave y una gravísima?

La ley clasifica las infracciones en tres categorías, en los artículos 34, 34 bis, 34 ter y 34 quáter. La calificación se hace según la gravedad de la conducta respecto de los principios del artículo 3° y respecto de los derechos y obligaciones que la ley establece. Esos principios son ocho: licitud y lealtad, finalidad, proporcionalidad, calidad, responsabilidad, seguridad, transparencia e información, y confidencialidad. Dicho simple: no es una lista de precios donde cada conducta tiene su etiqueta, sino una escala en la que la autoridad debe encuadrar el hecho concreto y fundamentarlo.

¿Cuándo se aplica el recargo de 50% por no subsanar?

El artículo 35 agrega tres reglas de cuantía que conviene leer con precisión, porque cambian el resultado final: el recargo por no subsanar, el multiplicador por reincidencia y un porcentaje sobre los ingresos que solo alcanza a empresas grandes reincidentes. Partamos por la primera. Si no corriges las causas que dieron origen a la infracción dentro de un plazo máximo de 60 días, la multa cursada sube un 50%. Un ejemplo con números: una infracción grave sancionada con 2.000 UTM pasa a 3.000 UTM si el problema sigue sin resolverse dentro de ese plazo. Es una regla evitable, porque depende de algo que está en tus manos: arreglar lo que la Agencia te señaló y dejar registro fechado de que lo arreglaste.

¿La multa se triplica automáticamente por reincidencia?

No automáticamente. La segunda regla de cuantía es la reincidencia: cuando una empresa vuelve a incurrir en una infracción, la Agencia podrá aplicar una multa de hasta tres veces el monto asignado a esa infracción. Fíjate en el verbo, porque ahí está todo: la ley dice 'podrá'. Es una facultad de la autoridad, no un aumento automático, y el tope es 'hasta' tres veces, no exactamente tres veces. Además se aplica sobre el monto asignado a la infracción, no sobre el tope de la categoría, que es una diferencia enorme en la práctica: triplicar una multa de 500 UTM no tiene nada que ver con triplicar el techo de 10.000 UTM.

¿El 2% y el 4% de los ingresos aplica a mi PyME?

Muy probablemente no. Esta es la tercera regla de cuantía del artículo 35, y el titular que circula —'multas de hasta el 4% de las ventas'— deja fuera las dos condiciones que la ley exige. El porcentaje sobre los ingresos anuales por ventas y servicios del último año calendario no es la regla general: solo entra en juego cuando se cumplen dos condiciones al mismo tiempo.

1. Que la empresa no califique como 'empresa de menor tamaño' según el artículo 2 de la Ley 20.416, que es la norma que define micro, pequeña y mediana empresa en Chile.
2. Que además reincida en una infracción grave, caso en que se habla del 2% de los ingresos, o en una infracción gravísima, caso en que se habla del 4%.

Cuando concurren esas dos condiciones, se aplica la cifra más gravosa entre ese porcentaje de los ingresos y el triple de la multa. Si tu empresa califica como de menor tamaño según la Ley 20.416, ese porcentaje no te alcanza y tu techo sigue siendo el del artículo 35 expresado en UTM. Los tramos exactos que definen cada categoría de la Ley 20.416 conviene confirmarlos con tu contador, porque determinan de qué lado de esa línea queda tu empresa. Y si estás dimensionando el esfuerzo total, mira también cuánto cuesta cumplir la Ley 21.719 antes de tomar decisiones basadas solo en el miedo a la multa.

¿Las PyMEs tienen un año de gracia?

No exactamente, y la diferencia importa. Lo que existe es una ventana transitoria en el artículo sexto transitorio de la ley.

Durante los primeros doce meses luego de la entrada en vigencia de esta ley, en los casos en que proceda alguna sanción para empresas calificadas como de menor tamaño (…) la Agencia podrá aplicar como sanción una amonestación por escrito.

Artículo sexto transitorio, Ley 21.719

Hay tres matices que cambian el sentido de esa frase. Primero, es una facultad de la Agencia, que 'podrá' aplicar la amonestación, no un derecho que tú puedas exigir. Segundo, no suspende ninguna obligación: los deberes de la ley rigen igual desde el 1 de diciembre de 2026, y la amonestación se aplica sobre una infracción que ya existió. Tercero, esa amonestación igual se inscribe en el Registro Nacional de Sanciones y Cumplimiento, que es público. O sea, la ventana amortigua el monto, no la exposición. La misma norma exige además que la amonestación señale la gravedad, la conducta y las atenuantes o agravantes consideradas.

¿Qué es el Registro Nacional de Sanciones y Cumplimiento?

Es un registro público, gratuito y electrónico que administra la Agencia, creado por el artículo 39 de la ley. Las anotaciones quedan de acceso público durante 5 años. Para una PyME que le vende a empresas grandes, a mutuales o al Estado, esa visibilidad puede pesar tanto como el monto de la multa, porque, una vez que el registro esté operativo, la anotación queda de acceso público para quien quiera consultarla. Es un buen argumento para revisar tus tratamientos antes y no después: una auditoría de protección de datos hecha con tiempo te deja corregir mientras todavía no hay nada que inscribir.

¿Pueden suspender las operaciones de tratamiento de mi empresa?

Sí, pero en un escenario acotado. El artículo 38 contempla una sanción accesoria: cuando se han aplicado multas por infracciones gravísimas reiteradas dentro de un período de 24 meses, la Agencia puede suspender las operaciones de tratamiento de datos hasta por 30 días, prorrogables indefinidamente por períodos sucesivos de máximo 30 días mientras no se dé cumplimiento. La suspensión no afecta el almacenamiento de los datos, solo su tratamiento. Para una empresa que factura, cobra, agenda o despacha usando datos de clientes, 30 días sin poder tratar datos golpea más fuerte que la multa. Un caso que conviene revisar antes es el control de asistencia con huella dactilar en el reloj control, porque involucra datos biométricos, que la ley trata como datos sensibles.

¿Hay alguna forma de que la multa se atenúe?

Sí, y está en la propia ley. El artículo 48 impone a todos los responsables el deber genérico de adoptar acciones de prevención de infracciones. Sobre eso, el artículo 49 abre una vía voluntaria: adoptar un modelo de prevención de infracciones, que debe contener al menos la designación de un delegado de protección de datos, la definición de sus medios y facultades, la identificación de los datos y titulares que tratas, la identificación de las actividades de riesgo, protocolos y procedimientos, mecanismos de reporte interno y de reporte a la autoridad para el caso del artículo 14 sexies, y sanciones administrativas internas. La Agencia certifica, registra y supervisa estos modelos; el certificado dura 3 años según el artículo 52 y tenerlo opera como atenuante. También abre la vía de garantías adecuadas para transferencias internacionales, pero con una condición que conviene leer completa: el artículo 27 letra c) exige que ambas partes de la transferencia adopten un modelo de cumplimiento o certificación con garantías adecuadas, de modo que el certificado propio no habilita por sí solo la transferencia. Dos precisiones honestas: el modelo es voluntario, y mientras la Agencia no esté constituida no hay todavía quien pueda certificarlo. Nada de eso impide dejarlo armado antes. Conviene saber también que el delegado de protección de datos no es obligatorio por sí solo —el artículo 50 dice que el responsable 'podrá' designarlo— y que en micro, pequeñas y medianas empresas el dueño o sus máximas autoridades pueden asumir personalmente esas tareas.

¿En cuánto tiempo prescriben las infracciones?

El artículo 40 establece que las acciones para perseguir la responsabilidad por infracciones a la ley prescriben en 4 años. Ese plazo tiene una consecuencia práctica que conviene no pasar por alto: los respaldos con los que acreditas cumplimiento —consentimientos, versiones fechadas de tu política de tratamiento, evidencia de tus medidas de seguridad, respuestas a solicitudes de titulares— tienen que sobrevivir ese período. Documentar bien no es burocracia: es tu defensa cuando la carga de probar recae en ti.

¿Quién cursa las multas si la Agencia todavía no está constituida?

A la fecha de publicación de este artículo, 10 de agosto de 2026, y según el seguimiento de la IAPP y de la prensa especializada, el Consejo Directivo de la Agencia de Protección de Datos Personales todavía no ha sido nombrado. El 20 de mayo de 2026 el Senado desestimó la terna de consejeros propuesta por el Presidente, porque la propuesta no alcanzó el quórum de dos tercios de los senadores en ejercicio que exige el artículo 30 quáter. En la práctica, mientras el Consejo Directivo no esté constituido resulta difícil que la Agencia pueda ejercer la potestad sancionadora del artículo 30 bis, letra e). Eso no suspende las obligaciones: solo posterga de hecho la fiscalización.

Hay dos piezas más de contexto que conviene tener. La primera es normativa. La Ley 21.806, publicada el 5 de febrero de 2026, modificó el artículo cuarto transitorio de la Ley 21.719: adelantó el plazo de la primera designación de consejeros a 'seis meses antes' de la entrada en vigencia —plazo que, según ese cómputo, se cumplió a comienzos de junio de 2026 sin Consejo designado—, incorporó una regla de silencio positivo, según la cual si el Senado no se pronuncia sobre la propuesta dentro del plazo esta se entiende aceptada sin más trámite, y dispuso que toda instrucción o norma general que dicte el Consejo antes de la entrada en vigencia solo tendrá fuerza obligatoria desde el 1 de diciembre de 2026. Lo que la Ley 21.806 no hizo fue mover la fecha de vigencia ni tocar una sola obligación sustantiva.

La segunda es política y está en curso. El 6 de agosto de 2026, según reportes de prensa especializada, el biministro de Economía Daniel Mas declaró que el Gobierno evalúa postergar la entrada en vigencia de la ley, precisamente por la inexistencia del Consejo Directivo. Ahora la parte importante: a la fecha de publicación no hay ninguna ley publicada que cambie la fecha. La entrada en vigencia legalmente vigente sigue siendo el 1 de diciembre de 2026 y las obligaciones que trae siguen en pie. Que se discuta una postergación es un hecho reportado; que ocurra, todavía no. Planificar asumiendo que se va a postergar es apostar, y el costo de equivocarse lo paga tu empresa.

Qué parte de esto es trabajo jurídico

Conviene decirlo con claridad antes de cualquier checklist: buena parte de lo que define tu exposición no se resuelve con una lista de tareas. Calificar si un tratamiento concreto cabe en el interés legítimo del artículo 13 letra d) sin afectar los derechos y libertades del titular, decidir si una segmentación por situación socioeconómica activa el régimen reforzado de datos sensibles del artículo 16, redactar el contrato con encargados que exige el artículo 15 bis con su objeto, duración, finalidad, tipos de datos y categorías de titulares, evaluar si un tratamiento gatilla la evaluación de impacto del artículo 15 ter, y sostener una posición fundada ante la Agencia o ante tribunales: todo eso es interpretación jurídica y criterio profesional. Es el trabajo de un abogado especializado en protección de datos, y conviene involucrarlo temprano, cuando todavía se puede diseñar el tratamiento, y no cuando ya hay un expediente abierto.

Qué hacer ahora para bajar tu exposición

1. Levanta qué datos personales tratas hoyClientes, trabajadores, postulantes, proveedores, cámaras, formularios web, WhatsApp. Anota qué dato recolectas, para qué, dónde vive y cuánto tiempo lo guardas. A diferencia del RGPD europeo, la ley chilena no obliga a llevar un registro de actividades de tratamiento: esa obligación no existe en el texto. Pero sin ese levantamiento no puedes acreditar cumplimiento cuando la carga de la prueba recae en ti, que es exactamente lo que ordenan el principio de responsabilidad del artículo 3° letra e) y el inciso final del artículo 12.
2. Define la base de licitud de cada tratamientoNo todo requiere consentimiento. Junto a la regla general del artículo 12, el artículo 13 admite cinco bases adicionales: el tratamiento de datos de obligaciones económicas, financieras, bancarias o comerciales conforme al Título III; el cumplimiento de una obligación legal; la celebración o ejecución de un contrato con el titular o medidas precontractuales adoptadas a su solicitud; el interés legítimo del responsable o de un tercero, siempre que con ello no se afecten los derechos y libertades del titular, quien además tiene derecho a ser informado de cuál es ese interés; y la formulación, ejercicio o defensa de un derecho ante tribunales u órganos públicos. Elegir mal la base deja el tratamiento sin respaldo, y es el responsable quien debe acreditar la licitud.
3. Publica la información del artículo 14 terLa ley exige mantener permanentemente a disposición del público, en tu sitio web o medio equivalente, al menos doce ítems: (1) la política de tratamiento con fecha y versión; (2) la individualización del responsable, de su representante legal y del encargado de prevención si existe; (3) un canal de contacto para solicitudes; (4) las categorías de datos, el universo de personas, los destinatarios, las finalidades y la base de legitimidad de cada tratamiento, indicando cuál es el interés legítimo cuando esa sea la base invocada; (5) la política y las medidas de seguridad; (6) los derechos de acceso, rectificación, supresión, oposición y portabilidad; (7) el derecho a recurrir ante la Agencia; (8) las transferencias internacionales, señalando si el país de destino ofrece un nivel adecuado o qué garantías las justifican; (9) el período de conservación; (10) la fuente de los datos y si provienen de fuentes de acceso público; (11) el derecho a retirar el consentimiento; y (12) la existencia de decisiones automatizadas y perfilamiento, con información significativa sobre la lógica aplicada y sus consecuencias previstas. Una política genérica copiada de internet no cumple.
4. Deja acreditadas tus medidas de seguridadEl artículo 14 quinquies exige un estándar basado en riesgo, considerando el estado actual de la técnica y los costos de aplicación, con el objetivo de asegurar confidencialidad, integridad, disponibilidad y resiliencia. Menciona expresamente seudonimización y cifrado, la capacidad de restaurar la disponibilidad y el acceso ante un incidente, y verificaciones, evaluaciones y valoraciones regulares de la eficacia. Y pone sobre el responsable la carga de acreditar la existencia y el funcionamiento de esas medidas cuando hay un incidente y se genera controversia. Guarda evidencia fechada.
5. Arma el procedimiento para responder a los titularesDebes acusar recibo y pronunciarte a más tardar dentro de 30 días corridos desde el ingreso de la solicitud, prorrogables por una sola vez hasta por 30 días corridos más. Ojo: son días corridos, no hábiles. Si deniegas total o parcialmente, la respuesta debe ser fundada e informar al titular que tiene 30 días hábiles para reclamar ante la Agencia. Guarda respaldo de la remisión, su fecha y el contenido íntegro de la respuesta. Y considera que los derechos no son solo acceso, rectificación, supresión y oposición: la ley suma bloqueo, portabilidad y oposición a decisiones automatizadas y perfilamiento.

Ese frente operativo y documental —levantar qué datos tratas, ordenar la evidencia, versionar la política del artículo 14 ter, dejar acreditadas las medidas del artículo 14 quinquies y mantener todo eso trazable durante los 4 años de prescripción del artículo 40— es trabajo de inventario y de método, y se puede hacer por partes. Para ese frente existe la auditoría en línea de Check21, que entrega un informe de brechas, un plan de acción priorizado, las matrices de tratamiento y un kit documental para partir, por $49.990 CLP en un pago único.