¿Necesito un abogado para cumplir la Ley 21.719?

La Ley 21.719 entra en vigencia el 1 de diciembre de 2026 y, apenas se entra en el tema, una de las primeras dudas que aparece es la misma: ¿esto se resuelve contratando un abogado? La respuesta honesta depende de qué datos tratas. El cumplimiento avanza por dos vías que se necesitan mutuamente: la interpretación jurídica, que fija criterio y responde por él, y el levantamiento operativo, que reúne la información, la ordena y deja evidencia. Confundir una con la otra hace que se empiece por el final, o que se avance en lo documental y no se toque justo lo que exige criterio profesional.

¿Necesito un abogado para cumplir la Ley 21.719?

La ley no impone contratar un abogado ni designar un delegado: el artículo 50 dice que el responsable "podrá" designarlo, y el modelo de prevención del artículo 49 es expresamente voluntario. Lo que sí hace es asignarte obligaciones concretas como responsable de datos: informar, dar seguridad, responder solicitudes y contratar bien a quienes tratan datos por ti. Quién ejecuta cada tarea dentro de tu empresa, y en qué momento entra la revisión jurídica, es una decisión de organización tuya. Un apunte de precisión, porque un abogado lo nota de inmediato: técnicamente la Ley 21.719 no deroga la Ley 19.628, sino que la modifica y le cambia el nombre, de modo que desde el 1 de diciembre de 2026 la norma vigente se sigue citando como Ley 19.628, "sobre protección de los datos personales". Por comodidad, este artículo cita los artículos como de la 21.719, que es como circulan. Si quieres ver el orden completo de esas obligaciones, revisa la guía para implementar la Ley 21.719 paso a paso.

¿Qué exige la ley: abogado, delegado de protección de datos o ninguno de los dos?

Ninguno de los dos, como regla general. El delegado de protección de datos (la figura que en Europa se conoce como DPO) es voluntario en Chile. El artículo 50 de la Ley 21.719 lo dice en una sola frase, y la palabra clave es "podrá":

El responsable de datos podrá designar un delegado de protección de datos personales.

Artículo 50, Ley 21.719 (texto oficial BCN)

El único caso en que el delegado se vuelve exigible es dentro de un modelo de prevención de infracciones, y ese modelo también es opcional: el artículo 49 señala que los responsables "podrán voluntariamente" adoptarlo, y su primer elemento obligatorio es justamente la designación de un delegado. La obligación nace solo si tú eliges entrar a ese régimen, normalmente porque quieres la certificación de la Agencia, que dura 3 años (artículo 52), opera como atenuante ante una sanción y sirve además como garantía adecuada para transferencias internacionales (artículo 27 letra c). Distinto es el artículo 48, que sí impone a todos los responsables el deber genérico de adoptar acciones de prevención de infracciones. Ese deber está dirigido a la empresa como responsable de datos: exige que hagas cosas y que puedas demostrarlo, y deja en tu organización interna la decisión de quién las ejecuta.

¿Qué resuelve un especialista jurídico que no resuelve ninguna herramienta?

Hay decisiones que dependen de criterio profesional. Alguien tiene que interpretar una norma nueva, sin jurisprudencia y sin instrucciones generales de la autoridad todavía dictadas, calificar la situación de tu empresa y responder por esa calificación. Ese es el trabajo de un abogado especialista en protección de datos, y ninguna plantilla lo sustituye.

• Calificar la base de licitud cuando no hay consentimiento. El artículo 13 permite tratar datos sin consentimiento en cinco hipótesis: datos de obligaciones económicas, financieras, bancarias o comerciales tratados conforme al Título III; cumplimiento de una obligación legal; celebración o ejecución de un contrato con el titular o medidas precontractuales a solicitud de este; interés legítimo del responsable o de un tercero, siempre que no se afecten los derechos y libertades del titular; y formulación, ejercicio o defensa de un derecho ante tribunales u órganos públicos. Decidir si tu caso califica como interés legítimo, y dejar escrito por qué no afecta al titular, es un juicio jurídico. La ley pone sobre el responsable la carga de acreditar la licitud.
• Interpretar si tus datos son sensibles. En Chile la situación socioeconómica es dato sensible según el artículo 2 letra g), a diferencia del reglamento europeo. Si segmentas clientes por nivel socioeconómico estás tratando datos sensibles, y entonces aplica el consentimiento expreso del artículo 16 salvo que caigas en alguna de sus excepciones tasadas.
• Diseñar transferencias internacionales. Los artículos 27 a 29 admiten la transferencia cuando el destinatario está en un país con nivel adecuado determinado por la Agencia, cuando está amparada por cláusulas contractuales, normas corporativas vinculantes u otros instrumentos con garantías adecuadas, o cuando ambas partes adoptan un modelo de cumplimiento o certificación. Redactar esas garantías es trabajo contractual especializado.
• Defender a la empresa. Ante el reclamo de un titular ante la Agencia (procedimiento del artículo 41) o ante un procedimiento sancionatorio, necesitas representación técnica. Las acciones para perseguir la responsabilidad prescriben en 4 años (artículo 40), y las sanciones se anotan por 5 años en el Registro Nacional de Sanciones y Cumplimiento, que es público (artículo 39).
• Evaluar el impacto de tratamientos de alto riesgo. El artículo 15 ter obliga a una evaluación previa al inicio del tratamiento y la exige siempre en cuatro casos: perfilamiento o decisiones automatizadas con efectos jurídicos significativos, tratamiento masivo o a gran escala, monitoreo sistemático de zonas de acceso público, y datos sensibles tratados bajo las hipótesis de excepción del consentimiento.
• Estructurar y certificar un modelo de prevención de infracciones, si decides adoptarlo. El artículo 49 fija su contenido mínimo, desde la identificación de actividades de riesgo hasta los mecanismos de reporte interno y a la autoridad.

¿Qué parte del cumplimiento es trabajo de implementación?

Hay un bloque de tareas que no requiere calificación jurídica y sí mucho detalle. Implementación significa levantar información, ordenarla, publicarla y dejar evidencia. Es meticuloso y consume tiempo, y es exactamente donde tu equipo tiene ventaja: nadie conoce mejor tus sistemas, tus proveedores y por dónde circulan tus datos. Son cinco frentes concretos.

1. Documentar qué datos tratas y para quéOjo con un mito: la Ley 21.719 NO obliga a llevar un "registro de actividades de tratamiento" al estilo europeo. Esa obligación no existe en el texto chileno. Lo que sí existe es el principio de responsabilidad del artículo 3 letra e), la carga de la prueba del consentimiento que el artículo 12 pone sobre el responsable, y el deber del artículo 14 quinquies de acreditar la existencia y el funcionamiento de tus medidas de seguridad cuando hay controversia. Sin documentación no tienes con qué demostrar ninguna de las tres cosas.
2. Publicar los 12 deberes de información del artículo 14 terSon 12 ítems que deben estar permanentemente a disposición del público en tu sitio web o medio equivalente: a) política de tratamiento con fecha y versión; b) individualización del responsable, su representante legal y el encargado de prevención si existe; c) canal de contacto para solicitudes; d) categorías de datos, universo de personas, destinatarios, finalidades y base de legitimidad de cada tratamiento, indicando cuál es el interés legítimo cuando esa sea la base; e) política y medidas de seguridad; f) derechos de acceso, rectificación, supresión, oposición y portabilidad; g) derecho a recurrir ante la Agencia; h) transferencias internacionales, si el país ofrece nivel adecuado o qué garantías las justifican; i) período de conservación; j) fuente de los datos y si provienen de fuentes de acceso público; k) derecho a retirar el consentimiento; l) existencia de decisiones automatizadas y perfilamiento, con información significativa sobre la lógica aplicada y sus consecuencias previstas. Una política de privacidad genérica descargada de internet no cumple esto.
3. Habilitar el canal de solicitudes y el relojEl artículo 11 te da 30 días corridos para acusar recibo y pronunciarte, prorrogables por una sola vez hasta por 30 días corridos más. No son días hábiles. Los 30 días hábiles son el plazo que tiene el titular para reclamar ante la Agencia si deniegas su solicitud, y esa denegación total o parcial debe ser fundada. Además debes almacenar respaldos que acrediten la remisión de la respuesta, su fecha y su contenido íntegro.
4. Firmar contratos con tus encargadosTodo proveedor que trate datos por ti —nube, contabilidad externa, software de remuneraciones, agencia de marketing— necesita contrato con el contenido mínimo del artículo 15 bis: objeto del encargo, duración, finalidad del tratamiento, tipo de datos, categorías de titulares y derechos y obligaciones de las partes. El encargado no puede subcontratar sin autorización específica y por escrito, y debe cumplir además el deber de secreto del artículo 14 bis y las medidas de seguridad del artículo 14 quinquies. La ley encarga a la Agencia poner modelos tipo de contrato a disposición del público en su sitio web; a agosto de 2026 no consta que estén publicados, dado que la Agencia aún no se constituye.
5. Preparar el procedimiento de vulneracionesEl artículo 14 sexies exige reportar a la Agencia "por los medios más expeditos posibles y sin dilaciones indebidas" cuando la vulneración suponga un riesgo razonable para los derechos y libertades de los titulares. No son 72 horas: ese plazo es del reglamento europeo y el número 72 no aparece en la ley chilena. Sí es obligatorio llevar un registro interno de cada vulneración con su naturaleza, efectos, categorías de datos, número aproximado de afectados y medidas adoptadas. Y hay que comunicar además a los propios titulares cuando estén involucrados datos sensibles, datos de niños y niñas menores de 14 años, o datos de obligaciones económicas, financieras, bancarias o comerciales.

Este bloque es exactamente lo que resuelve una auditoría de protección de datos: identificar qué tratamientos existen en tu empresa, cuáles no tienen base de licitud declarada, qué documentos faltan y en qué orden conviene resolverlos. La auditoría en línea de Check21 entrega informe de brechas, plan de acción priorizado, matrices de tratamiento y kit documental base. Todo eso es capa de levantamiento y documentación: el mapa de qué hay y qué falta. La capa de criterio —si un interés legítimo se sostiene, si un tratamiento califica como sensible, cómo se redacta una garantía de transferencia— es un trabajo profesional distinto, y el diagnóstico existe para alimentarlo, no para sustituirlo.

Tarea, quién la ejecuta mejor y por qué

Árbol de decisión en cinco preguntas

Responde estas cinco preguntas sobre tu empresa. Si todas dan "no", el trabajo que tienes por delante es principalmente de levantamiento y documentación, y tu equipo puede avanzar con él. Un solo "sí" indica que hay una decisión de criterio en juego y conviene sentarse con un especialista antes de seguir.

1. ¿Tratas datos sensibles?Salud, biometría, origen étnico o racial, afiliación política, sindical o gremial, convicciones ideológicas o filosóficas, creencias religiosas, vida sexual, orientación sexual e identidad de género, perfil biológico humano y —particularidad chilena— situación socioeconómica. Si segmentas clientes por nivel socioeconómico o usas huella dactilar para el control de asistencia, la respuesta es sí.
2. ¿Envías datos personales fuera de Chile?Incluye guardar información en servidores extranjeros o usar un CRM alojado afuera. Si es así aplican los artículos 27 a 29, y a agosto de 2026 la Agencia todavía no ha determinado países con nivel adecuado ni aprobado cláusulas modelo, de modo que hay que apoyarse en garantías contractuales redactadas para tu caso o en las excepciones del artículo 27.
3. ¿Tomas decisiones automatizadas sobre personas?Scoring, perfilamiento, aprobación o rechazo automático. El artículo 8 bis da al titular derecho a oponerse a las decisiones individuales automatizadas y al perfilamiento, y el artículo 14 ter te obliga a publicar información significativa sobre la lógica aplicada y sus consecuencias previstas.
4. ¿Tratas datos de niños, niñas o adolescentes?El artículo 16 quáter define niños y niñas como menores de 14 años, cuyos datos requieren consentimiento de padres o representantes legales salvo autorización legal expresa. Los adolescentes de 14 a 17 se rigen por las reglas de los adultos, con una excepción: sus datos sensibles requieren consentimiento de padres o representantes cuando son menores de 16 años. No es "todos los menores de 18".
5. ¿Tienes un reclamo, un incidente o quieres certificar un modelo de prevención?Un titular que reclama, una vulneración de seguridad o la decisión de certificar el modelo del artículo 49 son escenarios de defensa y de diseño jurídico. Ahí el especialista entra desde el primer día, no al final.

¿Cuándo conviene sí o sí un especialista?

Además de los cinco casos anteriores, hay tres situaciones en que la asesoría especializada es determinante. La primera: cuando el tratamiento de datos es el negocio en sí y no un accesorio, como plataformas, marketplaces o empresas de datos. La segunda: cuando hay un contrato grande de por medio y tu cliente te exige acreditar cumplimiento, porque ahí tu documentación se somete a revisión externa y debe resistirla. La tercera: cuando el artículo 15 ter obliga a evaluación de impacto previa, por ejemplo por tratamiento masivo o a gran escala, por monitoreo sistemático de zonas de acceso público o por perfilamiento con efectos jurídicos significativos.

Sobre el riesgo económico conviene ser preciso. El artículo 35 fija topes de hasta 5.000 UTM para infracciones leves, 10.000 UTM para graves y 20.000 UTM para gravísimas. Con la UTM de agosto de 2026 ($71.649), 20.000 UTM equivalen a aproximadamente $1.433 millones. Es un tope máximo referencial, no una multa tipo para una PyME, y la UTM se reajusta todos los meses. El famoso 2% o 4% de los ingresos anuales tampoco es la regla general: según el propio artículo 35 aplica solo a empresas que no son de menor tamaño y que además reinciden en infracciones graves o gravísimas. El mismo artículo agrega dos agravantes de cuantía que se citan poco: un recargo de 50% si no se subsanan las causas dentro de un plazo máximo de 60 días, y multa de hasta tres veces el monto asignado a la infracción en caso de reincidencia. Por su parte, el artículo sexto transitorio permite a la Agencia aplicar solo una amonestación escrita a empresas de menor tamaño durante los primeros doce meses de vigencia; es una facultad de la autoridad, no un derecho tuyo, y la amonestación igual se inscribe en el Registro Nacional de Sanciones y Cumplimiento, que es público por 5 años. Si estás comparando presupuestos, mira cuánto cuesta cumplir la Ley 21.719 antes de decidir.

¿Y si mi empresa ya trabaja con un estudio jurídico?

Aprovéchalo, y llega con el trabajo previo hecho. Calificar la base de licitud exige saber qué tratamientos existen; redactar la política del artículo 14 ter exige saber qué datos guardas, dónde, por cuánto tiempo, de qué fuente vienen y a quién se comunican. Esa información vive dentro de tu empresa: en tu equipo, en tus sistemas y en tus contratos vigentes. La secuencia que rinde es diagnóstico interno de tratamientos y brechas, después revisión jurídica de las decisiones que requieren criterio, y al final la redacción y firma de los documentos definitivos. Al revés, la revisión jurídica arranca sin la información que necesita y el diagnóstico termina haciéndose dos veces.

¿Puede el dueño de una PyME asumir el rol de delegado?

Sí, y la ley lo dice expresamente. Si decides designar delegado de protección de datos —recuerda que es voluntario—, el artículo 50 permite que en micro, pequeñas y medianas empresas el dueño o las máximas autoridades asuman personalmente las tareas del delegado. Las condiciones que la ley sí fija son de nombramiento y de posición: lo designa la máxima autoridad directiva —directorio, socio administrador o máxima autoridad—, debe tener autonomía respecto de la administración y queda sujeto a estricto secreto. Un grupo empresarial puede designar un delegado único bajo ciertas condiciones. Que la ley permita esta flexibilidad no significa que el rol sea trivial: quien lo asuma necesita apoyo técnico y jurídico para las decisiones que exceden la operación, empezando por las bases de licitud y por cualquier tratamiento de datos sensibles.

¿Cambia algo si la ley se posterga?

A la fecha de publicación de este artículo no hay ninguna ley publicada que modifique la entrada en vigencia: sigue siendo el 1 de diciembre de 2026. Lo que sí existe es una discusión abierta. El Consejo Directivo de la Agencia de Protección de Datos Personales todavía no ha sido nombrado —el Senado desestimó la propuesta de consejeros el 20 de mayo de 2026 por no alcanzar el quórum de dos tercios— y, según reportes de prensa del 6 de agosto de 2026, el biministro de Economía señaló que el Gobierno evalúa postergar la vigencia. Nada de eso suspende la obligación. Conviene tener presente además que la Ley 21.806, publicada el 5 de febrero de 2026, ya ajustó los plazos de designación del primer Consejo sin tocar la fecha de vigencia ni ninguna obligación sustantiva, y dispuso que toda instrucción o norma general que el Consejo dicte antes del 1 de diciembre de 2026 solo tendrá fuerza obligatoria desde esa fecha. Y como la Agencia aún no dicta las instrucciones generales que fijarán los estándares diferenciados del artículo 14 septies según el tamaño de la entidad, ni la lista de países con nivel adecuado, hoy trabajas con el texto de la ley y con criterio propio. Esa es, precisamente, la razón por la que documentar bien lo que haces vale tanto: cuando el estándar concreto todavía no está escrito, la evidencia de lo que decidiste y por qué es lo que sostiene tu posición.