Ley 21.719: qué es, a quién aplica y cuándo entra en vigencia

Si tienes una empresa en Chile y guardas datos de clientes, trabajadores, postulantes o proveedores, la Ley 21.719 te aplica. La ley no establece ningún umbral por tamaño ni por rubro: alcanza a toda persona natural o jurídica que trate datos personales, incluidos los órganos públicos. Esta guía explica qué es la norma, desde cuándo rige, a quién obliga, qué derechos crea para las personas y qué tienes que tener funcionando el día uno. Cada obligación legal va con el artículo que la respalda, para que puedas contrastarla contra el texto oficial o revisarla con tu abogado.

¿Qué es la Ley 21.719?

La Ley 21.719 es la ley chilena que "regula la protección y el tratamiento de los datos personales y crea la Agencia de Protección de Datos Personales", según su nombre oficial. Fue promulgada el 25 de noviembre de 2024 y publicada en el Diario Oficial el 13 de diciembre de 2024, edición N° 44.023. Se originó en el Ministerio Secretaría General de la Presidencia y refundió los boletines 11.092-07 y 11.144-07.

Su efecto práctico es doble. Por un lado, establece reglas concretas sobre cómo una empresa puede recolectar, guardar, usar, compartir y eliminar datos de personas: qué base legal necesita, qué le tiene que informar al titular, qué medidas de seguridad debe adoptar y qué hacer cuando ocurre una filtración. Por otro lado, crea por primera vez en Chile una autoridad con potestad fiscalizadora y sancionatoria: la Agencia de Protección de Datos Personales, una corporación autónoma de derecho público, de carácter técnico y descentralizado, con personalidad jurídica y patrimonio propio, que se relaciona con el Presidente a través del Ministerio de Economía, Fomento y Turismo (artículo 30).

Esa Agencia puede dictar instrucciones y normas generales obligatorias previa consulta pública, interpretar la ley administrativamente, fiscalizar pidiendo cualquier documento o antecedente, determinar infracciones citando a declarar, ejercer la potestad sancionadora y resolver los reclamos que presenten los titulares (artículo 30 bis). La dirige un Consejo Directivo de tres consejeros designados por el Presidente con acuerdo del Senado por dos tercios de sus miembros en ejercicio, que duran seis años, sin reelección, con renovación individual cada dos años y dedicación exclusiva (artículo 30 quáter). La Ley 19.628 en su texto original no contemplaba nada parecido: no existía una autoridad de control ni un régimen de multas administrativas. Ese es el cambio de fondo.

¿Cuándo entra en vigencia la Ley 21.719?

La Ley 21.719 entra en vigencia el 1 de diciembre de 2026. La fecha no aparece escrita así en el texto: su artículo primero transitorio dice que las modificaciones "entrarán en vigencia el día primero del mes vigésimo cuarto posterior a la publicación de esta ley en el Diario Oficial". Como la publicación fue el 13 de diciembre de 2024, el mes vigésimo cuarto es diciembre de 2026. La propia Biblioteca del Congreso Nacional rotula la versión del texto como vigente desde esa fecha, lo que confirma el cómputo.

Esto significa que ninguna obligación para las empresas parte antes ni hay entrada en vigencia por etapas: todo el paquete —principios, bases de licitud, deber de información, derechos de los titulares, seguridad, brechas y sanciones— empieza a regir el mismo día. Los únicos plazos previos son los que la ley le impone al Estado: dictar los reglamentos dentro de los seis meses siguientes a la publicación (artículo segundo transitorio) y designar a los consejeros de la Agencia antes de la vigencia (artículo cuarto transitorio). Si estás calculando plazos internos, cuenta hacia atrás desde el 1 de diciembre de 2026 y no desde una fecha intermedia.

¿Se va a postergar? Estado institucional al 10 de agosto de 2026

Es una de las primeras dudas que aparece al hablar de esta ley, y la respuesta honesta tiene dos partes. La fecha legalmente vigente sigue siendo el 1 de diciembre de 2026: no hay ninguna ley publicada que la modifique. Al mismo tiempo, existe una discusión pública abierta sobre postergarla, y hay hechos institucionales concretos detrás de esa discusión.

• El 20 de mayo de 2026 el Senado desestimó la propuesta de consejeros para el Consejo Directivo de la Agencia, porque no se alcanzó el quórum de dos tercios que exige el artículo 30 quáter.
• Según el cómputo del plazo de "seis meses antes" que fijó la Ley 21.806, ese plazo para la primera designación de consejeros habría vencido el 1 de junio de 2026 sin Consejo designado.
• A la fecha de publicación de este artículo, y según prensa especializada más que por un acto oficial, el Consejo Directivo sigue sin nombrarse. La Agencia, por lo tanto, no estaría constituida.
• El 6 de agosto de 2026, según reportes de prensa, el biministro de Economía Daniel Mas declaró que el Gobierno evalúa postergar la entrada en vigencia, aclarando que el motivo no es una revisión de fondo de la ley sino la inexistencia del Consejo Directivo.

Hay un detalle técnico que conviene tener claro. La Ley 21.806, publicada el 5 de febrero de 2026, modificó el artículo cuarto transitorio de la Ley 21.719: cambió el plazo de designación de consejeros de "dentro de los sesenta días anteriores" a "seis meses antes" de la entrada en vigencia, ordenó que la propuesta al Senado se haga en un solo acto entre los 80 y los 60 días anteriores a ese plazo, incorporó un silencio positivo según el cual la propuesta se entiende aceptada si el Senado no se pronuncia dentro de plazo, y dispuso que toda instrucción o norma general que dicte el Consejo antes de la entrada en vigencia solo tendrá fuerza obligatoria desde el 1 de diciembre de 2026. Lo que la Ley 21.806 no hizo fue mover la fecha de vigencia ni tocar ninguna obligación de fondo.

¿La Ley 21.719 deroga la Ley 19.628?

No. Vale la pena corregir esta confusión, porque cambia cómo vas a citar la norma. La Ley 21.719 opera modificando la Ley 19.628: su artículo primero parte diciendo "Introdúcense las siguientes modificaciones en la ley N° 19.628, sobre protección de la vida privada", y su numeral 1) sustituye en el nombre de la ley la frase "la vida privada" por "los datos personales".

La consecuencia práctica es que, una vez en vigencia, la norma aplicable se sigue citando como Ley 19.628, ahora llamada "sobre protección de los datos personales", con su articulado reescrito casi por completo. Decir "la Ley 21.719 deroga la 19.628" es incorrecto; decir "la reemplaza en la práctica" es aceptable como divulgación. Por eso, cuando busques el texto vigente, vas a encontrarlo bajo el número 19.628 y no bajo el 21.719. De paso, la Ley 21.719 también modificó la Ley 20.285 de transparencia, suprimiendo el literal m) de su artículo 33, y la Ley 19.496 del consumidor, suprimiendo su artículo 15 bis.

Qué cambia entre la Ley 19.628 y la Ley 21.719

¿A qué empresas y personas aplica?

El ámbito de aplicación es amplio y directo. El artículo 1° alcanza a todo tratamiento de datos personales que realice una persona natural o jurídica, incluidos los órganos públicos. Da lo mismo el rubro, la forma jurídica o la cantidad de trabajadores: si guardas una planilla con nombres, RUT, correos o teléfonos de personas, estás tratando datos personales y la ley te obliga.

Todo tratamiento de datos personales que realice una persona natural o jurídica, incluidos los órganos públicos, debe respetar los derechos y libertades de las personas y quedará sujeto a las disposiciones de esta ley.

Artículo 1° de la Ley 19.628, según el texto introducido por la Ley 21.719 (versión vigente desde el 1 de diciembre de 2026)

Hay dos exclusiones expresas en ese mismo artículo. La primera es el ejercicio de las libertades de emitir opinión e informar del artículo 19 N° 12 de la Constitución: los medios de comunicación quedan sujetos a la ley solo por los tratamientos que hagan con una finalidad distinta de opinar e informar. La segunda es el tratamiento de datos que efectúan las personas naturales en relación con sus actividades personales, es decir, tu agenda del teléfono no está regulada.

Lo que no existe es un umbral por tamaño de empresa. Ninguna PyME queda exenta. Lo que sí contempla la ley es proporcionalidad: el artículo 14 septies, sobre diferenciación de estándares de cumplimiento, dispone que los estándares mínimos de los deberes de información y de seguridad se determinen considerando el tipo de dato, si el responsable es persona natural o jurídica, el tamaño de la entidad según el artículo 2 de la Ley 20.416, la actividad que realiza y el volumen, naturaleza y finalidad de los datos. Un matiz importante: esos estándares diferenciados los fija la Agencia mediante instrucción general y, a la fecha de publicación de este artículo y según la información pública disponible, la Agencia no está constituida, por lo que esa instrucción no existe. El estándar concreto exigible a una PyME todavía no está escrito, aunque la obligación sí.

¿Aplica a empresas extranjeras que venden en Chile?

Sí. El artículo 1° bis incorpora aplicación extraterritorial. La ley rige cuando el responsable o su mandatario están establecidos en Chile; cuando un mandatario trata datos a nombre de un responsable establecido en Chile, esté donde esté; y también cuando ni el responsable ni el mandatario están establecidos en Chile, pero sus operaciones están destinadas a ofrecer bienes o servicios a titulares que se encuentren en Chile —con o sin pago de por medio— o a monitorear su comportamiento, incluyendo su análisis, rastreo, perfilamiento o predicción. En términos simples: una tienda online extranjera que le vende a personas en Chile, o una plataforma que perfila el comportamiento de usuarios chilenos, queda dentro.

¿Qué son datos personales y qué son datos sensibles en Chile?

En términos prácticos, un dato personal es cualquier información que permite identificar a una persona natural o dejarla identificable: nombre, RUT, correo, teléfono, dirección, historial de compras, número de cliente. La distinción que sí conviene memorizar es la de datos sensibles, porque activa un régimen mucho más estricto.

Según la definición del artículo 2 letra g), son sensibles los datos referidos a características físicas o morales, o a hechos o circunstancias de la vida privada o intimidad, que revelen alguna de estas categorías:

• Origen étnico o racial
• Afiliación política, sindical o gremial
• Situación socioeconómica
• Convicciones ideológicas o filosóficas y creencias religiosas
• Datos relativos a la salud y al perfil biológico humano
• Datos biométricos
• Información sobre vida sexual, orientación sexual e identidad de género

El artículo 16 contempla además otras excepciones al consentimiento expreso para datos sensibles: datos manifiestamente públicos hechos públicos por el propio titular y usados para el fin de su publicación; el interés legítimo de personas jurídicas sin fines de lucro con finalidad política, filosófica, religiosa, cultural, sindical o gremial, respecto exclusivamente de sus miembros y sin cesión a terceros; la salvaguarda de la vida, la salud o la integridad; el ejercicio o defensa de un derecho ante tribunales u órgano administrativo; y el ejercicio de derechos y obligaciones en el ámbito laboral o de seguridad social. Hay además regímenes especiales para salud y perfil biológico humano (artículo 16 bis), para datos biométricos (artículo 16 ter), para fines históricos, estadísticos, científicos y de estudio (artículo 16 quinquies) y para datos de infracciones penales, civiles, administrativas y disciplinarias (artículo 25).

Hay también reglas propias para niños, niñas y adolescentes en el artículo 16 quáter, que ordena atender siempre al interés superior del niño y a su autonomía progresiva. La ley define niños y niñas como menores de 14 años y adolescentes como quienes tienen entre 14 y menos de 18. Los datos de menores de 14 requieren consentimiento de los padres o representantes legales, o de quien tenga a su cargo el cuidado personal, salvo autorización legal expresa. Los datos de adolescentes se tratan según las reglas de los adultos, con una excepción: los datos sensibles de adolescentes menores de 16 años solo pueden tratarse con consentimiento de los padres o representantes legales. Ojo con el error frecuente: no es "todos los menores de 18 requieren permiso de los papás".

¿Cuáles son los ocho principios del artículo 3?

El artículo 3° fija ocho principios que ordenan toda la ley. Importan más de lo que parece: la ley manda calificar la gravedad de una infracción, entre otras cosas, según su impacto sobre estos principios.

1. Licitud y lealtad: el tratamiento debe tener una base legal y no puede ser engañoso para la persona.
2. Finalidad: los datos se recogen para un fin específico y explícito, y no se usan para otro distinto.
3. Proporcionalidad: solo se tratan los datos necesarios para esa finalidad, ni uno más.
4. Calidad: los datos deben ser exactos, completos y estar actualizados.
5. Responsabilidad: quien trata datos debe poder demostrar que cumple, no solo declararlo.
6. Seguridad: hay que proteger los datos frente a pérdida, filtración o acceso no autorizado.
7. Transparencia e información: la persona tiene que poder saber quién trata sus datos, para qué y con qué base.
8. Confidencialidad: quien accede a los datos guarda secreto sobre ellos.

¿Qué derechos tienen las personas y en qué plazo hay que responder?

Un detalle de vocabulario que evita errores: en Chile no son los "derechos ARCO". Entre los artículos 5° y 9° la ley reconoce los derechos de acceso, rectificación, supresión, oposición, oposición a decisiones individuales automatizadas y perfilamiento, bloqueo y portabilidad. Dos de ellos —el bloqueo y la oposición a decisiones automatizadas— son los que más difícil resulta atender si no los tienes previstos, porque exigen tener resuelto de antemano cómo suspendes un tratamiento sin borrarlo y cómo explicas la lógica de una decisión automatizada.

La portabilidad es más estrecha de lo que se suele decir: el artículo 9° la reconoce solo si concurren copulativamente dos condiciones, que el tratamiento sea automatizado y que esté basado en el consentimiento. No aplica a tratamientos basados en contrato ni en interés legítimo, a diferencia del reglamento europeo, que sí la extiende al contrato. La copia se entrega en formato electrónico estructurado, genérico y de uso común; la transmisión directa de un responsable a otro procede cuando sea técnicamente posible, y no implica supresión ante el cedente salvo petición conjunta.

Los plazos están en el artículo 11 y son fáciles de incumplir por desorden operativo más que por mala fe: dependen de que alguien revise el canal y de que quede respaldo. La solicitud se hace por escrito al correo electrónico designado, a un formulario de contacto o a un medio electrónico equivalente. Tienes que acusar recibo y pronunciarte a más tardar dentro de 30 días corridos desde el ingreso, prorrogables por una sola vez y hasta por 30 días corridos más. La respuesta va por escrito y debes almacenar respaldos que acrediten su envío, su fecha y su contenido íntegro. Si deniegas total o parcialmente, la negativa debe ser fundada e informarle a la persona que tiene 30 días hábiles para reclamar ante la Agencia. Fíjate en la asimetría: tus 30 días son corridos; los 30 días del titular para reclamar son hábiles.

¿Qué obligaciones concretas tiene una empresa desde el 1 de diciembre de 2026?

Estas son las obligaciones que aplican de forma transversal a una empresa privada. El orden no es caprichoso: cada paso se apoya en el anterior, y saltarse el primero hace que los demás queden mal construidos. Si quieres el detalle de ejecución con tiempos y responsables, lo desarrollamos en la guía para implementar la Ley 21.719 paso a paso.

1. Define la base de licitud de cada tratamientoLa regla general del artículo 12 es el consentimiento libre, informado, específico, previo e inequívoco, revocable en cualquier momento y sin efecto retroactivo, con la carga de la prueba sobre la empresa. Además se presume que el consentimiento no fue libremente otorgado cuando se recaba en el marco de un contrato o servicio en que no era necesario recolectar esos datos, salvo que quien ofrece el bien o servicio requiera ese consentimiento como única contraprestación. Pero el artículo 13 permite tratar datos sin consentimiento en cinco casos: obligaciones económicas, financieras, bancarias o comerciales del Título III, incluida la situación socioeconómica; cumplimiento de una obligación legal; celebración o ejecución de un contrato con el titular o medidas precontractuales a su solicitud; interés legítimo tuyo o de un tercero, siempre que no se afecten los derechos y libertades del titular; y la formulación, ejercicio o defensa de un derecho ante tribunales u órganos públicos. En todos los casos, la licitud la tienes que poder acreditar tú.
2. Publica y versiona tu política de tratamiento de datosEl artículo 14 ter exige mantener permanentemente a disposición del público, en tu sitio web o medio equivalente, doce literales, de la letra a) a la l): a) la política de tratamiento con fecha y versión; b) tu individualización, la de tu representante legal y la del encargado de prevención si existe; c) el canal de contacto para solicitudes; d) las categorías de datos, el universo de personas, los destinatarios, las finalidades y la base de legitimidad de cada tratamiento, indicando cuál es el interés legítimo cuando esa sea la base; e) la política y las medidas de seguridad; f) los derechos de acceso, rectificación, supresión, oposición y portabilidad; g) el derecho a recurrir ante la Agencia; h) las transferencias internacionales y si el país de destino ofrece nivel adecuado o qué garantías las justifican; i) el período de conservación; j) la fuente de los datos y si provienen de fuentes de acceso público; k) el derecho a retirar el consentimiento; y l) la existencia de decisiones automatizadas y perfilamiento, con información significativa sobre la lógica aplicada y sus consecuencias previstas. Este es el artículo que convierte una política de privacidad genérica copiada de internet en un incumplimiento.
3. Habilita un canal real para recibir solicitudes y responde a tiempoUn correo designado o un formulario, con alguien responsable de revisarlo. Acusas recibo, respondes dentro de 30 días corridos y guardas el respaldo del envío, la fecha y el contenido, según los artículos 10 y 11. El artículo 10 regula las formalidades de la solicitud y la gratuidad: rectificación, supresión y oposición son siempre gratuitas, y el acceso lo es al menos una vez por trimestre. Solo puedes cobrar los costos directos cuando el titular ejerce acceso o portabilidad más de una vez en el mismo trimestre, según parámetros que fijará la Agencia por instrucción general.
4. Implementa medidas de seguridad y guarda la evidenciaEl artículo 14 quinquies exige un estándar basado en riesgo, considerando el estado actual de la técnica y los costos, para asegurar confidencialidad, integridad, disponibilidad y resiliencia. Menciona expresamente seudonimización y cifrado, capacidad de restaurar el acceso ante un incidente, y verificación y evaluación regulares de la eficacia. El punto crítico: ante un incidente y una controversia, la carga de acreditar que las medidas existían y funcionaban es tuya. Súmale el deber de secreto del artículo 14 bis y la protección desde el diseño y por defecto del artículo 14 quáter.
5. Ordena tus contratos con proveedores que tratan datos por tiEl artículo 15 bis exige que el tratamiento a través de un encargado se rija por un contrato que establezca objeto, duración, finalidad, tipo de datos, categorías de titulares y derechos y obligaciones de las partes. El encargado no puede subcontratar sin autorización específica y por escrito, y si delega sigue siendo solidariamente responsable. Si trata los datos para un fin distinto del encargo o los cede sin autorización, pasa a ser considerado responsable para todos los efectos legales, responde personalmente por las infracciones y solidariamente por los daños. El encargado queda sujeto además al deber de secreto del artículo 14 bis y a las medidas del 14 quinquies, y debe reportarte a ti las vulneraciones de seguridad. La Agencia deberá poner modelos tipo de contrato a disposición del público en su sitio web.
6. Prepara el procedimiento de aviso de vulneraciones de seguridadEl artículo 14 sexies obliga a reportar a la Agencia cuando una vulneración ocasione destrucción, filtración, pérdida o alteración accidental o ilícita de datos, o comunicación o acceso no autorizados, y exista un riesgo razonable para los derechos y libertades de los titulares. Además debes llevar un registro interno con la naturaleza de la vulneración, sus efectos, las categorías de datos, el número aproximado de afectados y las medidas adoptadas. La comunicación a las personas afectadas solo procede cuando se trate de datos sensibles, datos de niños y niñas menores de 14 años, o datos de obligaciones económicas, financieras, bancarias o comerciales; debe hacerse en lenguaje claro y sencillo, singularizando los datos afectados, las consecuencias posibles y las medidas adoptadas. Si no es posible notificar a cada titular, se publica un aviso en un medio de comunicación social masivo de alcance nacional.
7. Evalúa si necesitas una evaluación de impactoEl artículo 15 ter la exige antes de iniciar el tratamiento cuando sea probable un alto riesgo, y siempre en cuatro casos: evaluación sistemática y exhaustiva de aspectos personales basada en decisiones automatizadas, como el perfilamiento, con efectos jurídicos significativos; tratamiento masivo de datos o a gran escala; observación o monitoreo sistemático de una zona de acceso público; y tratamiento de datos sensibles y especialmente protegidos en las hipótesis de excepción del consentimiento. La Agencia debe publicar una lista orientativa y las orientaciones mínimas.
8. Revisa tus transferencias internacionalesSi usas software o servicios que alojan datos fuera de Chile, los artículos 27 a 29 exigen que la transferencia se apoye en un país con nivel adecuado determinado por la Agencia, en cláusulas contractuales o normas corporativas vinculantes con garantías adecuadas, o en un modelo de cumplimiento o certificación adoptado por ambas partes. A la fecha de publicación de este artículo, y según la información pública disponible, la Agencia no está constituida, por lo que no hay lista de países adecuados ni cláusulas modelo aprobadas; lo razonable es apoyarse en garantías contractuales propias o en las excepciones del inciso segundo del artículo 27, que habilitan transferencias específicas y no habituales —entre ellas el consentimiento expreso para esa transferencia determinada y la necesidad para celebrar o ejecutar un contrato con el titular.

Ese listado describe el qué. El cómo empieza siempre por lo mismo: un levantamiento ordenado de qué datos tienes, dónde están, quién los toca, con qué base los tratas, qué documentos existen y cuáles faltan. Es un trabajo metódico y acumulativo, y sin ese mapa las decisiones posteriores se toman a ciegas: no puedes declarar la base de legitimidad de cada tratamiento en tu política si antes no inventariaste los tratamientos.

La auditoría en línea de Check21 cubre exactamente ese levantamiento: pago único de $49.990 CLP (valor a agosto de 2026), con un informe de brechas, un plan de acción priorizado, las matrices de tratamiento y un kit documental para partir.

¿Qué pasa si no cumplo?

La ley clasifica las infracciones en leves, graves y gravísimas, calificadas según su gravedad respecto de los principios del artículo 3° y de los derechos y obligaciones que establece. Los topes de multa están en el artículo 35.

Las conversiones a pesos son referenciales y están calculadas con el valor oficial de la UTM de agosto de 2026, que es de $71.649 según el Servicio de Impuestos Internos. La UTM se reajusta todos los meses, así que el monto aplicable depende del valor vigente al momento de la sanción y no del de esta publicación. Y son topes máximos, no montos fijos: la ley obliga a calificar previamente la infracción como leve, grave o gravísima según su impacto sobre los principios y los derechos, y la sanción se gradúa dentro de ese rango.

Hay tres matices que conviene precisar. Primero, si no se subsanan las causas de la infracción dentro de un plazo máximo de 60 días, procede un recargo de 50% sobre la multa cursada. Segundo, en caso de reincidencia la Agencia podrá aplicar una multa de hasta tres veces el monto asignado a la infracción. Tercero, el famoso 2% o 4% de los ingresos anuales por ventas y servicios del último año calendario aplica únicamente a empresas que no son de menor tamaño según la Ley 20.416 y que reinciden en infracciones graves (2%) o gravísimas (4%), y opera como la cifra más gravosa entre ese porcentaje y el triple de la multa. No es la regla general y no aplica a las PyMEs. Desarrollamos el detalle del régimen sancionatorio, incluidas la suspensión de operaciones del artículo 38 y la prescripción de cuatro años del artículo 40, en el artículo sobre las multas de la Ley 21.719.

Existe también una ventana transitoria para empresas de menor tamaño. El artículo sexto transitorio dispone que, durante los primeros doce meses desde la entrada en vigencia, cuando proceda una sanción contra una empresa calificada como de menor tamaño, la Agencia podrá aplicar como sanción una amonestación por escrito, señalando la gravedad, la conducta y las atenuantes o agravantes. Léelo con cuidado: es una facultad de la Agencia y no un derecho tuyo, no suspende la obligación de cumplir, y esa amonestación igual se inscribe en el Registro Nacional de Sanciones y Cumplimiento del artículo 39, que es público, gratuito, electrónico y mantiene las anotaciones visibles por cinco años. Venderlo como "las PyMEs tienen un año de gracia" es inexacto.

El modelo de prevención de infracciones: voluntario, pero cuenta

El artículo 48 establece un deber genérico de adoptar acciones de prevención de infracciones. Distinto es el modelo de prevención formal del artículo 49, que la ley declara expresamente voluntario y que debe contener al menos: la designación de un delegado de protección de datos, la definición de sus medios y facultades, la identificación de los datos y titulares tratados, la identificación de las actividades de riesgo, protocolos y procedimientos, mecanismos de reporte interno y de reporte a la autoridad para el caso del artículo 14 sexies, y sanciones administrativas internas. La Agencia certifica, registra y supervisa estos modelos; los certificados duran tres años (artículo 52) y pueden revocarse (artículo 53). Adoptar un modelo certificado opera como atenuante y también como una de las vías de garantías adecuadas para transferencias internacionales (artículo 27 letra c).

¿Qué NO exige la ley? Seis mitos que circulan

Varios de los mitos que circulan sobre la Ley 21.719 vienen del reglamento europeo y no del texto chileno. Estos seis conviene tenerlos despejados antes de contratar cualquier asesoría o comprar cualquier plantilla.

El responsable deberá reportar a la Agencia, por los medios más expeditos posibles y sin dilaciones indebidas, las vulneraciones a las medidas de seguridad (...) cuando exista un riesgo razonable para los derechos y libertades de los titulares.

Artículo 14 sexies de la Ley 19.628, según el texto introducido por la Ley 21.719 (versión vigente desde el 1 de diciembre de 2026), sobre el deber de reportar vulneraciones de seguridad a la Agencia

Sobre el último de esos mitos conviene ser preciso, porque se usa en los dos sentidos. La Ley 21.806 habilitó al Consejo Directivo, antes de la entrada en vigencia, solo para algunas funciones del artículo 30 bis —dictar instrucciones y normas generales, interpretar administrativamente la ley, difundir y promover su conocimiento y proponer normas—, dejando fuera la fiscalización y la potestad sancionadora, y dispuso que esas instrucciones solo tendrán fuerza obligatoria desde el 1 de diciembre de 2026. Que la autoridad no esté operativa hoy no cambia que la obligación empiece ese día, y tampoco significa que las reglas se vayan a improvisar: el texto legal ya está publicado y es el mismo que puedes leer en la Biblioteca del Congreso Nacional.

Por dónde partir

Si tuvieras que quedarte con tres ideas: la Ley 21.719 rige desde el 1 de diciembre de 2026 y esa fecha no ha cambiado; te aplica sin importar el tamaño de tu empresa; y lo primero que va a mirar un reclamo es tu política de tratamiento, tu base de licitud y tu capacidad de responder una solicitud en 30 días corridos con respaldo. Empezar por ahí es empezar por lo que queda documentado.

Conviene separar dos tipos de trabajo, porque son distintos y los dos hacen falta. Uno es de levantamiento: inventariar los datos, mapear los tratamientos, ordenar los contratos y detectar qué documentos faltan. Es metódico y se puede sistematizar. El otro es de criterio jurídico: interpretar la norma en los casos difíciles, sostener por escrito si tu interés legítimo se aguanta frente a los derechos del titular, redactar las cláusulas y el contrato con un encargado, diseñar el régimen de datos de salud o biométricos, y llevar la defensa si llega un reclamo ante la Agencia. Ese trabajo lo hace un abogado, se apoya en interpretación y en responsabilidad profesional, y ninguna herramienta lo reemplaza.

Hay decisiones que piden criterio de abogado desde el primer minuto: un interés legítimo discutible, el tratamiento de datos de salud o biométricos, transferencias internacionales sin garantías estándar o un incidente que ya ocurrió. Para saber en qué momento y con qué preguntas conviene involucrar a un abogado en la Ley 21.719, revisa esa guía. Lo importante es no llegar al 1 de diciembre de 2026 sin haber mirado nunca qué datos tienes y con qué base los estás tratando.