Diagnóstico
Levantamiento del tratamiento actual, inventario inicial, revisión de contratos y consentimientos. Resultado: nivel de madurez y brechas priorizadas por riesgo.
Vigencia: 1 de diciembre de 2026
Ley 21.719 de Protección de Datos Personales: qué debe hacer su empresa en Chile
La Ley 21.719 reemplaza el régimen de la Ley 19.628, vigente desde 1999, y crea la Agencia de Protección de Datos Personales con facultades de fiscalización y sanción. Evaluamos el nivel de madurez de su organización y entregamos el plan técnico de adecuación.
Sobre la posible postergación a 2027
Al 5 de noviembre de 2026, la fecha legalmente vigente sigue siendo el 1 de diciembre de 2026, fijada por el artículo primero transitorio de la ley, publicada el 13 de diciembre de 2024. Existe un proyecto en tramitación (Boletín 18.623-07, ingresado al Senado el 1 de septiembre de 2026) que propone aplazar la entrada en vigencia. La Comisión de Constitución del Senado aprobó la idea de legislar el 20 de octubre de 2026 y, al revisar indicaciones, se mencionó el 15 de octubre de 2027 como nueva fecha. El proyecto aún no es ley: falta su paso por la Comisión de Hacienda, la Sala del Senado, la Cámara de Diputados y la publicación en el Diario Oficial.
Nuestra recomendación es no detener la preparación. El inventario de datos y la revisión de contratos son los trabajos más lentos, y son exigibles con cualquiera de las dos fechas.
A quién le aplica
La ley rige para toda persona natural o jurídica que trate datos personales, con independencia de su tamaño. No existe un umbral de facturación ni de número de trabajadores que exima de cumplirla. Si su empresa tiene una base de clientes, una planilla de remuneraciones, un formulario web o una cámara de seguridad, está tratando datos personales.
El alcance es extraterritorial: también alcanza a responsables establecidos fuera de Chile cuando las operaciones de tratamiento se refieren a titulares que se encuentran en el país.
Qué cambia respecto de la Ley 19.628
- Existe un fiscalizador. La Agencia de Protección de Datos Personales puede fiscalizar, recibir denuncias, iniciar procedimientos de oficio y sancionar. Bajo la ley anterior no había un organismo con estas atribuciones.
- Hay sanciones económicas relevantes. Las infracciones se clasifican en leves, graves y gravísimas, con multas expresadas en Unidades Tributarias Mensuales.
- Se amplían los derechos de los titulares. Acceso, rectificación, cancelación, oposición y, como novedad, portabilidad.
- Se exige base de licitud. Cada tratamiento necesita un fundamento jurídico: consentimiento, ejecución de un contrato, cumplimiento de una obligación legal o interés legítimo, entre otros.
- Aparece el deber de notificar incidentes de seguridad que afecten datos personales.
Sanciones
Los topes de multa, según la clasificación de la infracción, son los siguientes. Las cifras corresponden a los máximos; la Agencia pondera circunstancias al determinar el monto.
| Clasificación | Multa máxima | Referencia |
|---|---|---|
| Leve | Hasta 5.000 UTM | Admite amonestación escrita como alternativa |
| Grave | Hasta 10.000 UTM | Reincidencia: hasta 2% de los ingresos anuales |
| Gravísima | Hasta 20.000 UTM | Reincidencia: hasta 4% de los ingresos anuales |
Los topes porcentuales por reincidencia aplican a empresas que no califican como de menor tamaño y se calculan sobre las ventas y servicios del año calendario anterior. En casos de reincidencia la ley contempla además la suspensión de las operaciones de tratamiento.
Obligaciones concretas
Más allá del texto legal, estas son las obligaciones que se traducen en trabajo técnico dentro de una organización:
- Inventario de datos personales. Qué se recolecta, con qué finalidad, dónde se almacena, cuánto tiempo se conserva y quién tiene acceso. Es la base de todo lo demás y suele ser lo que más demora.
- Base de licitud por tratamiento. Documentar el fundamento de cada uso de datos y revisar que los consentimientos obtenidos cumplan los requisitos de la nueva ley.
- Contratos con encargados. Actualizar los acuerdos con proveedores que tratan datos por cuenta de la empresa: servicios en la nube, marketing, contabilidad externa, soporte.
- Medidas de seguridad proporcionales al riesgo. Control de accesos, cifrado donde corresponda, registro de actividad y respaldo. El estándar depende de la sensibilidad de los datos.
- Procedimiento de derechos de titulares. Un canal formal y plazos definidos para responder solicitudes de acceso, rectificación, cancelación, oposición y portabilidad.
- Protocolo de notificación de incidentes. Detección, evaluación, registro y comunicación a la Agencia y a los titulares cuando corresponda.
- Responsable del tratamiento. Designar quién responde por el cumplimiento dentro de la organización, según el volumen y la sensibilidad de la información.
Niveles de madurez
Nuestro diagnóstico sitúa a la organización en uno de cuatro niveles y define las acciones concretas para avanzar al siguiente. No entregamos un informe genérico: cada brecha queda priorizada por riesgo, con responsable y plazo.
- N1Inicial18%
No hay inventario de datos ni responsable designado. El tratamiento ocurre sin registro y los consentimientos no están documentados.
- N2Definido45%
Existe inventario parcial y algunas bases de licitud documentadas. Faltan contratos con encargados y procedimientos formales.
- N3Gestionado72%
Inventario completo, bases de licitud definidas, contratos actualizados y procedimiento operativo de derechos de titulares.
- N4Verificable100%
Controles auditables, notificación de incidentes probada y evidencia de cumplimiento presentable ante la Agencia.
Cómo trabajamos la adecuación
Adecuación técnica
Implementación de controles, canal de derechos de titulares, protocolo de incidentes y registro de actividades de tratamiento.
Evidencia y mantención
Trazabilidad de los controles, pruebas periódicas del protocolo de incidentes y actualización ante cambios en la operación.
Alcance de nuestro trabajo. KØVEK entrega acompañamiento técnico y organizacional. No constituye asesoría legal: la interpretación jurídica de la ley y la validación final del cumplimiento corresponden a su asesor legal, con quien trabajamos de forma coordinada.
Preguntas frecuentes
¿Cuándo entra en vigencia la Ley 21.719?
El 1 de diciembre de 2026, según el artículo primero transitorio. Existe un proyecto en tramitación que propone postergarla, pero al 5 de noviembre de 2026 no es ley y la fecha vigente no ha cambiado.
¿Le aplica a las pymes?
Sí. La ley no establece umbrales de tamaño. Lo que varía es la proporcionalidad de las medidas de seguridad exigibles y los topes porcentuales de multa por reincidencia, que no aplican a empresas de menor tamaño.
¿Cuánto son las multas?
Hasta 5.000 UTM para infracciones leves, 10.000 UTM para graves y 20.000 UTM para gravísimas. En caso de reincidencia, las empresas que no son de menor tamaño arriesgan hasta un 2% de sus ingresos anuales por infracciones graves y hasta un 4% por gravísimas.
¿Necesito designar un delegado de protección de datos?
La ley exige definir quién responde por el cumplimiento dentro de la organización. El alcance de ese rol depende del volumen y la sensibilidad de los datos tratados. La definición formal del cargo conviene revisarla con su asesor legal.
¿Por dónde conviene partir?
Por el inventario de datos personales. Es el insumo de todas las demás obligaciones y el que más tiempo toma, porque obliga a recorrer sistemas, planillas y proveedores. Sin inventario no se puede determinar bases de licitud ni medir el riesgo.
¿Cuánto demora la adecuación?
El diagnóstico toma dos semanas. La adecuación técnica depende del nivel de partida y del tamaño de la operación: entre seis y ocho semanas en organizaciones medianas con sistemas acotados.
Conozca su nivel de madurez
Dos semanas, sin costo. Entregamos el nivel actual, las brechas priorizadas por riesgo y el plan de acciones con responsables y plazos. El documento queda en poder de su empresa.