Ley 21.719 en Chile: Guía Completa de Cumplimiento 2026

La Ley 21.719 es la nueva ley de protección de datos personales de Chile. Entra en vigencia el 1 de diciembre de 2026 y aplica a toda organización que trate datos personales en el país, sin importar su tamaño. Esta guía responde, con precisión y sin relleno, las diez preguntas que toda empresa chilena debería tener resueltas antes de esa fecha.

¿Qué es la Ley 21.719?

La Ley 21.719 es la ley que "Regula la Protección y el Tratamiento de los Datos Personales y crea la Agencia de Protección de Datos Personales" en Chile. Fue publicada en el Diario Oficial el 13 de diciembre de 2024 y deroga la antigua Ley 19.628, de 1999, que hasta ahora regulaba esta materia.

La Ley 19.628 quedó obsoleta frente a la realidad de datos actual: no contemplaba un organismo fiscalizador con poder sancionador real, ni obligaciones modernas como la notificación de brechas de seguridad o el consentimiento granular. La Ley 21.719 viene a corregir eso, alineando a Chile con estándares internacionales de protección de datos (en la línea del RGPD europeo, aunque con su propio diseño institucional). Si quieres comparar ambas leyes punto por punto, revisa Ley 21.719 vs Ley 19.628: qué cambia para tu empresa.

En términos simples: es la ley que define qué puede y qué no puede hacer una empresa con los datos personales de sus clientes, empleados y usuarios, y crea un organismo público con facultades para fiscalizar y sancionar el incumplimiento.

¿Desde cuándo rige y qué plazos hay?

La Ley 21.719 entra en vigencia el 1 de diciembre de 2026, es decir, dos años después de su publicación en el Diario Oficial (13 de diciembre de 2024).

Ese período de dos años se ha usado, en teoría, para que el Estado conforme la nueva Agencia de Protección de Datos Personales (APDP) y dicte los reglamentos necesarios para su aplicación, y para que las empresas se preparen. En la práctica, la mayoría de las organizaciones chilenas todavía no ha iniciado ese proceso de preparación.

Un matiz importante: se espera un período de gradualidad durante el primer año de vigencia (diciembre 2026 a diciembre 2027), con foco especial en pequeñas y medianas empresas. Sin embargo, esto no es una certeza legal establecida en el texto de la ley con ese nombre y alcance específico, sino una expectativa razonable basada en cómo suelen operar los organismos fiscalizadores nuevos. No es recomendable que una empresa base su estrategia de cumplimiento en la suposición de que "no va a pasar nada el primer año". Las obligaciones rigen desde el 1 de diciembre de 2026, sin excepción de plazo en el texto legal.

¿A quién aplica la Ley 21.719?

La Ley 21.719 aplica a toda organización, pública o privada, que trate datos personales en Chile, sin un umbral mínimo por tamaño de empresa, facturación o cantidad de empleados.

Esto significa que no existe un piso bajo el cual una empresa quede exenta. Una PYME de cinco personas que guarda datos de clientes en una planilla de Excel está tan sujeta a la ley como una gran corporación con miles de registros. Lo que sí cambia según el tamaño y el tipo de tratamiento es el nivel de exigencia y riesgo: una empresa que trata datos sensibles a gran escala (salud, biométricos, financieros) enfrenta obligaciones más estrictas —por ejemplo, la eventual necesidad de un Delegado de Protección de Datos— que un comercio local que solo guarda nombre y correo de sus clientes.

En la práctica, si tu empresa recolecta datos personales de clientes, empleados, proveedores o usuarios de un sitio web (nombre, RUT, correo, teléfono, dirección IP, historial de compras, datos de salud, etc.), la ley te aplica. Si eres una PYME y quieres partir por lo esencial, tenemos un checklist de cumplimiento pensado para PYMEs.

¿Qué obligaciones impone la Ley 21.719?

La Ley 21.719 impone cinco grandes bloques de obligaciones, resumidos aquí y desarrollados en detalle en preguntas posteriores de esta guía:

1. Base legal y consentimiento: todo tratamiento de datos personales debe tener una base legal válida. Cuando esa base es el consentimiento, este debe ser informado, específico y revocable en cualquier momento.
2. Registro de Actividades de Tratamiento (RAT): documentar formalmente qué datos se tratan, con qué finalidad, por cuánto tiempo y con qué medidas de seguridad.
3. Derechos ARCOP: garantizar y responder en plazo las solicitudes de Acceso, Rectificación, Cancelación (supresión), Oposición y Portabilidad de datos, además del derecho a no ser objeto de decisiones basadas únicamente en tratamiento automatizado. El plazo de respuesta es de 30 días hábiles.
4. Notificación de brechas de seguridad: si ocurre un incidente que compromete datos personales, debe notificarse a la autoridad en un plazo de 72 horas.
5. Medidas de seguridad técnicas y organizativas: implementar controles razonables y verificables para proteger los datos que la empresa trata (desde control de accesos hasta cifrado y protocolos internos).

Cada una de estas obligaciones tiene desarrollo propio más abajo en esta guía.

¿Cuándo se necesita un Delegado de Protección de Datos (DPO)?

No, el DPO no es obligatorio para toda empresa. La Ley 21.719 exige designar un Delegado de Protección de Datos solo en tres escenarios: organismos públicos, empresas cuya actividad principal implique el tratamiento a gran escala de datos sensibles, o empresas que realicen monitoreo sistemático a gran escala de personas.

Esto es un matiz importante y frecuentemente mal entendido: una PYME de retail que solo trata datos de contacto básicos de sus clientes, sin datos sensibles ni monitoreo sistemático, probablemente no está obligada a tener un DPO. En cambio, una clínica que trata datos de salud a gran escala, o una empresa de tecnología que hace perfilamiento masivo de usuarios, sí probablemente lo necesite.

La recomendación práctica es hacer esta evaluación caso a caso: el volumen, la sensibilidad de los datos y el tipo de tratamiento determinan si tu empresa cae en alguno de los tres supuestos. No asumas por defecto ni que necesitas uno, ni que estás exento. Desarrollamos los criterios de decisión en ¿Tu empresa necesita un DPO? Guía para decidirlo.

¿Qué es el RAT y cómo se hace?

El Registro de Actividades de Tratamiento (RAT) es el documento que exige la Ley 21.719 donde una empresa deja constancia formal de cómo trata los datos personales que recolecta: qué datos son, con qué finalidad se usan, quién tiene acceso, cuánto tiempo se conservan, si se transfieren a terceros y qué medidas de seguridad los protegen.

En términos prácticos, armar un RAT implica un proceso de tres etapas:

1. Mapeo de datos: identificar todos los puntos donde la empresa recolecta o almacena datos personales (formularios web, CRM, planillas, sistemas de RRHH, cámaras de seguridad, etc.).
2. Documentación por actividad de tratamiento: para cada flujo de datos identificado, registrar finalidad, base legal, plazo de conservación, encargados de tratamiento involucrados (proveedores externos que procesan los datos por cuenta de la empresa) y medidas de seguridad aplicadas.
3. Mantención: el RAT no es un documento que se hace una vez y se archiva. Debe actualizarse cada vez que cambia un proceso que involucra datos personales.

El RAT es, en la práctica, la prueba principal de que una empresa sabe qué hace con los datos que maneja. Es también lo primero que probablemente pedirá revisar la Agencia de Protección de Datos Personales ante una fiscalización. Tenemos una guía específica paso a paso: RAT: qué es el Registro de Actividades de Tratamiento y cómo armarlo.

¿Qué son los derechos ARCOP y qué plazo hay para responder?

ARCOP es la sigla de los derechos que la Ley 21.719 otorga a todo titular de datos personales: Acceso, Rectificación, Cancelación (o supresión), Oposición y Portabilidad, sumado al derecho a no ser objeto de decisiones basadas únicamente en tratamiento automatizado de datos.

En concreto, cualquier persona cuyos datos tenga tu empresa puede solicitar:

• Acceso: saber qué datos suyos tiene la empresa y cómo los usa.
• Rectificación: corregir datos inexactos o desactualizados.
• Cancelación / supresión: que se eliminen sus datos cuando corresponda.
• Oposición: oponerse a un tratamiento específico de sus datos.
• Portabilidad: recibir sus datos en un formato que pueda transferir a otro proveedor.

La empresa tiene un plazo de 30 días hábiles para responder cada solicitud. Esto exige tener un proceso interno claro: alguien responsable de recibir la solicitud, verificar la identidad del solicitante, ubicar los datos correspondientes y ejecutar la acción dentro de plazo. Sin un proceso definido, este plazo se incumple fácilmente, sobre todo en empresas donde los datos están dispersos entre distintos sistemas.

¿Qué multas arriesgo si no cumplo?

Las multas de la Ley 21.719 se dividen en tres categorías según la gravedad de la infracción:

• Infracciones leves: hasta 5.000 UTM.
• Infracciones graves: hasta 10.000 UTM, y hasta 2% de los ingresos anuales de la empresa en caso de reincidencia.
• Infracciones gravísimas: hasta 20.000 UTM, y hasta 4% de los ingresos anuales de la empresa en caso de reincidencia.

Para dimensionar: 20.000 UTM es una cifra que, para la gran mayoría de las PYMEs chilenas, representa un golpe financiero severo, y para empresas más grandes el criterio de "porcentaje de ingresos anuales" en caso de reincidencia puede superar largamente el monto fijo en UTM. La ley está diseñada para que la sanción escale con el tamaño de la infracción y la reiteración de la conducta, no como un costo fijo y predecible.

Además de la multa, la Agencia de Protección de Datos Personales mantiene un Registro Nacional de Sanciones de carácter público: una empresa sancionada queda expuesta no solo económicamente, sino también en términos de reputación pública y confianza de sus clientes.

¿Qué es la APDP y qué puede hacer?

La APDP, Agencia de Protección de Datos Personales, es el nuevo organismo público creado por la Ley 21.719 para fiscalizar su cumplimiento en Chile. Es una corporación autónoma de derecho público, es decir, no depende jerárquicamente de otro ministerio para ejercer su función fiscalizadora.

Sus principales facultades son:

• Fiscalizar a organizaciones públicas y privadas respecto del tratamiento de datos personales que realizan.
• Sancionar los incumplimientos, aplicando las multas descritas en la pregunta anterior.
• Recibir denuncias de titulares de datos que consideren vulnerados sus derechos.
• Mantener el Registro Nacional de Sanciones, de carácter público y consultable.

La existencia de la APDP es el cambio estructural más relevante respecto de la antigua Ley 19.628: antes no había un organismo con dientes reales para fiscalizar. Ahora sí. Esto transforma el cumplimiento de datos personales de una buena práctica recomendable a una obligación con consecuencias concretas y ejecutables.

¿Qué pasa si hay una brecha de seguridad?

Si ocurre un incidente que compromete datos personales —un acceso no autorizado, una filtración, un ransomware, un correo enviado a quien no correspondía—, la Ley 21.719 exige notificarlo a la autoridad en un plazo de 72 horas. Ese plazo corre desde que la empresa toma conocimiento del incidente, no desde que le acomoda reportarlo.

Cumplir 72 horas sin un protocolo previo es, en la práctica, casi imposible: hay que detectar el incidente, dimensionar qué datos se vieron comprometidos, decidir si corresponde notificar y ejecutar la notificación — todo mientras se contiene el problema técnico. Por eso el protocolo de respuesta ante brechas se prepara antes, no durante. Explicamos el detalle en Notificación de brechas en 72 horas: qué exige la Ley 21.719.

¿Cómo me preparo para la Ley 21.719?

Prepararse para la Ley 21.719 requiere resolver, en orden, cuatro cosas: saber exactamente qué datos trata tu empresa (mapeo y RAT), tener una base legal válida para cada tratamiento (consentimiento conforme donde corresponda), tener un proceso para responder derechos ARCOP y brechas de seguridad dentro de los plazos legales, y contar con medidas de seguridad técnicas razonables.

Hacer esto bien requiere cuatro disciplinas que rara vez conviven en un mismo proveedor: interpretación jurídica rigurosa (qué exige la ley exactamente para tu caso), experiencia en datos (mapear y ordenar cómo fluye la información real de tu empresa), ciberseguridad (medidas de protección verificables) e implementación en software (que tu sitio, formularios y apps efectivamente cumplan lo que el abogado recomendó). Un informe legal sin implementación se queda en el papel. Una implementación técnica sin respaldo jurídico puede estar mal enfocada desde el inicio.

Si quieres saber exactamente en qué situación está tu empresa hoy y qué priorizar antes del 1 de diciembre de 2026, agenda una reunión de diagnóstico gratuita con nuestro equipo. En 30 minutos revisamos tu caso concreto y te decimos qué te falta, sin letra chica.

Agenda tu reunión de diagnóstico →

Contenido informativo y divulgativo, no constituye asesoría legal formal. Para una recomendación aplicable a su empresa, agende una reunión de diagnóstico con nuestro equipo.

Última actualización: 29 de julio de 2026.