Ley 21.719 vs Ley 19.628: qué cambia para tu empresa

La Ley 21.719 deroga por completo a la Ley 19.628 (vigente desde 1999) y entra en vigencia el 1 de diciembre de 2026, trayendo consigo un organismo fiscalizador con poder sancionador real, plazos de respuesta concretos y obligaciones que antes no existían en la práctica. Si tu empresa cumplía —o creía cumplir— con la ley anterior, este artículo te muestra qué cambia y por qué no basta con "seguir haciendo lo mismo de siempre".

Por qué la Ley 19.628 se quedó corta

La Ley 19.628 fue la primera ley de protección de datos personales de Chile, y estuvo vigente durante 25 años. Su problema principal no era tanto lo que decía, sino lo que le faltaba:

• No creaba ningún organismo público dedicado a fiscalizar su cumplimiento.
• No establecía plazos claros ni obligatorios para responder solicitudes de los titulares de datos.
• No contemplaba la obligación de notificar brechas de seguridad.
• Las sanciones, cuando existían, eran menores y de difícil aplicación práctica, sin un ente que las hiciera cumplir de forma sistemática.

El resultado: durante 25 años, la protección de datos personales en Chile funcionó más como una declaración de principios que como una ley con consecuencias reales. Muchas empresas la cumplían de forma parcial o simplemente la ignoraban, porque el riesgo de ser fiscalizado era prácticamente nulo.

Los cambios estructurales de la Ley 21.719

1. Se crea un organismo fiscalizador: la APDP

El cambio más importante no es un artículo específico, sino la creación de la Agencia de Protección de Datos Personales (APDP), una corporación autónoma de derecho público con facultades para fiscalizar, sancionar, recibir denuncias y mantener un Registro Nacional de Sanciones público. Esto es lo que la Ley 19.628 nunca tuvo, y es lo que transforma el cumplimiento de "recomendable" a "exigible con consecuencias".

2. Se establecen plazos concretos y obligatorios

La Ley 21.719 fija un plazo de 30 días hábiles para responder solicitudes de derechos ARCOP (Acceso, Rectificación, Cancelación, Oposición, Portabilidad), y un plazo de 72 horas para notificar brechas de seguridad. La Ley 19.628 no contemplaba plazos de este tipo con esta claridad.

3. Se exige un Registro de Actividades de Tratamiento (RAT)

La obligación de documentar formalmente qué datos se tratan, con qué finalidad y con qué medidas de seguridad, es nueva. Bajo la Ley 19.628, la mayoría de las empresas no tenía ningún registro formal de este tipo.

4. Se endurecen las sanciones y se hacen ejecutables

Las multas de hasta 20.000 UTM (infracciones gravísimas), con hasta un 4% de los ingresos anuales en caso de reincidencia, no tienen comparación con el régimen sancionatorio de la ley anterior. Y, a diferencia de antes, ahora hay un organismo con la función explícita de aplicarlas.

5. Se introduce (con matices) la figura del DPO

La Ley 19.628 no contemplaba la figura del Delegado de Protección de Datos. La Ley 21.719 la introduce, aunque —como se explica en detalle en otro artículo de este blog— solo es obligatoria para organismos públicos, empresas con tratamiento a gran escala de datos sensibles, o monitoreo sistemático a gran escala.

Qué se mantiene

El concepto base de qué es un "dato personal" y la lógica general de que se necesita una base legal para tratarlo no cambian de forma radical: la diferencia está en la exigibilidad, los plazos y las consecuencias, no en la filosofía de fondo de proteger la información de las personas.

Qué significa esto en la práctica para tu empresa

Si tu empresa nunca tuvo un incidente ni una fiscalización bajo la Ley 19.628, es tentador asumir que "no ha pasado nada, no va a pasar nada". Ese razonamiento deja de ser válido a partir del 1 de diciembre de 2026: ahora existe un organismo cuya función es, precisamente, fiscalizar. La ausencia de fiscalización histórica no es garantía de nada hacia adelante.

En términos prácticos, el cambio de ley obliga a tu empresa a:

• Mapear y documentar sus tratamientos de datos (RAT), algo que probablemente nunca hizo formalmente.
• Revisar si sus formularios de consentimiento cumplen el estándar de "informado, específico y revocable".
• Definir un proceso interno para responder derechos ARCOP dentro de 30 días hábiles.
• Preparar un protocolo de respuesta a brechas de seguridad dentro de 72 horas.

Cómo te ayudamos con esta transición

Pasar de "cumplir de palabra" a "cumplir con evidencia documentada y procesos activos" es exactamente el tipo de trabajo que requiere criterio legal aplicado a tu operación real, más implementación técnica concreta. En nuestra evaluación gratuita comparamos tu situación actual con lo que exige la nueva ley y te decimos, en concreto, qué priorizar.

¿Necesitas el contexto completo de la ley antes de profundizar? Parte por la Guía completa de cumplimiento de la Ley 21.719.