La Ley 21.719, publicada en el Diario Oficial el 13 de diciembre de 2024, regula la protección y el tratamiento de los datos personales y crea la Agencia de Protección de Datos Personales. Sus cambios a la Ley 19.628 entran en vigencia «el día primero del mes vigésimo cuarto posterior a la publicación», es decir, el 1 de diciembre de 2026 (artículo primero transitorio).
¿Se posterga la ley?
El 1 de septiembre de 2026 ingresó al Senado el boletín 18.623-07, que modifica la Ley 21.719. Según Pauta, el Gobierno propone mover la entrada en vigencia al 1 de diciembre de 2027 y ampliar el consejo directivo de la Agencia de tres a cinco integrantes; algunos senadores plantean prórrogas más cortas, de seis meses. A la fecha de esta publicación el proyecto sigue en tramitación y no ha sido votado.
Mientras no se publique una ley que la modifique, la fecha legal sigue siendo el 1 de diciembre de 2026. Además, la Agencia aún no tiene consejo: el 20 de mayo de 2026 la Sala del Senado desechó la propuesta de consejeros al no reunir los dos tercios requeridos.
Nuestra recomendación es simple: postergar la ley no es postergar la preparación. La mayoría de las obligaciones exige ordenar procesos internos, y eso toma meses.
Qué es un dato personal
La ley lo define como «cualquier información vinculada o referida a una persona natural identificada o identificable», por ejemplo mediante su nombre o su número de cédula de identidad (artículo 2, letra f). En la práctica, la planilla de clientes con RUT, teléfono y correo de una pyme está compuesta de datos personales.
Los datos sensibles reciben una protección mayor. Incluyen, entre otros, los datos relativos a la salud, al perfil biológico humano, los biométricos, el origen étnico, la afiliación sindical, la situación socioeconómica y la orientación sexual (artículo 2, letra g). Clínicas, centros médicos, laboratorios y servicios de recursos humanos tratan datos sensibles a diario.
Los principios que hay que poder demostrar
El artículo 3 fija los principios de licitud y lealtad, finalidad, proporcionalidad, calidad, responsabilidad, seguridad, transparencia y confidencialidad. El punto clave es la responsabilidad: la empresa debe ser capaz de acreditar que trata los datos de forma lícita. Ya no basta con hacerlo bien; hay que poder mostrarlo.
Los derechos de sus clientes
Toda persona tiene derecho de acceso, rectificación, supresión, oposición, portabilidad y bloqueo de sus datos (artículo 4). Cuando un cliente ejerce uno de estos derechos, la empresa debe acusar recibo y responder dentro de 30 días corridos, prorrogables una sola vez por otros 30 (artículo 11).
La ley también reconoce el derecho a oponerse a decisiones basadas solo en el tratamiento automatizado de datos, incluida la elaboración de perfiles, cuando producen efectos jurídicos o afectan significativamente a la persona, con excepciones como la ejecución de un contrato o el consentimiento expreso (artículo 8 bis). Esto es relevante para empresas que usan inteligencia artificial para evaluar clientes.
Dos deberes que suelen pasarse por alto
- Información y transparencia (artículo 14 ter). La empresa debe mantener disponible, en su sitio web o un medio equivalente, su política de tratamiento de datos con fecha y versión, quién es el responsable, un canal para que los titulares ejerzan sus derechos y las categorías de datos que trata, entre otros puntos.
- Reporte de vulneraciones (artículo 14 sexies). Si una falla de seguridad provoca la filtración, pérdida o acceso no autorizado a datos personales con riesgo razonable para las personas, hay que reportarla a la Agencia «sin dilaciones indebidas» y registrarla. Si involucra datos sensibles, datos de menores de 14 años o datos financieros o comerciales, también hay que avisar a cada persona afectada.
Sanciones
El artículo 35 fija multas de hasta 5.000 UTM para infracciones leves (o amonestación escrita), hasta 10.000 UTM para las graves y hasta 20.000 UTM para las gravísimas. Si la empresa no corrige la causa en el plazo que fije la Agencia, no mayor a 60 días, la multa sube 50 %. Ante reincidencia, la multa puede llegar a tres veces el monto; y si una empresa que no es de menor tamaño reincide en una infracción grave o gravísima, puede alcanzar el 2 % o el 4 % de sus ingresos anuales.
Hay un alivio inicial: durante los primeros doce meses de vigencia, a las empresas de menor tamaño la Agencia podrá aplicarles amonestación por escrito en lugar de multa (artículo sexto transitorio). Esa amonestación igualmente queda registrada.
Un modelo de prevención, voluntario pero útil
La ley permite adoptar un modelo de prevención de infracciones, con un delegado de protección de datos designado por la máxima autoridad de la empresa (artículos 49 y 50). Es voluntario, pero haber cumplido diligentemente los deberes de supervisión, acreditado con su certificado, cuenta como atenuante (artículo 36).
Por dónde empezar
El primer paso es saber qué datos tiene la empresa, dónde están y quién accede a ellos. A partir de ese inventario se definen la política, el canal de derechos y el protocolo de incidentes.
Este artículo tiene fines informativos y no constituye asesoría legal. Para decisiones sobre su caso particular, consulte con un abogado. Información vigente al 20 de octubre de 2026.