La Ley 21.719 es la nueva ley de protección de datos personales de Chile: reforma la Ley 19.628, crea la Agencia de Protección de Datos Personales y fija multas de hasta 20.000 UTM. Su vigencia legal es el 1 de diciembre de 2026, pero un proyecto del Gobierno propone moverla al 1 de diciembre de 2027.
Si tu organización trata datos de clientes, colaboradores o proveedores en Chile, quedan pocas semanas para demostrar que cumples. A diferencia de la ley de 1999, esta tiene una autoridad con facultades de fiscalización y sanción, y un Registro Nacional de Sanciones público. Esta guía te da una lista de verificación concreta para llegar preparado, con apoyo de Pirani Compliance y Pirani ISMS.
¿Qué es la Ley 21.719?
La Ley 21.719, publicada en el Diario Oficial el 13 de diciembre de 2024, regula la protección y el tratamiento de los datos personales y crea la Agencia de Protección de Datos Personales. Según la guía oficial de la Secretaría de Gobierno Digital, la ley entrará en vigencia el 1 de diciembre de 2026 y reformará íntegramente la Ley 19.628 sobre protección de la vida privada, que pasará a llamarse "Ley sobre protección de los datos personales".
Un dato personal es cualquier información vinculada o referida a una persona natural identificada o identificable. Los datos sensibles son una categoría con protección reforzada: origen étnico, afiliación política o sindical, situación socioeconómica, creencias, salud, datos biométricos, vida y orientación sexual, entre otros.
La ley alinea a Chile con estándares internacionales como el Reglamento General de Protección de Datos (RGPD) europeo e incorpora derechos como la portabilidad y la oposición a decisiones automatizadas.
Si buscas el detalle de cada obligación, los derechos ARCOP y el rol de la Agencia, revisa nuestra guía completa de la Ley 21.719.
Novedades recientes: el proyecto que posterga la vigencia
La Ley 21.719 se publicó el 13 de diciembre de 2024 con 24 meses de transición, por lo que hoy rige el 1 de diciembre de 2026. El 1 de septiembre de 2026 el Gobierno ingresó al Senado un proyecto de ley con tres cambios principales:
- Mover la entrada en vigencia al 1 de diciembre de 2027.
- Ampliar el consejo directivo de la Agencia de Protección de Datos Personales de tres a cinco integrantes, con quórum de tres.
- Permitir que, durante los primeros 12 meses, la Agencia aplique amonestaciones escritas a todos los obligados y no solo a las empresas de menor tamaño.
El debate no está cerrado. Según Pauta, algunos senadores proponen una prórroga de solo 180 días o una entrada en vigencia por etapas, y la Comisión de Constitución del Senado prevé iniciar la discusión en la segunda semana de octubre. La Agencia tampoco está instalada: el Senado rechazó en mayo una propuesta de consejeros.
Qué significa para ti: mientras el proyecto no se apruebe, la fecha legal sigue siendo el 1 de diciembre de 2026. Planifica con esa fecha y trata la prórroga como un margen posible, no como un hecho.
¿A quién aplica?
La ley aplica a toda persona natural o jurídica, pública o privada, que trate datos personales. No distingue por sector: aplica a bancos, aseguradoras, retailers, clínicas, empresas de tecnología, industrias y órganos públicos.
Obligaciones clave para las organizaciones
Deber de información y transparencia. El artículo 14 ter de la ley reformada obliga a mantener a disposición del público, en tu sitio web u otro medio equivalente, al menos: la política de tratamiento, la identificación del responsable, un canal para que los titulares ejerzan sus derechos, las categorías de datos que tratas, las finalidades, la base de legitimidad, las medidas de seguridad, las transferencias internacionales, el plazo de conservación y la existencia de decisiones automatizadas.
Derechos de los titulares. Acceso, rectificación, supresión, oposición y portabilidad. Debes responder dentro de los plazos legales.
Seguridad de los datos. Adoptar medidas técnicas y organizativas apropiadas y notificar las vulneraciones de seguridad a la Agencia y, cuando corresponda, a los titulares.
Modelo de prevención de infracciones. El artículo 49 regula un modelo de prevención de carácter voluntario, que incluye protocolos, reglas y procedimientos. La ley permite además designar un delegado de protección de datos con requisitos de autonomía e independencia.
Transferencias internacionales. Solo a países con nivel adecuado de protección o con garantías, como las cláusulas contractuales modelo aprobadas por el Ministerio de Economía.
Sanciones por incumplimiento
La ley clasifica las infracciones en tres niveles:
En caso de reincidencia, la multa puede triplicarse y, para empresas que no son de menor tamaño, alcanzar el 2% o el 4% de sus ingresos anuales por ventas y servicios en Chile, según se trate de infracciones graves o gravísimas. Las sanciones se inscriben en un Registro Nacional de Sanciones de acceso público. Artículos 35 y 36.
Checklist de cumplimiento antes de la vigencia
Esta lista toma como base la estructura de la guía oficial de Gobierno Digital, adaptada a una organización privada:
- Designa un responsable interno de la implementación con capacidad de gestión y acceso a la alta dirección.
- Levanta tus tratamientos con una matriz que registre: tipo de dato, titulares, si es sensible, finalidad, base legal, fuente, destinatarios, plazo de conservación, sistemas, transferencias internacionales y decisiones automatizadas.
- Elabora un catálogo de datos tratados con la información que exige el artículo 14 ter.
- Aprueba y publica tu política de tratamiento de datos personales.
- Identifica tus brechas frente a la ley en un informe de hallazgos priorizado por riesgo.
- Actualiza contratos con encargados, proveedores y colaboradores con cláusulas de protección de datos.
- Habilita el canal de derechos y define los procedimientos y plazos de respuesta.
- Formaliza tu procedimiento de vulneraciones con criterios de notificación a la Agencia y a los titulares.
- Evalúa el impacto de los tratamientos de alto riesgo, como datos sensibles, perfilamiento o monitoreo masivo.
- Decide si adoptas un modelo de prevención y designas un delegado de protección de datos.
- Capacita a los equipos que tratan datos, en especial datos sensibles.
Privacidad, seguridad y cumplimiento: una sola gestión
La Ley 21.719 no se cumple solo desde el área legal. La política de tratamiento es un documento de cumplimiento; las medidas de seguridad son parte de tu sistema de gestión de seguridad de la información; la notificación de vulneraciones depende de tu proceso de incidentes; y el modelo de prevención se sostiene con auditorías internas. Si ya trabajas con la Ley 21.663 de ciberseguridad, buena parte de la infraestructura de gestión de incidentes y controles es reutilizable.
Lo mismo ocurre con el modelo de prevención de delitos de la Ley 21.595 de delitos económicos: la lógica de identificar riesgos, asignar controles y demostrar su funcionamiento es la misma.
Prepárate para la Ley 21.719 con Pirani
Pirani Compliance te permite convertir cada obligación de la ley en tareas con responsables, fechas y evidencias, y apoyarte en el catálogo de normativas precargadas. Con Pirani ISMS mantienes el inventario de activos de información, evalúas los riesgos de seguridad y gestionas los incidentes con trazabilidad. Y con Pirani Auditoría verificas que los controles funcionan. Pirani cuenta con certificaciones ISO 27001, ISO 9001 y SOC 2 Type II.
Conoce nuestra propuesta para organizaciones chilenas. Puedes agendar una demo o crear una cuenta gratis; no necesitas tarjeta de crédito.
Preguntas frecuentes
¿Cuándo entra en vigencia la Ley 21.719?
Hoy la fecha legal es el 1 de diciembre de 2026. El Gobierno presentó en septiembre de 2026 un proyecto para moverla al 1 de diciembre de 2027, que se discute en el Senado. Hasta que se apruebe, las organizaciones deben prepararse para la fecha original.
¿A quién aplica la nueva ley de datos personales de Chile?
A toda persona natural o jurídica, pública o privada, que trate datos personales de personas naturales, sin importar su sector o tamaño.
¿Cuáles son las multas de la Ley 21.719?
Hasta 5.000 UTM por infracciones leves, 10.000 UTM por graves y 20.000 UTM por gravísimas. En reincidencia, la multa puede triplicarse o alcanzar el 2% o 4% de los ingresos anuales para empresas que no son de menor tamaño.
¿Es obligatorio tener un delegado de protección de datos?
La ley regula el delegado como parte de un modelo de prevención voluntario. Designarlo, con los requisitos de autonomía e independencia que exige la ley, fortalece la posición de la empresa ante la Agencia.
¿Qué debo publicar en mi sitio web?
Según el artículo 14 ter, tu política de tratamiento, la identificación del responsable, el canal de derechos, las categorías de datos, finalidades, bases legales, medidas de seguridad, transferencias internacionales, plazos de conservación y el uso de decisiones automatizadas.
Caso Ueno Bank: Por qué cayó el banco y lecciones de riesgo
7 Criterios para evaluar un Software GRC en 2027
