Chile acaba de dar un paso importante en la protección de los datos personales con la Ley N° 21.719, que regula cómo las empresas y organismos públicos deben manejar la información de los ciudadanos. Esta nueva ley está diseñada para fortalecer la privacidad de los datos personales y poner al país en línea con los estándares internacionales, como el GDPR de la Unión Europea.
Sin embargo, la falta de cumplimiento puede traer serias consecuencias, desde sanciones económicas de hasta 20,000 UTM, hasta daños irreparables a la reputación de las empresas. Con la ley entrando en vigor en diciembre de 2026, es crucial que las organizaciones comiencen a prepararse con anticipación.
Actuar ahora no solo ayuda a evitar las sanciones mencionadas, también ayudará a adaptarse de manera proactiva lo que facilitará la transición hacia las normativas internacionales de privacidad. Aquí te presentaremos una hoja de ruta de dos años para que puedas cumplir con los requisitos de esta ley de manera progresiva.
Qué exige la Ley 21.719 a nivel operativo para las empresas en Chile
Cuando se habla de la Ley 21.719, muchas empresas se quedan en el plano legal: artículos, definiciones y sanciones. Pero, en la práctica, cumplir la ley no es solo entenderla, sino operarla.
A nivel operativo, la ley exige que las organizaciones pasen de acciones aisladas a un programa de protección de datos estructurado y demostrable. Esto implica que la protección de datos deje de ser un “tema de TI” y se convierta en un proceso transversal dentro de la empresa.
En términos simples, la ley espera que las empresas puedan demostrar tres cosas:
1. Que saben qué datos personales tratan y para qué
No basta con decir “tratamos datos de clientes o colaboradores”. La empresa debe tener claridad sobre:
- Qué datos recopila
- De dónde provienen
- Con qué finalidad se usan
- Quién tiene acceso a ellos
Este conocimiento es la base de cualquier estrategia de cumplimiento.
2. Que existen reglas claras sobre cómo se manejan esos datos
La ley exige políticas y procedimientos que definan:
- Cómo se protegen los datos
- Cómo se responden solicitudes de los titulares
- Qué hacer ante un incidente o filtración
Estas reglas deben estar documentadas, actualizadas y alineadas con la operación real del negocio.
3. Que hay controles para hacer cumplir esas reglas
Cumplir la ley no es solo escribir políticas, sino aplicarlas. Esto incluye controles técnicos y administrativos que permitan:
- Limitar accesos
- Detectar riesgos
- Responder a incidentes
- Dejar evidencia de las acciones realizadas
En otras palabras, la Ley 21.719 empuja a las empresas a pasar del “sabemos que debemos cumplir” al “podemos demostrar que cumplimos”. Y ese cambio es el punto de partida de cualquier hoja de ruta realista hacia el cumplimiento.
Roles y responsabilidades en el cumplimiento de la ley de protección de datos
Uno de los errores más comunes al prepararse para la Ley 21.719 es asumir que la protección de datos es responsabilidad de una sola persona o área. La ley, en cambio, exige roles claramente definidos y responsabilidades concretas dentro de la organización.
No se trata necesariamente de crear nuevos cargos, sino de asignar funciones claras y dejar evidencia de quién hace qué.
Responsable del tratamiento
Es la persona o área que decide para qué y cómo se tratan los datos personales. En la mayoría de las empresas, este rol lo asume la propia organización.
En la práctica, el responsable debe:
- Definir las finalidades del tratamiento de datos
- Aprobar políticas y procedimientos de protección de datos
- Asegurar que el tratamiento sea lícito y proporcional
Encargado del tratamiento
Es quien trata los datos por cuenta del responsable. Puede ser un proveedor externo o un área interna.
Sus responsabilidades incluyen:
- Tratar los datos solo bajo instrucciones del responsable
- Aplicar medidas de seguridad adecuadas
- Reportar incidentes o riesgos detectados
Áreas clave involucradas
Más allá de los roles formales, la ley implica a varias áreas del negocio:
- TI, para implementar controles técnicos y de seguridad
- Legal o compliance, para interpretar obligaciones y contratos
- Recursos humanos, cuando se tratan datos de colaboradores
- Operaciones, donde los datos se usan en el día a día
Cuando estos roles no están definidos, el cumplimiento se vuelve frágil. Nadie sabe quién responde, quién aprueba o quién ejecuta. Por eso, uno de los primeros pasos de una hoja de ruta efectiva es asignar responsabilidades claras y documentadas, incluso en empresas pequeñas.
La autoridad no espera perfección, pero sí espera orden, coherencia y trazabilidad. Tener los roles claros es la base para demostrar que el cumplimiento no es improvisado, sino gestionado.
Documentación mínima para demostrar cumplimiento ante la autoridad
Uno de los puntos clave de la Ley 21.719 es que el cumplimiento debe poder demostrarse. No basta con decir que la empresa protege los datos personales; es necesario contar con documentación que respalde cómo y por qué se toman ciertas decisiones.
Esta documentación no tiene que ser compleja ni excesiva, pero sí coherente con la realidad del negocio y mantenida en el tiempo.
A nivel práctico, hay ciertos documentos que toda empresa debería tener como base:
Registro de actividades de tratamiento
Es el documento que responde a una pregunta fundamental: ¿qué datos personales tratamos y con qué finalidad?
Aquí se detalla, entre otros aspectos:
- Tipos de datos tratados
- Finalidad del tratamiento
- Áreas o terceros involucrados
- Medidas de seguridad aplicadas
Este registro es el punto de partida para cualquier revisión o fiscalización.
Políticas internas de protección de datos
Definen las reglas del juego dentro de la organización. Deben explicar, de forma clara:
- Cómo se manejan los datos personales
- Quién puede acceder a ellos
- Cómo se resguardan y por cuánto tiempo
Lo importante es que estas políticas no queden solo “en papel”, sino que reflejen la operación real.
Procedimientos para ejercer derechos de los titulares
La ley refuerza los derechos de las personas sobre sus datos. Por eso, la empresa debe tener definido:
- Cómo recibir solicitudes
- Quién las gestiona
- En qué plazos se responde
Tener este proceso documentado evita improvisaciones y errores.
Protocolos de gestión de incidentes
Ninguna empresa está libre de incidentes. La diferencia está en cómo se responde.
Un protocolo claro permite:
- Detectar incidentes a tiempo
- Mitigar impactos
- Cumplir con obligaciones de notificación
Desde el punto de vista de la autoridad, contar con este protocolo demuestra madurez y responsabilidad.
En conjunto, esta documentación forma la columna vertebral del cumplimiento. No se trata de acumular papeles, sino de tener evidencia clara de que la protección de datos es un proceso gestionado, no una reacción improvisada ante una fiscalización.
Evaluación de impacto en privacidad (DPIA): cuándo es necesaria y cómo abordarla
No todos los tratamientos de datos personales requieren una Evaluación de Impacto en Privacidad (DPIA). Sin embargo, la Ley 21.719 introduce este concepto como una herramienta clave cuando el tratamiento de datos puede generar riesgos relevantes para los derechos de las personas.
En términos simples, una DPIA sirve para responder una pregunta muy concreta:
¿qué puede salir mal si tratamos estos datos y cómo vamos a evitarlo?
Cuándo es necesario realizar una DPIA
Una evaluación de impacto suele ser necesaria cuando el tratamiento:
- Involucra grandes volúmenes de datos personales
- Incluye datos sensibles o especialmente protegidos
- Utiliza nuevas tecnologías o procesos poco habituales
- Puede afectar de forma significativa a los titulares de los datos
No se trata de hacer una DPIA por cumplir, sino de usarla como una herramienta preventiva.
Qué se analiza en una DPIA
Una DPIA bien hecha no es un documento técnico complejo. En esencia, debe:
- Describir el tratamiento de datos y su finalidad
- Identificar riesgos para la privacidad y la seguridad
- Evaluar la probabilidad e impacto de esos riesgos
- Definir medidas para mitigarlos
El valor está en el análisis, no en el volumen del documento.
Cómo abordarla dentro de la hoja de ruta
Desde una perspectiva práctica, la DPIA debe integrarse como un paso natural del cumplimiento, no como una tarea aislada. Lo ideal es:
- Apoyarse en el registro de actividades de tratamiento
- Involucrar a TI, legal y las áreas de negocio
- Documentar decisiones y criterios utilizados
Cuando la autoridad revisa una DPIA, no busca perfección técnica. Busca criterio, razonabilidad y evidencia de que la empresa evaluó los riesgos antes de avanzar.
Usada correctamente, la DPIA no solo ayuda a cumplir la ley, sino que reduce riesgos operativos y evita decisiones que luego pueden generar sanciones o incidentes difíciles de manejar.
Hoja de ruta para evitar sanciones
FASE 1: Diagnóstico y Evaluación Inicial (Meses 1-6)
La primera fase, que puede abarcar los primeros seis meses, tiene como objetivo realizar un diagnóstico completo de la situación actual de la empresa frente a la ley de protección de datos. El resultado esperado es tener una visión clara de los cambios que deben implementarse.
Durante esta fase, se destinará tiempo a entender las prácticas actuales, identificar brechas y planificar los siguientes pasos.
Estas son nuestras recomendaciones:
- Diagnóstico de prácticas actuales: Comienza revisando cómo se están manejando los datos en este momento. ¿Estás cumpliendo con algún estándar de protección y privacidad requeridos?
- Inventario de datos: Haz un inventario completo de los datos personales que maneja tu empresa. Asegúrate de incluir los siguientes puntos en tu checklist:
- Tipo de datos personales recolectados: ¿Qué tipo de información recoges (nombre, dirección, correo electrónico, datos sensibles, etc.)?
- Ubicación de los datos: ¿Dónde se almacenan esos datos? (servidores locales, en la nube, etc.)
- Accesos y permisos: ¿Quién tiene acceso a esos datos dentro de la empresa? ¿Están restringidos según el rol?
- Duración de almacenamiento: ¿Por cuánto tiempo retienes los datos personales y bajo qué justificación?
- Transferencias de datos: ¿Se transfieren los datos a terceros o fuera del país? Si es así, ¿estás cumpliendo con las reglas para las transferencias internacionales?
- Revisión de brechas de cumplimiento: Compara tus prácticas actuales con los requisitos de la ley para identificar cualquier brecha. ¿Qué procesos necesitan ser ajustados para cumplir con la normativa?
- Evaluación de proveedores: Revisa los contratos con proveedores externos que gestionan los datos. Asegúrate de que estén alineados con la nueva ley y, si es necesario, actualízalos.
- Evaluación de Impacto en Protección de Datos (PIA): Determina si necesitas realizar una Evaluación de Impacto, especialmente si tu empresa maneja datos sensibles o realiza procesos de alto riesgo.
FASE 2: Planificación y Diseño de Estrategia (Meses 6-12)
En esta fase, el objetivo es diseñar políticas, procesos y medidas de seguridad que te permitirán estar listo para cumplir con la ley. Tendrás 6 meses para construir una estrategia sólida. Este tiempo debe aprovecharse para planificar cada paso, asignar responsabilidades y asegurarte de que todo esté alineado con los requisitos de la ley. Al final de esta fase, tu empresa tendrá una estrategia clara y bien documentada para avanzar hacia el cumplimiento.
Recomendamos los siguientes pasos:
- Diseñar un cronograma de cumplimiento escalonado: Crea un plan detallado de lo que se debe hacer y cuándo. Esto te ayudará a medir el progreso y asegurarte de que todo esté listo para cuando la ley entre en vigencia.
- Asignación de roles y responsabilidades en el equipo:
- Rol y funciones del DPO: Aunque no es legalmente obligatorio, consideramos que es necesario tener un DPO. Por eso nombra a un Delegado de Protección de Datos (DPO) que se encargue de supervisar el cumplimiento. Su tarea será guiar a la empresa y ser el punto de contacto con la Agencia de Protección de Datos.
- Opciones para micro, pequeñas y medianas empresas: Si tu empresa es pequeña, se puede asignar esta tarea a los dueños o a las autoridades máximas de la empresa o en su defecto, designar algún ente externo que te apoye con la gestión.
- Adaptación de políticas internas:
- Revisar políticas existentes: Haz un repaso de las políticas actuales sobre privacidad y protección de datos, adaptándolas a las nuevas exigencias de la ley.
- Incluir cláusulas sobre transferencia internacional de datos: Si gestionas o transfieres datos fuera del país, asegúrate de incorporar las cláusulas que exigen la ley para que esas transferencias sean legales.
- Definir protocolos para gestionar derechos ARCO (Acceso, Rectificación, Cancelación y Oposición): Crea procesos claros para que los usuarios puedan ejercer sus derechos ARCO. Esto incluye permitir que los titulares de datos accedan, corrijan, eliminen u opongan el uso de sus datos de manera fácil y efectiva.
- Crear un plan de respuesta a incidentes de seguridad:
- Desarrollar planes para responder a violaciones de datos: Si ocurre una filtración de datos, es crucial tener un plan para minimizar el daño y resolver la situación rápidamente.
- Plan de rápida notificación: Define cómo y cuándo notificarás a la Agencia de Protección de Datos y a los afectados en caso de un incidente.
- Capacitación y sensibilización:
- Entrenar a los empleados: Proporciona formación continua sobre los principios de la nueva ley para que todos en la empresa comprendan su importancia y cómo manejar los datos correctamente.
- Establecer una cultura de privacidad y seguridad de datos: Asegúrate de que la privacidad y la seguridad de datos no solo sean tareas de un departamento, sino un compromiso de toda la empresa.
FASE 3: Implementación y Seguridad de Datos (Meses 12-18)
En esta fase, el objetivo es implementar las nuevas políticas de protección de datos con las existentes, asegurando que las medidas de seguridad estén en su lugar para cumplir con la normativa. Durante estos 6 meses, te enfocarás en implementar los controles técnicos y de seguridad que protejan la información personal de manera efectiva. Al finalizar esta fase, tu empresa contará con los sistemas adecuados para garantizar la seguridad de los datos.
- Cifrado y anonimización de datos sensibles: Para proteger la información confidencial, asegúrate de cifrar los datos sensibles (como los de salud o financieros) tanto en tránsito como en reposo. Además, la anonimización es una excelente práctica para garantizar que los datos no sean fácilmente identificables.
- Control de accesos y permisos: Establece controles de acceso estrictos para limitar quién puede ver o modificar los datos. Implementa sistemas de autenticación fuerte y asigna permisos de manera que solo las personas autorizadas tengan acceso a la información sensible.
- Respaldo y recuperación de datos: Define políticas claras de retención de datos, especificando cuánto tiempo se conservarán y cuándo se eliminarán de manera segura. Es vital tener un plan de respaldo de datos para garantizar la recuperación en caso de incidentes.
- Monitoreo y protección de dispositivos corporativos: Los dispositivos corporativos, como computadoras portátiles y teléfonos móviles, deben estar protegidos contra el robo o perdida. Implementa soluciones de gestión y monitoreo de flotas que permitan identificar y actuar ante comportamientos inusuales que puedan poner en riesgo la seguridad de los datos.
- Medidas de ciberseguridad: Implementa protocolos de seguridad como firewalls, software antivirus, y herramientas de detección de intrusos. Estas medidas te ayudarán a prevenir ataques cibernéticos, minimizando el riesgo de filtraciones o pérdidas de datos.
Fase 4: Monitoreo, revisión y actualización (Meses 18-24)
En esta fase, el enfoque está en evaluar el nivel de cumplimiento alcanzado y hacer los ajustes necesarios para garantizar que tu empresa esté completamente lista para la entrada en vigor de la ley en diciembre de 2026. Durante estos últimos 6 meses, se debe realizar un seguimiento constante para corregir cualquier área que necesite mejorar y asegurarse de que todas las políticas y medidas estén al día.
- Auditorías periódicas: Realiza revisiones internas del cumplimiento para asegurarte de que todas las prácticas estén alineadas con los requisitos de la ley. Estas auditorías también te permitirán identificar áreas de mejora y ajustar los procesos según sea necesario. Además, mantén actualizadas las prácticas conforme a nuevas normativas o cambios en los estándares internacionales.
- Evaluar certificaciones en estándares internacionales: Si aún no lo has hecho, considera obtener certificaciones como el GDPR, SOC o ISO 27001. Estas certificaciones no solo te ayudarán a cumplir con la ley, sino que también fortalecen la confianza de clientes y socios al mostrar tu compromiso con la protección de datos.
- Preparar documentación para posibles auditorías externas: Mantén toda la documentación organizada y lista para auditorías externas. Esto incluye los registros de tratamiento de datos, políticas internas actualizadas y pruebas de cumplimiento con los protocolos establecidos. Estar bien preparado facilitará cualquier inspección o revisión por parte de autoridades reguladoras.
Errores comunes al prepararse para cumplir la Ley 21.719
Cuando las empresas comienzan a prepararse para la Ley 21.719, es normal que surjan dudas y decisiones apresuradas. El problema es que muchos de estos errores terminan generando una falsa sensación de cumplimiento.
Estos son algunos de los errores más frecuentes que vemos en la práctica:
Pensar que cumplir la ley es solo un tema legal
Uno de los errores más comunes es delegar todo el cumplimiento al área legal o a un asesor externo. La ley es importante, pero el cumplimiento real ocurre en la operación diaria: en sistemas, accesos, procesos y personas.
Sin controles técnicos y procesos claros, las políticas se quedan en el papel.
Crear documentos que no reflejan la realidad
Muchas empresas redactan políticas “perfectas” que no se aplican en el día a día. Cuando existe una brecha entre lo documentado y lo que realmente ocurre, el riesgo aumenta.
La autoridad no busca documentos ideales, sino coherencia entre lo que se dice y lo que se hace.
No saber dónde están los datos ni quién accede a ellos
Sin un inventario claro de datos y accesos, es imposible gestionar riesgos o responder adecuadamente a un incidente. Este vacío suele aparecer especialmente en empresas que han crecido rápido o tercerizado procesos.
Reaccionar solo cuando aparece un incidente o fiscalización
Esperar a que ocurra un problema para ordenar el cumplimiento suele ser más costoso y complejo. La Ley 21.719 promueve un enfoque preventivo, no reactivo.
Asumir que todas las empresas deben hacer lo mismo
No todas las organizaciones tienen el mismo nivel de riesgo ni la misma madurez. Copiar modelos de cumplimiento sin adaptarlos al tamaño y contexto del negocio suele llevar a sobrecostos o a esfuerzos mal enfocados.
Evitar estos errores no requiere grandes inversiones, sino claridad, priorización y un enfoque realista. Entender dónde está la empresa hoy es tan importante como saber hacia dónde debe avanzar.
Cómo se fiscaliza el cumplimiento y qué puede generar sanciones
Una de las grandes inquietudes de las empresas frente a la Ley 21.719 es entender cómo se fiscaliza el cumplimiento y qué situaciones pueden derivar en sanciones. Más allá del temor a las multas, el foco está en saber qué espera realmente la autoridad.
En la práctica, la fiscalización no parte desde la desconfianza, sino desde la capacidad de la empresa para demostrar que gestiona la protección de datos de forma responsable.
Qué suele revisar la autoridad
Ante una fiscalización o investigación, normalmente se analiza:
- Si la empresa conoce los datos personales que trata
- Si existen políticas y procedimientos formales
- Si los roles y responsabilidades están definidos
- Si hay medidas de seguridad acordes al riesgo
- Si se cuenta con evidencia de acciones y controles
Qué situaciones aumentan el riesgo de sanciones
Algunos escenarios elevan significativamente el riesgo:
- Incidentes sin protocolos ni respuesta documentada
- Falta total de registros o documentación básica
- Incumplimiento reiterado de derechos de los titulares
- Desconocimiento evidente de obligaciones mínimas
Estos casos suelen interpretarse como negligencia, más que como errores puntuales.
El rol de la evidencia en la fiscalización
Un punto clave es que la autoridad no evalúa solo intenciones, sino evidencia concreta. Registros, procedimientos, bitácoras y reportes pesan más que declaraciones generales.
Por eso, incluso cuando existen brechas, una empresa que puede demostrar que identifica riesgos, toma medidas y mejora de forma continua suele estar en una mejor posición frente a una fiscalización.
La Ley 21.719 no busca castigar de forma automática, sino elevar el estándar de gestión de datos personales. Entender cómo se fiscaliza permite enfocar los esfuerzos en lo que realmente reduce el riesgo legal y operativo.
Cómo priorizar la hoja de ruta según tamaño y madurez de la empresa
Uno de los mayores desafíos al hablar de cumplimiento es pensar que todas las empresas deben recorrer el mismo camino. La Ley 21.719 fija un estándar común, pero no todas las organizaciones parten desde el mismo punto ni enfrentan los mismos riesgos.
Por eso, una hoja de ruta efectiva no se construye copiando modelos ajenos, sino priorizando según el tamaño, la complejidad y la madurez operativa de la empresa.
Empresas pequeñas o con equipos reducidos
En organizaciones más pequeñas, el foco debe estar en lo esencial:
- Saber qué datos personales se tratan
- Definir roles claros, aunque una persona cumpla varios
- Contar con políticas básicas y procesos simples
- Tener visibilidad mínima sobre accesos y dispositivos
Aquí, la clave es ordenar antes de sofisticar. No se necesita un programa complejo, sino claridad y control básico.
Empresas medianas en crecimiento
A medida que la empresa crece, también lo hacen los riesgos. En este punto, la hoja de ruta debe priorizar:
- Formalizar documentación y registros
- Integrar la protección de datos en procesos clave
- Implementar controles técnicos más consistentes
- Prepararse para responder a incidentes de forma estructurada
El objetivo es pasar de acciones aisladas a un sistema de gestión más estable.
Organizaciones con mayor madurez o alta exposición al riesgo
Empresas que tratan grandes volúmenes de datos, datos sensibles o que operan con múltiples proveedores necesitan un enfoque más avanzado:
- DPIA recurrentes en tratamientos críticos
- Gobernanza clara y seguimiento continuo
- Auditorías internas y mejora continua
- Mayor trazabilidad y control operativo
En estos casos, la protección de datos deja de ser un proyecto y se convierte en un proceso permanente.
Independiente del tamaño, el error más común es intentar hacerlo todo al mismo tiempo. Una buena hoja de ruta permite priorizar lo que reduce mayor riesgo primero, avanzar por etapas y construir cumplimiento de forma sostenible.
Desde el diagnóstico hasta el cumplimiento
Adaptarse a la nueva Ley de Protección de Datos no tiene por qué convertirse en un proceso complejo o abrumador. Cuando se aborda de forma ordenada, el cumplimiento deja de ser una urgencia reactiva y pasa a ser un proceso gestionado.
Todo comienza con un diagnóstico honesto: entender qué datos personales se tratan, cómo se usan y dónde existen brechas. A partir de ahí, el siguiente paso es definir una hoja de ruta clara, con prioridades realistas y acciones concretas, que permita avanzar desde la intención hacia la implementación.
El cumplimiento no termina cuando se escriben políticas o se adoptan controles iniciales. La ley exige que las medidas se mantengan en el tiempo, se revisen y se ajusten a medida que el negocio evoluciona. Por eso, las revisiones periódicas y la mejora continua son parte fundamental del proceso.
Seguir este enfoque no solo reduce el riesgo de sanciones. También ayuda a que la empresa opere con mayor orden, transparencia y alineación con estándares internacionales como el GDPR, fortaleciendo la seguridad de los datos y la confianza de clientes, colaboradores y socios.
