Qué es la Ley 21.719 y qué cambia respecto a la Ley 19.628
La Ley 21.719 entra en vigencia el 1ro de diciembre de 2026. Para tu equipo de TI eso significa comenzar a pisar el acelerador y tener las cosas en orden, pasar de "tenemos políticas de protección" a "podemos demostrar qué dispositivo tiene qué dato, en qué momento y bajo qué control". Ese cambio no es de papeleo, es de trazabilidad.
Las sanciones son concretas: hasta 20.000 UTM por infracción gravísima, y hasta 4% de tus ingresos anuales en Chile si la Agencia detecta reincidencia. Legal te va a pasar la ley y va a esperar respuestas tuyas.
En esta guía vas a encontrar qué cubre la 21.719, a quién aplica, las obligaciones que caen sobre TI, el detalle de las multas, un plan 30/60/90 accionable y cómo generar la evidencia operativa que la Agencia puede pedir.
Porque la Ley 21.719 no te pide más papeles. Te pide evidencia operativa. Y esa evidencia vive en toda tu infraestructura donde están tus datos, no en tus carpetas compartidas.
La Ley 21.719 fue publicada en el Diario Oficial el 13 de diciembre de 2024. Ese período de transición de 24 meses no es un regalo, es un deadline. Reemplaza parcialmente a la Ley 19.628, que venía rigiendo la protección de datos en Chile desde 1999 con sanciones bajas y casi cero fiscalización. La Ley 19.628, quedó corta frente a los avances tecnológicos y la 21.719 la reemplaza fortaleciendo la protección de datos personales y alineándose con normativas internacionales como el GDPR.
Lo que cambia en la práctica es el nivel de exigencia: crea la nueva Agencia de Protección de Datos Personales, con atribuciones para fiscalizar, sancionar y ordenar medidas correctivas. Incorpora derechos ARCO completos (acceso, rectificación, cancelación, oposición) más portabilidad, exige notificación obligatoria de brechas a la Agencia y a los titulares afectados, y sube el techo de multas a niveles que un comité ejecutivo sí mira.
Si tu organización ya cumple con GDPR, la brecha es menor. La 21.719 está fuertemente alineada con GDPR, así que puedes reutilizar políticas, registros de tratamiento y procedimientos. Si no tienes GDPR implementado, la brecha es mayor y el plan se vuelve mas complejo pero no imposible.
La ley también conversa con la Ley 21.663 Marco de Ciberseguridad: la 21.663 regula controles de ciberseguridad y la 21.719 regula datos personales. Se complementan, no se superponen.
Principios fundamentales
La nueva legislación establece principios fundamentales para el tratamiento y protección de los datos personales: licitud y lealtad, finalidad, proporcionalidad, calidad, responsabilidad, seguridad, transparencia e información, y confidencialidad.
Estos principios aseguran que el tratamiento sea legítimo, necesario, seguro, transparente, y que los datos sean precisos, usados solo para fines específicos, con consentimiento del titular y protegidos con medidas adecuadas.
Además, el proyecto de ley que dio origen a esta normativa es fundamental en la estructura legal y normativa del país, subrayando la importancia de la protección de la privacidad y los derechos de los ciudadanos.
Estos pilares establecen directrices claras para manejar datos con transparencia y seguridad, prohibiendo recolección excesiva y su uso engañoso.
A quién aplica y qué datos cubre
La 21.719 aplica a cualquier organización, pública o privada, que trate datos personales de residentes en Chile. El tamaño no importa: la misma exigencia llega a una startup de 15 personas que a un banco con 3.000 empleados. Lo que cambia es la proporcionalidad de los controles, no la obligación.
Hay extraterritorialidad: si tu empresa está en Perú o México pero trata datos de usuarios en Chile (clientes, leads, postulantes), también aplica. Eso cubre casos típicos como SaaS regionales, e-commerce cross-border o marketplaces.
En cuanto a qué cuenta como dato personal, la lista es más amplia de lo que la mayoría asume. Incluye datos de contacto (nombre, email, teléfono), identificadores únicos (RUT, pasaporte, IP, MAC address), información laboral (cargo, remuneración, evaluaciones), transaccional (compras, preferencias, historial) y sensibles (salud, origen étnico, vida sexual, datos biométricos, ubicación geolocalizada precisa). Los sensibles tienen requisitos más estrictos: consentimiento expreso, restricciones de tratamiento y medidas reforzadas. Escribimos más en detalle en este articulo sobre datos personales vs datos sensibles.
Un punto que muchas veces se pasa por alto: los datos de colaboradores también son datos personales. El RUT en una planilla, la evaluación de desempeño en un Google Drive compartido, la geolocalización de un vehículo corporativo, todo entra. Y los contratos con proveedores que procesan datos por ti (el famoso CRM en la nube, la herramienta de payroll, el proveedor de helpdesk) tienen que tener DPAs firmados antes de diciembre de 2026.
Quick win: (1) Haz una lista rápida en 30 minutos de los 5 sistemas donde se concentran datos personales en tu organización (ERP, CRM, RRHH, Helpdesk, etc). (2) Identifica al menos una fuente "oculta" — planillas de RRHH, chats internos, laptops de terreno. (3) Marca cuáles contienen datos sensibles: esos son tu prioridad uno.
Quién fiscaliza: la Agencia de Protección de Datos Personales y el DPO
La Agencia de Protección de Datos Personales es el organismo que fiscaliza y sanciona el cumplimiento de la Ley 21.719 en Chile. Dentro de cada organización, el delegado de protección de datos (DPO) supervisa los procesos, asesora en la correcta aplicación de la ley y actúa como enlace entre la empresa y la Agencia.
La Agencia es una figura nueva: hasta ahora la fiscalización recaía de forma limitada en el Consejo para la Transparencia bajo la Ley 19.628. La 21.719 crea un organismo dedicado, con atribuciones para fiscalizar, sancionar y ordenar medidas correctivas.
Lectura relacionada: Qué es un DPO y para qué sirve
Webinar: Cómo los equipos TI deben prepararse para Ley 21.719
Conoce como preparte en tiempo y forma para la ley 21.719.
Ver webinar
Qué obligaciones concretas tiene tu empresa
Las organizaciones deben documentar sus prácticas, aplicar políticas de protección de datos y asegurarse de que sus equipos comprendan la relevancia de estos controles. Además, deberán notificar a la Agencia de inmediato cualquier incidente que ponga en riesgo la información de sus usuarios y demostrar el origen legítimo de los datos recopilados.
En el Checklist de cumplimiento de la Ley 21.719 que elaboramos junto con Chiletec (junio 2026), el cumplimiento se desglosa en 11 bloques y 63 controles accionables, desde el mapeo de datos hasta la respuesta ante brechas.
Checklist de Cumplimiento – Ley de protección de datos (21.719)
¿Quieres empezar con una hoja de ruta clara? Descarga este checklist práctico y prepara a tu organización para cumplir con las nuevas exigencias de la Ley de protección de datos de Chile.
Descargar gratis
Derecho de los usuarios (ARCO)
Arco son las siglas de los derechos de los titulares de datos: Derechos de Acceso, Derechos de Rectificación, Derecho de Cancelación y Derecho de Oposición sobre sus propios datos. Así las personas tendrán más control sobre su información. De esta forma podrán ver cómo se usa, corregir errores, pedir borrados y negarse a tratamientos no autorizados. Al ejercer estos derechos los titulares tendrán la tranquilidad de que sus datos no se usarán mal.
Implicaciones de la ley con respecto a los menores de edad
Bajo la Ley 21.719, los datos personales de niños, niñas y adolescentes (NNA) reciben protección reforzada: el consentimiento del propio menor no basta, el tratamiento requiere autorización verificable de sus padres o tutores, y toda decisión debe regirse por el interés superior del menor. Los datos solo pueden usarse en su beneficio, nunca con fines comerciales o publicitarios.
Si tu organización maneja datos de menores (matrículas, fichas de salud escolar, plataformas educativas), el primer paso es saber dónde viven esos datos y en qué dispositivos se acceden. Sin visibilidad de esos endpoints no puedes demostrar que el acceso está restringido, ni que un equipo perdido no expuso la información de un menor.
Implicaciones de la ley en el sector salud
El tratamiento de datos médicos tiene un nivel adicional de cuidado ya que implica información muy sensible. Las instituciones deben implementar medidas más estrictas como cifrado y protocolos de acceso limitado y tener consentimiento expreso de los titulares. Solo en casos de emergencia o interés público se podrá exceptuar este requisito estricto.
Lectura recomendada: Protección de datos en el sector salud
Sanciones: cómo se calculan y cuánto puede costar
La Ley 21.719 clasifica las infracciones en tres niveles, con multas máximas de 5.000 UTM para las leves, 10.000 UTM para las graves y 20.000 UTM para las gravísimas. Si una infracción grave o gravísima se repite y la entidad no califica como pequeña, la multa puede escalar al 2% o 4% de sus ingresos anuales por ventas y servicios en Chile.
La nueva normativa no solo contempla multas considerables, sino que también puede poner en jaque la reputación de quienes manejen datos personales de forma descuidada. Cumplir con este marco legal no es solo un tema de dinero: una brecha de seguridad puede generar desconfianza y afectar la credibilidad de una organización. Un incidente, aunque parezca menor, puede transformarse en multas y en un daño de imagen difícil de revertir ya que sin importar el incidente, todo estará registrado.
Riesgos: las consecuencias van más allá de las multas, abarcando pérdida de clientes, cuestionamientos en redes sociales y posibles demandas. Mantener una buena reputación se convierte en un desafío si no se implementan medidas sólidas para proteger la información.
Ejemplos de infracciones leves, graves y gravísimas
- Infracciones leves: Corresponden a errores que no cumplen totalmente las normas de gestión y protección de la información. Un ejemplo sería no informar a tiempo sobre cambios relevantes en el uso de datos o incumplir requisitos mínimos de transparencia. Aunque no necesariamente generan un daño masivo, sí evidencian descuidos que pueden afectar la confianza del titular.
- Infracciones graves: Implica un perjuicio relevante para la privacidad de las personas, pone en riesgo la confidencialidad y la legitimidad del uso de datos. Entre ellas están la recolección o tratamiento de información sin consentimiento, divulgación no autorizada de datos sensibles y negar a los titulares el ejercicio de sus derechos de acceso, rectificación o eliminación de datos.
- Infracciones gravísimas: Son transgresiones con un propósito malicioso o conciencia plena de su gravedad. Esto incluye usar datos personales de manera fraudulenta, divulgar información distorsionada sobre un titular, violar deliberadamente el secreto de datos sensibles o llevar a cabo transferencias internacionales con pleno conocimiento de su ilegalidad. Además, la omisión intencional de reportar brechas de seguridad y la desobediencia a resoluciones de la Agencia también se contemplan en este grupo.
Qué controles técnicos exige la ley
Para alinearse con la nueva normativa, las organizaciones necesitan ir más allá de las medidas básicas de resguardo y exige un nivel adecuado de protección y seguridad de la información. Esta normativa se basa en gran medida en el Reglamento General de Protección de Datos de la Unión Europea, elevando los estándares de protección de datos en el país.
La clave es un enfoque preventivo que permita anticiparse a brechas, proteger la infraestructura y reaccionar de forma coordinada si sucede algo imprevisto.
A nivel práctico, prioriza:
- Inventario de datos
- Control de accesos (mínimo privilegio).
- Gestión de dispositivos y endpoints (inventario real).
- Cifrado donde corresponda y backups probados.
- Detección + contención: qué haces en las primeras 2 horas de un incidente.
Si tu organización ya trabaja con marcos de ciberseguridad, alinear privacidad con ese marco reduce trabajo duplicado.
Banco de datos inventariado
Identificar qué tipo de datos de carácter personal se recopila y almacena la empresa. Saber exactamente qué información se maneja y dónde se encuentra permite definir una evaluación de impacto acertada, establecer mejores controles y políticas de protección.
Controles técnicos de medidas de seguridad (encriptación, wipe, restauración, back up)
Incluir cifrado soluciona problemas de privacidad al codificar la información, mientras que el borrado remoto (wipe) es útil en caso de equipos extraviados o robados. Contar con planes de restauración garantiza la disponibilidad de los datos, y las copias de seguridad regulares permiten recuperar información ante incidentes como ataques informáticos o fallas de hardware. Conoce más sobre estrategias para la prevención de brechas de datos.
Políticas de seguridad de la info
Las empresas deben delinear normas internas que guíen la gestión de datos y orienten a los equipos sobre las mejores prácticas de protección. Estas directrices deben abarcar desde el acceso restringido a la información hasta la clasificación de datos por nivel de criticidad, ajustándose a los requisitos regulatorios y a las características específicas de cada organización.
Respuesta ante incidente
Un procedimiento claro de reacción incluye asignar roles, definir comunicaciones internas y externas, y establecer planes de mitigación (conozca más sobre como definir un plan de respuesta ante incidentes). Esto facilita la toma de decisiones rápidas para minimizar el impacto y restaurar la operación con la menor interrupción posible. Ensayar estos planes permite que el equipo actúe con confianza y prontitud cuando ocurre un incidente real.
Notificación de incidentes
Informar a la Agencia y a los titulares involucrados con la suficiente rapidez es esencial para mantener la transparencia y brindar soporte adecuado a quienes pueden verse afectados. Esta práctica también envía una señal de responsabilidad y compromiso con la protección de datos, lo que contribuye a conservar la credibilidad y la buena relación con los clientes. Para más detalles sobre el proceso, consulta nuestra guía de notificación de brechas de datos personales.
Plan de cumplimiento (30/60/90 días)
Con poco más de tres meses en el reloj, no alcanza para rediseñar la organización. Alcanza para cerrar lo crítico si el plan está bien priorizado. La forma que mejor funciona en equipos de TI chilenos es un 30/60/90 con entregables claros por sprint y un dueño nominal.
Primeros 30 días (ordenar la casa)
Objetivo: saber qué tienes, dónde está y quién accede.
- Inventario de tratamiento: levanta el RAT por área (ventas, RRHH, finanzas, TI). No apuntes al 100%, apunta a cubrir el 80% de datos sensibles.
- Mapeo de accesos: exporta usuarios con acceso privilegiado a sistemas con datos personales. Revisa cuentas de excolaboradores activas.
- Terceros críticos: lista de los 10 proveedores con mayor volumen de datos procesados. Identifica cuáles no tienen DPA firmado.
- Canal ARCO: define un email dedicado (privacidad@tudominio.cl) y un workflow básico de atención.
31–60 días (gobernanza + evidencia)
Objetivo: pasar de "lo hacemos" a "lo documentamos con fecha y firma".
- Políticas: publica la política de privacidad actualizada por canal (web, app, portal empleado). Versiona cambios.
- DPAs: negocia y firma Data Processing Agreements con los 10 proveedores críticos.
- Matriz de riesgo: desarrolla una matriz e identifica los 5 escenarios de brecha más probables y su impacto.
- Procedimiento de incidentes: playbook de 72 hrs con roles, canales y plantilla de notificación a la Agencia.
- Registro de evidencias: define dónde y cómo se guardan logs, reportes y tickets.
61–90 días (control y mejora continua)
Objetivo: ejecutar los controles técnicos priorizados y probar que funcionan.
- Controles técnicos: accesos (MFA en todo lo crítico), endpoints (cifrado completo en 100% de laptops, remote wipe verificable), backup (restore test documentado).
- Simulación ARCO end-to-end: toma una solicitud real o simulada y ejecútala hasta generar evidencia exportable.
- Tabletop de incidente: ejercicio de 90 minutos con legal, TI y liderazgo simulando una brecha.
- Backlog continuo: define los siguientes 90 días post-diciembre 2026.
Para una versión más detallada por etapa, revisa la hoja de ruta detallada.
Quick win: (1) Agenda el kickoff con legal, compliance y liderazgo esta semana — no el próximo mes. (2) Define un único dueño nominal del plan (no puede ser "el área de TI"). (3) Pon un checkpoint mensual de 30 minutos con métricas: % de obligaciones en verde, # de DPAs firmados, cobertura de cifrado.
Qué evidencia va a pedir la Agencia primero
La Agencia no pide declaraciones, pide evidencia operativa con fecha. En la práctica: registro de actividades de tratamiento, contratos con terceros (DPA), políticas publicadas y versionadas, solicitudes ARCO cerradas con trazabilidad, y logs de incidentes, cifrado y borrados remotos. Esa evidencia no se produce el día de la fiscalización: se genera sola cuando hay visibilidad y control sobre la flota de dispositivos.
El 1 de diciembre de 2026 no es una fecha simbólica. Es el día en que la Agencia puede empezar a pedir evidencia real y aplicar multas que se miden en porcentajes de ingresos. Tu equipo de TI tiene unos pocos meses para dejar de hablar de políticas y empezar a producir evidencia: inventarios exportables, logs datados, reportes de cifrado, registros de wipes, tickets ARCO cerrados con trazabilidad.
La ley no te pide papeles, te pide evidencia operativa. La buena noticia es que esa evidencia no se inventa el día de la fiscalización, se genera naturalmente cuando tienes visibilidad, control y logs sobre tu flota de dispositivos.
Lo que puedes hacer el lunes en la mañana: toma la tabla de obligaciones, márcala en rojo, amarillo y verde con tu equipo, y define el primer sprint de 30 días. Ese es tu punto de partida.
Como Prey puede ayudar con el cumplimiento
Prey ofrece una solución integral para gestionar y proteger dispositivos de todo tipo, ayudando a las organizaciones a cumplir con la nueva normativa de datos sin complicaciones. Con un enfoque multiplataforma y herramientas que van desde el rastreo hasta la encriptación remota, se facilita la implementación de protocolos de seguridad sólidos, incluyendo monitoreo de la dark web para credenciales comprometidas. De esta forma, se reducen los riesgos de incidentes y se fortalece el control de la información.
Características de Prey que ayudan a cumplir con la nueva Ley
- Protección y seguimiento de dispositivos: Permite localizar, bloquear y recuperar equipos en caso de pérdida o robo, asegurando la continuidad operativa y la protección de datos.
- Remote Wipe y Factory Reset: Borra o restaura de forma remota la información sensible, evitando su acceso por personas no autorizadas.
- Gestión de préstamos y automatizaciones: Controla asignaciones temporales de equipos con alertas y bloqueos si no se devuelven a tiempo, manteniendo la visibilidad total sobre su estado.
- Cifrado de discos y Kill Switch (Windows): Eleva el nivel de protección con BitLocker y la capacidad de inutilizar equipos, previniendo accesos malintencionados a la información almacenada.
Protege tus datos y cumple con la normativa de forma sencilla y efectiva. Agenda una demo con nosotros para conocer más!
Preguntas frecuentes acerca de la Ley de Protección de Datos
¿Qué es la Ley 21.719 en Chile?
La Ley 21.719 es la ley chilena que regula la protección y el tratamiento de los datos personales. Se publicó en el Diario Oficial el 13 de diciembre de 2024 y entra en plena vigencia el 1 de diciembre de 2026. Reemplaza el marco de la Ley 19.628 de 1999, crea la Agencia de Protección de Datos Personales como organismo fiscalizador y eleva las sanciones hasta 20.000 UTM. Para un equipo de TI el cambio concreto no es tener más controles, sino poder demostrar los que ya tienes con evidencia.
¿Cuándo entra en vigencia la Ley 21.719?
La Ley 21.719 entra en plena vigencia el 1 de diciembre de 2026, aunque fue publicada en el Diario Oficial el 13 de diciembre de 2024. Este período de transición de 24 meses busca dar tiempo a las organizaciones para adecuar sus procesos, políticas y controles técnicos antes de que la nueva Agencia empiece a fiscalizar.
¿Qué organismo fiscaliza el cumplimiento de la Ley 21.719?
La Agencia de Protección de Datos Personales, creada por la propia Ley 21.719. Tiene atribuciones para fiscalizar, sancionar y ordenar medidas correctivas. Reemplaza el esquema anterior, en el que la fiscalización recaía de forma limitada en el Consejo para la Transparencia bajo la Ley 19.628.
¿A qué empresas aplica la ley?
A cualquier organización que trate datos personales en Chile (clientes, usuarios, colaboradores o proveedores), especialmente si usa sistemas, formularios, CRMs o plataformas de soporte.
¿Cuál es la diferencia entre la Ley 19.628 y la Ley 21.719?
La Ley 19.628 regulaba la protección de datos en Chile desde 1999 con sanciones limitadas y fiscalización vía Consejo para la Transparencia. La Ley 21.719 crea una Agencia de Protección de Datos dedicada, incorpora derechos ARCO completos, notificación obligatoria de brechas y sanciones de hasta 20.000 UTM (o 4% de ingresos anuales en caso de reincidencia grave).
¿Qué multas establece la Ley 21.719?
Las sanciones se clasifican en tres niveles. Infracciones leves hasta 5.000 UTM, graves hasta 10.000 UTM y gravísimas hasta 20.000 UTM. En caso de reincidencia en infracciones graves o gravísimas, la multa puede alcanzar el 2% o 4% de los ingresos anuales por ventas y servicios en Chile.
¿Cuándo es obligatorio designar un DPO?
Depende del tipo de datos, escala y riesgo. Lo recomendable es evaluar el rol y definir responsables formales de privacidad, aunque no se nombre "DPO" desde el día 1.
¿Qué principio obliga a demostrar el cumplimiento con políticas, registros y auditorías?
El principio de responsabilidad, uno de los ocho que establece la Ley 21.719 junto a licitud y lealtad, finalidad, proporcionalidad, calidad, seguridad, transparencia e información, y confidencialidad. No basta con cumplir: hay que poder acreditarlo con evidencia documentada.
¿Qué evidencia debería guardar?
Esta es la evidencia operativa que debe generar TI para cumplir con la ley 21.719: Registro de tratamientos (aunque sea simple), contratos con terceros, políticas publicadas, registro de solicitudes y registro de incidentes/simulaciones.
¿Cómo empiezo si no tengo nada armado?
Inventario de datos + accesos + terceros + proceso de solicitudes. Ese sprint crea base real para todo lo demás. Puedes obtener la guía completa aquí.
¿Cómo trata la Ley 21.719 los datos personales de menores de edad?
La Ley 21.719 da protección reforzada a los datos de niños, niñas y adolescentes. El menor no puede consentir por sí solo: se requiere autorización verificable de sus padres o tutores, el tratamiento debe atender al interés superior del menor y los datos no pueden usarse con fines comerciales ni publicitarios. En la práctica, quien maneje datos de menores —colegios, universidades, plataformas educativas— debe tratarlos con el mismo rigor que un dato sensible y guardar evidencia de quién otorgó el consentimiento.
