La Ley 21.719 es la nueva normativa chilena que regula cómo las empresas, instituciones y organismos públicos recolectan, usan, almacenan y comparten los datos personales de las personas. Reemplaza en gran parte el marco de la antigua Ley 19.628 y crea una autoridad fiscalizadora con facultades para sancionar: la Agencia de Protección de Datos Personales.

Su entrada en vigencia está fijada por ley para el 1 de diciembre de 2026. Sin embargo, el Gobierno ingresó al Senado un proyecto que propone postergarla hasta el 1 de diciembre de 2027. Mientras ese proyecto no sea aprobado y publicado, la fecha legal vigente sigue siendo diciembre de 2026.

Este artículo explica qué establece la ley, qué cambiaría con la postergación propuesta y cómo pueden prepararse las empresas chilenas, especialmente las medianas, que suelen tratar grandes volúmenes de datos de clientes, trabajadores y proveedores sin una estructura formal de cumplimiento.

¿Qué es la Ley 21.719 de Protección de Datos Personales?

La Ley 21.719 es la norma que regula la protección y el tratamiento de los datos personales de personas naturales en Chile. Fue publicada en el Diario Oficial el 13 de diciembre de 2024 y moderniza el régimen de la Ley 19.628, vigente desde 1999.

Un dato personal es cualquier información que permita identificar a una persona natural, directa o indirectamente: nombre, RUT, correo electrónico, dirección, remuneración, historial de compras o imagen, entre otros.

Un tratamiento de datos es cualquier operación que se realice con esa información: recolectarla, registrarla, almacenarla, consultarla, transferirla o eliminarla.

En la práctica, prácticamente toda empresa trata datos personales: al pagar remuneraciones, al emitir facturas a personas naturales, al administrar una base de clientes o al usar un software de gestión en la nube.

¿Cuándo entra en vigencia la Ley 21.719?

Fecha legal actual: 1 de diciembre de 2026

La ley estableció un plazo de 24 meses desde su publicación para entrar en vigencia. Por lo tanto, la fecha que hoy rige es el 1 de diciembre de 2026.

Propuesta del Gobierno: 1 de diciembre de 2027

A fines de agosto de 2026, el Ejecutivo ingresó al Senado un proyecto de ley (Boletín N° 18.623-07), con suma urgencia, que propone:

• Postergar la entrada en vigencia al 1 de diciembre de 2027.
• Ampliar el Consejo Directivo de la Agencia de Protección de Datos Personales de tres a cinco integrantes.
• Adelantar la designación del primer Consejo, que debería realizarse a más tardar doce meses antes de la entrada en vigencia de la ley.
• Establecer un período transitorio en que la Agencia podría aplicar amonestaciones por escrito en lugar de multas.

El fundamento principal es institucional: la Agencia aún no cuenta con su Consejo Directivo instalado, y el Gobierno plantea que la ley debe comenzar a regir con un fiscalizador operativo y reglas claras.

Lo que no cambia con la postergación

El proyecto no modifica el fondo de la ley. Los derechos de las personas, las obligaciones de las empresas y el régimen de sanciones se mantienen. Lo que cambia es el momento desde el cual serán exigibles.

Importante: un proyecto de ley no es una ley. Hasta su aprobación y publicación en el Diario Oficial, las empresas deben considerar el 1 de diciembre de 2026 como fecha de referencia.

Por qué la protección de datos es un tema relevante hoy para las empresas

La gestión de datos personales dejó de ser un asunto exclusivamente tecnológico. Hoy involucra a las áreas de finanzas, recursos humanos, comercial y gerencia general, por tres razones:

• Digitalización de procesos: ERP, CRM, plataformas de remuneraciones y servicios en la nube concentran información personal en sistemas que muchas veces administran terceros.
• Riesgo financiero y reputacional: la nueva ley contempla multas relevantes y un registro público de sanciones, lo que puede afectar la relación con bancos, inversionistas y clientes.
• Exigencias de terceros: grandes clientes, casas matrices extranjeras y procesos de due diligence ya solicitan evidencia de cumplimiento en privacidad como condición para contratar o invertir.

Principales obligaciones que establece la Ley 21.719

Bases de licitud del tratamiento

Toda empresa debe poder justificar por qué trata cada dato personal. La ley reconoce, entre otras, las siguientes bases:

• Consentimiento del titular.
• Cumplimiento de una obligación legal.
• Ejecución de un contrato con el titular.
• Interés legítimo del responsable, siempre que no prevalezcan los derechos del titular.

Principios que deben respetarse

La ley consagra los principios de licitud y lealtad, finalidad, proporcionalidad, calidad, responsabilidad, seguridad, transparencia e información, y confidencialidad. En términos simples: recolectar solo lo necesario, usarlo para el fin informado y protegerlo adecuadamente.

Derechos de los titulares

Las personas podrán ejercer frente a la empresa los derechos de:

• Acceso a sus datos.
• Rectificación de datos inexactos.
• Supresión de datos.
• Oposición al tratamiento.
• Portabilidad de sus datos.
• Bloqueo temporal del tratamiento.
• Oposición a decisiones automatizadas, incluida la elaboración de perfiles.

Esto obliga a contar con un canal y un procedimiento interno para responder dentro de los plazos legales.

Seguridad y reporte de vulneraciones

Las empresas deben adoptar medidas de seguridad acordes al riesgo del tratamiento. Ante una vulneración de seguridad que afecte datos personales, deberán reportarla a la Agencia sin dilaciones indebidas y, en ciertos casos, informar también a los titulares afectados.

Datos sensibles y de niños, niñas y adolescentes

Los datos de salud, biométricos, de origen racial o étnico, entre otros, tienen un régimen de protección reforzado. Lo mismo ocurre con los datos de menores de edad.

Proveedores y transferencias internacionales

Cuando un tercero trata datos por cuenta de la empresa (por ejemplo, un proveedor de remuneraciones o de almacenamiento en la nube), la relación debe regularse por contrato. Las transferencias de datos al extranjero también quedan sujetas a condiciones específicas.

Agencia de Protección de Datos Personales y régimen de sanciones

La ley crea la Agencia de Protección de Datos Personales, un organismo técnico y autónomo encargado de dictar instrucciones, fiscalizar y sancionar.

Las infracciones se clasifican en leves, graves y gravísimas, con multas que, según su gravedad, pueden llegar a 5.000, 10.000 y 20.000 UTM respectivamente. En casos de reincidencia, las multas pueden aumentar de forma significativa. Además, se crea un Registro Nacional de Sanciones y Cumplimiento, de carácter público.

La ley también contempla la posibilidad de implementar un modelo de prevención de infracciones, voluntario y certificable, que puede ser considerado al momento de evaluar una eventual sanción.

Errores comunes al preparar la adecuación a la Ley 21.719

• Asumir que es un tema solo de TI: la ley impacta contratos, procesos de recursos humanos, marketing y finanzas.
• Esperar a que se confirme la postergación para empezar: el levantamiento de información toma tiempo y suele revelar brechas no previstas.
• No saber qué datos se tratan ni dónde están: sin un inventario, es difícil definir bases de licitud o responder solicitudes de titulares.
• Olvidar a los proveedores: muchos incumplimientos se originan en contratos con terceros que no regulan el tratamiento de datos.
• Copiar políticas de privacidad genéricas: una política que no refleja los procesos reales de la empresa no cumple su función.

Cómo aprovechar el tiempo adicional: un enfoque práctico

Si la postergación se aprueba, las empresas contarán con doce meses adicionales. Un camino ordenado para usarlos considera:

1. Diagnóstico inicial: identificar qué datos personales trata la empresa, con qué finalidad, dónde se almacenan y quién accede a ellos.
2. Registro de actividades de tratamiento: documentar cada proceso y su base de licitud.
3. Revisión de contratos: con proveedores, clientes y trabajadores, incorporando cláusulas de protección de datos.
4. Procedimientos para titulares: definir cómo se reciben y responden las solicitudes de acceso, rectificación o supresión.
5. Medidas de seguridad y protocolo de incidentes: establecer cómo se detecta, gestiona y reporta una vulneración.
6. Gobierno y responsables: designar quién lidera el cumplimiento y cómo se reporta al directorio.
7. Evaluación de un modelo de prevención de infracciones: integrarlo, cuando corresponda, con otros sistemas de cumplimiento existentes.

Protección de datos y cumplimiento corporativo

Para muchas empresas, la Ley 21.719 se suma a otras exigencias de cumplimiento, como el Modelo de Prevención de Delitos de la Ley 20.393 y los canales de denuncia. Abordarlas de forma coordinada permite aprovechar controles, responsables y procesos ya existentes, en lugar de construir sistemas paralelos.

Conozca más sobre nuestro enfoque en Consultoría en cumplimiento y gestión de riesgos.

Preguntas frecuentes sobre la Ley de Protección de Datos Personales en Chile

¿La Ley 21.719 ya está postergada?

No. Al 16 de septiembre de 2026, la postergación es un proyecto de ley en tramitación en el Senado. Mientras no se apruebe y publique, la fecha de entrada en vigencia sigue siendo el 1 de diciembre de 2026.

¿A qué empresas aplica la Ley 21.719?

A toda persona natural o jurídica, pública o privada, que trate datos personales en Chile, independiente de su tamaño o rubro.

¿Las pymes también deben cumplir?

Sí. La ley aplica a empresas de todos los tamaños, aunque contempla criterios diferenciados en algunas materias, como la determinación de sanciones.

¿Qué datos se consideran personales?

Cualquier información que permita identificar a una persona natural, como nombre, RUT, correo, teléfono, dirección, remuneración o imagen.

¿Es obligatorio designar un delegado de protección de datos?

La ley no lo exige de forma general para las empresas privadas, pero forma parte del modelo de prevención de infracciones que las organizaciones pueden adoptar voluntariamente.

¿Qué cambia si se aprueba la postergación?

Cambia la fecha desde la cual las obligaciones serán exigibles. Los derechos, obligaciones y sanciones de la ley se mantienen.

¿Qué pasa si una empresa sufre una filtración de datos?

Deberá reportarla a la Agencia de Protección de Datos Personales sin dilaciones indebidas y, según el tipo de datos afectados, informar también a los titulares.

Conclusión

La Ley 21.719 cambia de forma estructural la manera en que las empresas chilenas deben gestionar la información de sus clientes, trabajadores y proveedores. Una eventual postergación al 1 de diciembre de 2027 no reduce esas exigencias: entrega más tiempo para abordarlas con orden.

Comprender qué exige la ley y dónde se encuentran las brechas propias es el primer paso para llegar a la fecha de vigencia con tranquilidad y con información clara para el directorio.

Si su empresa está evaluando cómo iniciar este proceso, en AHD Auditores y Consultores podemos conversar sobre su situación particular. Agende una reunión con nuestro equipo.

Este artículo tiene carácter informativo y no constituye asesoría legal. Actualizado al 16 de septiembre de 2026.