Ley 21.719: qué deben hacer las empresas antes del 1 de diciembre de 2026
El 1 de diciembre de 2026 entra en vigencia la Ley 21.719, que reforma la antigua Ley 19.628 y cambia la forma en que las empresas chilenas deben recolectar, guardar y proteger los datos personales de clientes, trabajadores y proveedores. Quedan pocas semanas, y gran parte del trabajo de cumplimiento es tecnológico: saber dónde están los datos, quién accede a ellos y cómo se protegen. En esta guía resumimos qué exige la Ley 21.719 a las empresas y por dónde empezar.
Qué es la Ley 21.719 y cuándo entra en vigencia
La Ley 21.719 “regula la protección y el tratamiento de los datos personales y crea la Agencia de Protección de Datos Personales”. Se publicó en el Diario Oficial el 13 de diciembre de 2024, y su artículo primero transitorio fija la entrada en vigencia el primer día del mes vigésimo cuarto posterior a la publicación, es decir, el 1 de diciembre de 2026 (texto de la ley en la BCN).
Existe un proyecto de ley (Boletín 18.623-07) que propone postergar la vigencia al 1 de diciembre de 2027. Al 11 de octubre de 2026 seguía en primer trámite en el Senado, sin votaciones registradas. Mientras no sea aprobado y publicado, la fecha que obliga sigue siendo la de 2026, y el proyecto no cambia las obligaciones de fondo (análisis de Orbix Consultor).
¿A quién aplica?
A toda persona natural o jurídica que trate datos personales, incluidos los órganos públicos. Solo quedan fuera, entre otros, los tratamientos que hacen las personas naturales en sus actividades personales. En la práctica, cualquier empresa que tenga una planilla de clientes, un sistema de remuneraciones o un CRM está dentro.
Las obligaciones que más impactan en la TI de una empresa
1. Medidas de seguridad acreditables
El artículo 14 quinquies obliga a adoptar medidas que aseguren la confidencialidad, integridad, disponibilidad y resiliencia de los sistemas. Menciona expresamente, según el riesgo, la seudonimización y el cifrado, la capacidad de restaurar los datos rápidamente tras un incidente y la verificación periódica de la eficacia de las medidas. Lo más importante: ante un incidente, corresponde a la empresa acreditar que esas medidas existían y funcionaban.
2. Reporte de vulneraciones de seguridad
El artículo 14 sexies exige reportar a la Agencia, “por los medios más expeditos posibles y sin dilaciones indebidas”, las vulneraciones que provoquen destrucción, filtración, pérdida o acceso no autorizado a datos personales cuando exista un riesgo razonable para los titulares. La ley no fija un plazo en horas, pero sí obliga a registrar cada incidente: qué pasó, qué datos y cuántas personas se vieron afectadas y qué medidas se tomaron. Si se trata de datos sensibles, de niños menores de 14 años o de datos financieros o comerciales, también hay que avisar a los afectados.
3. Transparencia y derechos de los titulares
Las personas tienen derecho de acceso, rectificación, supresión, oposición, portabilidad y bloqueo de sus datos. La empresa debe responder en un plazo de 30 días corridos (prorrogable una vez) y publicar en su sitio web su política de tratamiento de datos y sus medidas de seguridad, entre otros antecedentes (artículos 11 y 14 ter).
4. Proveedores que tratan datos por tu cuenta
Si un tercero trata datos por encargo de tu empresa (por ejemplo, el proveedor de soporte, de respaldos o de software en la nube), la relación debe regirse por un contrato que defina el objeto, la duración, el tipo de datos y las obligaciones de las partes. Ese proveedor también debe cumplir el deber de confidencialidad y de seguridad, y avisarte si sufre una vulneración (artículo 15 bis).
¿Qué arriesgas si no cumples?
El artículo 35 fija multas de hasta 5.000 UTM para infracciones leves, hasta 10.000 UTM para graves y hasta 20.000 UTM para gravísimas. En caso de reincidencia la multa puede triplicarse y, en empresas que no son de menor tamaño, llegar al 2% o 4% de los ingresos anuales (artículo 35). Las sanciones quedan inscritas en el Registro Nacional de Sanciones y Cumplimiento, que es público.
Para las pymes existe una regla transitoria: durante los primeros 12 meses, la Agencia podrá aplicar una amonestación escrita en vez de una multa. Es una facultad, no un año libre de sanciones.
Qué significa para tu empresa: 7 pasos recomendados
- Haz un inventario de datos. Lista qué datos personales tratas (clientes, trabajadores, postulantes), en qué sistemas están (servidores, Microsoft 365, Google Workspace, planillas, correo) y quién accede.
- Revisa accesos y contraseñas. Activa la autenticación multifactor (MFA) en correo y aplicaciones en la nube, y elimina las cuentas de exempleados.
- Cifra y respalda. Cifra los notebooks y dispositivos móviles, y asegura respaldos que se puedan restaurar. Prueba la restauración: la ley habla de recuperar los datos “de forma rápida”.
- Prepara un procedimiento de incidentes. Define quién detecta, quién decide si reportar y cómo se registra cada vulneración.
- Actualiza contratos con proveedores. Revisa los acuerdos con quienes tratan datos por tu cuenta e incluye cláusulas de confidencialidad, seguridad y aviso de incidentes.
- Publica tu política de datos. Agrega o actualiza en tu sitio web la política de tratamiento y un canal para que las personas ejerzan sus derechos.
- Documenta todo. Si ocurre un incidente, tendrás que demostrar qué medidas existían. Sin registros, es difícil acreditarlo.
Si tu empresa además presta servicios esenciales, revisa también nuestra guía sobre la Ley Marco de Ciberseguridad (Ley 21.663): una misma filtración puede quedar cubierta por ambas normas.
Preguntas frecuentes
¿La Ley 21.719 aplica a las pymes?
Sí. Aplica a toda persona natural o jurídica que trate datos personales. La ley permite que la Agencia defina estándares diferenciados según el tamaño de la empresa y, durante el primer año, aplicar amonestaciones en lugar de multas a las empresas de menor tamaño.
¿Se postergó la entrada en vigencia?
No, al menos hasta el 11 de octubre de 2026. Existe un proyecto que propone moverla a diciembre de 2027, pero mientras no se apruebe y publique, la fecha vigente es el 1 de diciembre de 2026.
¿En cuánto tiempo hay que reportar una filtración?
La ley no fija un número de horas: exige hacerlo por los medios más expeditos y sin dilaciones indebidas, cuando exista un riesgo razonable para los titulares.
¿Qué tiene que ver mi proveedor de TI?
Si trata datos por cuenta de tu empresa, debe hacerlo bajo contrato, mantener la confidencialidad, aplicar medidas de seguridad y avisarte de cualquier vulneración.
Este artículo es informativo y no reemplaza la asesoría legal de un abogado.
¿Necesitas ayuda para prepararte?
En MG Technologies apoyamos a empresas chilenas con la parte técnica del cumplimiento: inventario de sistemas, MFA, cifrado, respaldo de datos y gestión de incidentes con MG Security. Contáctanos y solicita un diagnóstico de seguridad para tu empresa.
