Qué es la Ley 21.719
La Ley N.º 21.719 moderniza el régimen chileno de protección y tratamiento de datos personales. Modifica la Ley N.º 19.628, amplía los derechos de las personas, establece deberes para responsables y encargados, incorpora un sistema de fiscalización y crea la Agencia de Protección de Datos Personales.
La norma no se limita a sitios web ni a bases de marketing. Comprende operaciones realizadas sobre información de personas naturales, como recopilar, registrar, organizar, almacenar, consultar, comunicar, transferir, modificar, bloquear o eliminar datos.
Cuándo entra en vigencia
La Ley N.º 21.719 fue publicada el 13 de diciembre de 2024. Sus disposiciones entran en vigencia el 1 de diciembre de 2026, conforme a sus reglas transitorias. Hasta entonces continúa siendo indispensable cumplir el marco vigente y preparar de manera ordenada la transición.
La fecha no debe tratarse como el inicio del proyecto. Inventariar tratamientos, revisar contratos, definir procedimientos y modificar sistemas requiere coordinación entre áreas y evidencia de las decisiones.
A quién se aplica
La aplicación debe analizarse según quién realiza el tratamiento, dónde está establecido y qué relación tiene el tratamiento con titulares ubicados en Chile. Pueden quedar comprendidas personas naturales y jurídicas, públicas o privadas, que determinen las finalidades y medios del tratamiento o que procesen datos por cuenta de otra organización.
No conviene decidir la aplicabilidad únicamente por el tamaño de la empresa. Una pyme, fundación, colegio, clínica, comercio electrónico o proveedor tecnológico puede tratar datos de clientes, trabajadores, postulantes, pacientes, estudiantes, usuarios o proveedores.
Principios que orientan el tratamiento
El tratamiento debe evaluarse a la luz de principios como licitud y lealtad, finalidad, proporcionalidad, calidad, responsabilidad, seguridad, transparencia e información y confidencialidad. Estos principios se traducen en preguntas concretas: ¿existe una finalidad definida?, ¿los datos son necesarios?, ¿se mantienen exactos?, ¿quién accede?, ¿cuándo se eliminan? y ¿cómo puede demostrarse la decisión?
Derechos de las personas
La reforma fortalece el control de los titulares sobre sus datos. La organización debe estar preparada para recibir y gestionar solicitudes de acceso, rectificación, supresión, oposición, portabilidad y bloqueo cuando corresponda. También debe informar de manera comprensible el tratamiento y habilitar canales adecuados.
Responder requiere más que un formulario: se necesita verificar identidad de manera proporcional, localizar datos en distintos sistemas, evaluar excepciones, ejecutar la decisión y conservar evidencia del procedimiento.
Obligaciones de responsables y encargados
Entre las materias que deben revisarse están la información entregada a los titulares, las bases de licitud, la seguridad, los contratos con encargados, la gestión de incidentes, las transferencias internacionales, la protección desde el diseño y la demostración del cumplimiento. La obligación concreta depende del rol, el tratamiento y el riesgo.
El responsable determina finalidades y medios esenciales. El encargado trata datos por cuenta del responsable siguiendo sus instrucciones. Identificar correctamente estos roles es necesario para distribuir deberes y redactar contratos coherentes.
Agencia, fiscalización y sanciones
La Ley crea la Agencia de Protección de Datos Personales como autoridad especializada. Entre sus funciones se encuentran fiscalizar, resolver procedimientos, dictar instrucciones generales y aplicar las sanciones previstas por la norma.
Las infracciones se clasifican por gravedad y la respuesta puede considerar factores establecidos legalmente. Para evaluar multas, reincidencia u otras consecuencias debe consultarse el texto vigente y evitar equivalencias en pesos que cambian con el valor de la UTM.
Cómo comenzar la preparación
Un punto de partida útil es asignar responsables internos, identificar procesos que usan datos personales y construir un inventario conectado con sistemas, proveedores, finalidades, bases de licitud, conservación y medidas. Luego pueden priorizarse los tratamientos con datos sensibles, gran escala, monitoreo, decisiones automatizadas o titulares especialmente expuestos.
El resultado debe ser un plan con responsables, fechas y evidencias. Políticas aisladas o documentos que no reflejan la operación real ofrecen una visión incompleta del cumplimiento.
Fuentes, actualización y cautela interpretativa
Esta guía separa el texto normativo de las recomendaciones organizativas. Algunos aspectos dependerán de reglamentos, instrucciones de la autoridad y criterios que se desarrollen durante la implementación. La fuente principal siempre debe ser el texto oficial actualizado de la Biblioteca del Congreso Nacional. Última revisión editorial: 27 de julio de 2026.
Preguntas frecuentes
¿Qué ley regula actualmente los datos personales en Chile?
La Ley N.º 19.628 sigue siendo el cuerpo base. La Ley N.º 21.719 la modifica de forma sustancial y sus disposiciones entran en vigencia el 1 de diciembre de 2026.
¿La Ley 21.719 se aplica solamente a grandes empresas?
No existe una exclusión general basada únicamente en tamaño. La aplicabilidad depende del tratamiento, el rol de la organización y las reglas territoriales de la ley.
¿Cumplir la Ley 21.719 consiste solo en tener una política de privacidad?
No. La información a los titulares es una parte. También deben revisarse bases de licitud, derechos, seguridad, proveedores, incidentes, conservación, riesgos y evidencia.
¿La Ley 21.719 reemplaza completamente la Ley 19.628?
La Ley 21.719 introduce modificaciones extensas a la Ley 19.628. Para precisión jurídica debe consultarse el texto consolidado y vigente publicado por la BCN.
Fuentes oficiales
Las afirmaciones jurídicas deben verificarse contra los textos oficiales vigentes.