Cómo cumplir la Ley 21.719: checklist real de obligaciones
Actualizado el
Para cumplir la Ley 21.719 antes del 1 de diciembre de 2026 no necesita todo lo que le venden, necesita ordenar seis cosas concretas: un registro de actividades de tratamiento (RAT), una base de licitud para cada tratamiento, un mecanismo para atender los derechos ARCOP, seguridad de la información con notificación de brechas sin dilaciones indebidas, contratos de encargo (DPA) con cada proveedor que toca sus datos, y una EIPD cuando el tratamiento es de alto riesgo. Conviene separar lo obligatorio de lo opcional: el delegado de protección de datos (DPO) no es obligatorio, el art. 50 dice que el responsable podrá designarlo. La EIPD sí lo es cuando aplica el art. 15 ter, y no hacerla es infracción grave de hasta 10.000 UTM. El plazo es firme y, sobre 100.000 UF, no hay gracia PYME. Empiece por el RAT: es la base desde la que se ordena todo lo demás.
«El responsable de datos podrá designar un delegado de protección de datos personales.» La palabra clave es podrá: el DPO es opcional, no una obligación de cumplimiento.
Lo primero: separe lo obligatorio de lo opcional
Antes de comprar servicios o contratar consultores, conviene saber qué exige realmente la ley y qué es voluntario. Se está vendiendo mucho miedo, y no todo lo que le ofrecen es una obligación legal.
Dos aclaraciones que ahorran plata y errores: el Delegado de Protección de Datos (DPO) no es obligatorio. La ley dice que la empresa "podrá designar" uno (art. 50), y solo pasa a ser exigible si usted adopta voluntariamente un Modelo de Prevención de Infracciones (art. 49). Puede revisar el detalle en DPO obligatorio en Chile. En cambio, la Evaluación de Impacto (EIPD) del art. 15 ter sí es obligatoria cuando el tratamiento es de alto riesgo.
Trabajamos en la implementación, no somos un estudio jurídico. Lo hacemos junto a su asesor legal cuando hay dudas de interpretación.
El checklist de cumplimiento
Estas son las obligaciones concretas que aplican a la mayoría de las empresas. Ordénelas de arriba hacia abajo.
- Registro de Actividades de Tratamiento (RAT). Un inventario de qué datos personales trata, para qué, con qué base legal, con quién los comparte y cuánto los conserva. Es la base de todo lo demás. Vea registro de actividades de tratamiento.
- Base de licitud por cada tratamiento. Cada uso de datos necesita una causa legal: consentimiento, ejecución de un contrato, obligación legal, interés legítimo, entre otras. No todo requiere consentimiento, y apoyarse en el consentimiento cuando no corresponde suele ser un error.
- Consentimiento cuando corresponde. Debe ser libre, informado, específico e inequívoco. Recuerde que en Chile la "situación socioeconómica" se clasifica como dato sensible, igual que salud, biometría u origen, y exige un estándar más alto.
- Derechos ARCOP. Acceso, rectificación, cancelación, oposición y portabilidad. Necesita un canal para recibir estas solicitudes y un procedimiento interno para responderlas dentro de plazo.
- Medidas de seguridad. Técnicas y organizativas, proporcionales al riesgo. Control de accesos, cifrado donde aplique, respaldo y registro de quién accede a qué.
- Notificación de brechas sin dilaciones indebidas. Ante una vulneración de seguridad, debe notificar a la Agencia y, según el caso, a los titulares afectados. La Ley 21.719 no fija un plazo de 72 horas (ese plazo es de la Ley 21.663 de ciberseguridad); exige actuar sin dilaciones indebidas. Necesita un procedimiento definido antes de que ocurra, no improvisarlo. Lo detallamos en el mito de las 72 horas.
- Contratos de encargo (DPA) con sus proveedores. Cada proveedor que trata datos por usted (SaaS, hosting, mailing, nómina, CRM) requiere un contrato de encargo con cláusulas específicas.
- EIPD cuando el tratamiento es de alto riesgo. Obligatoria por el art. 15 ter en tratamiento a gran escala, datos sensibles, decisiones automatizadas o videovigilancia sistemática de espacios públicos.
| Obligación | Qué es | ¿Obligatorio? |
|---|---|---|
| RAT | Inventario de todos los tratamientos de datos | Sí |
| Base de licitud | Fundamento legal por cada tratamiento | Sí |
| Derechos ARCOP | Canal para acceso, rectificación, cancelación, oposición y portabilidad | Sí |
| DPA con proveedores | Contrato de encargo con cada tercero que trata sus datos | Sí, si hay encargados |
| EIPD | Evaluación de impacto en alto riesgo (art. 15 ter) | Sí, si hay alto riesgo |
| DPO | Delegado de protección de datos | No (art. 50, «podrá designar») |
El gap más común y menos comentado: los DPA
En la práctica, la brecha que más veces encontramos no es la política de privacidad del sitio web, que casi todos ya tienen. Es la ausencia de contratos de encargo con los proveedores SaaS.
Si usa Google Workspace, un CRM en la nube, una herramienta de facturación o de mailing, esos proveedores tratan datos personales por cuenta suya. Sin un contrato de encargo (DPA) que fije las cláusulas exigidas, hay incumplimiento aunque su política de privacidad esté impecable. Es un trabajo de remediación acotado y repetible: lo cubrimos en el Pack de Remediación DPA.
La EIPD: cuándo pasa de recomendable a obligatoria
La Evaluación de Impacto en Protección de Datos es el punto del checklist que la mayoría subestima. No es opcional cuando su tratamiento cae en las categorías de riesgo del art. 15 ter: gran escala, datos sensibles, elaboración de perfiles con decisiones automatizadas o videovigilancia sistemática de espacios de acceso público.
No realizarla cuando corresponde es una infracción grave, con multa de hasta 10.000 UTM. Si no está seguro de si le aplica, empiece por necesito una EIPD antes de contratar nada.
El plazo es firme, y sobre 100.000 UF no hay gracia PYME
La fecha de entrada en vigencia es el 1 de diciembre de 2026 y es firme. La ley contempla un tratamiento más gradual para empresas de menor tamaño, pero ese alivio no aplica a quienes superan las 100.000 UF de ingresos anuales.
Si su empresa está sobre ese umbral, debe llegar al 1 de diciembre con el checklist completo, sin período de adaptación. Conviene partir por lo que toma más tiempo: el RAT y los DPA con proveedores, porque dependen de terceros y de coordinación interna que no se resuelve en una semana.
Preguntas frecuentes
¿Es obligatorio tener un DPO para cumplir la Ley 21.719?
No. El art. 50 dice que la empresa "podrá designar" un Delegado de Protección de Datos, es voluntario. Solo se vuelve exigible si usted adopta voluntariamente un Modelo de Prevención de Infracciones (art. 49). Puede cumplir la ley sin nombrar un DPO.
¿Cuál es el gap de cumplimiento más frecuente?
La falta de contratos de encargo (DPA) con los proveedores SaaS que tratan datos por cuenta suya. La mayoría ya tiene política de privacidad en el sitio, pero no tiene los DPA firmados, y ahí es donde se concentra el incumplimiento real.
¿Qué obligación conviene abordar primero?
El Registro de Actividades de Tratamiento (RAT), porque es la base que ordena todo lo demás: sin saber qué datos trata y para qué, no puede definir bases de licitud, seguridad ni qué proveedores necesitan un DPA. Después, los contratos con proveedores, que dependen de terceros.
¿Alcanzo a cumplir si parto ahora?
Depende del volumen de sus tratamientos y proveedores. La fecha del 1 de diciembre de 2026 es firme y, sobre 100.000 UF de ingresos, no hay período de gracia PYME. Las partes que dependen de terceros, como los DPA, son las que más demoran, así que conviene partir por ahí.