¿Quién me ayuda a cumplir la Ley 21.719? Consultor de implementación vs. abogado
Actualizado el
Para cumplir la Ley 21.719 suele necesitar dos perfiles distintos, no uno: un abogado que interprete la ley para su caso y defina las bases de licitud, y un implementador que ejecute los entregables concretos. Nosotros hacemos la implementación: la EIPD que exige el art. 15 ter y la remediación de contratos de encargo (DPA) con sus proveedores. Desconfíe de quien le vende un delegado de protección de datos (DPO) como si fuera una obligación legal: el art. 50 dice que el responsable podrá designar un DPO, no que deba hacerlo. Obligatorio de verdad es hacer la EIPD cuando el tratamiento es de alto riesgo, y no hacerla es infracción grave de hasta 10.000 UTM. Contrate en este orden: primero el diagnóstico de qué tratamientos tiene, luego la EIPD donde corresponda y los DPA que falten. El plazo es firme, rige desde el 1 de diciembre de 2026.
El art. 15 ter obliga al responsable a realizar una evaluación de impacto (EIPD) antes de iniciar un tratamiento que pueda generar un alto riesgo para los derechos de los titulares.
Qué significa realmente "consultor de cumplimiento"
"Consultor de cumplimiento Ley 21.719" mezcla dos oficios que conviene separar antes de contratar. Uno es la asesoría legal: interpretar la ley, definir bases de licitud, redactar cláusulas, evaluar riesgo jurídico. Eso lo hace un abogado y no lo reemplaza nadie.
El otro es la implementación: producir los documentos y las acciones que la ley te exige tener listos. Ahí entramos nosotros. No somos un estudio jurídico, somos quienes ejecutan los entregables concretos y trabajamos junto a tu asesor legal, no en su lugar.
La confusión comercial más común es venderte "cumplimiento" como una sola cosa grande y difusa. En la práctica, para la mayoría de las empresas el trabajo se reduce a dos entregables medibles y de precio cerrado.
- Abogado: interpreta la ley, valida cláusulas, define bases legales y responde por el criterio jurídico.
- Implementador (nosotros): ejecuta la EIPD, remedia contratos con proveedores y deja evidencia auditable.
- Ninguno de los dos es un "DPO obligatorio": ese rol no lo exige la ley para la mayoría.
Los dos entregables que casi todos necesitan
Antes de contratar horas abiertas de consultoría, mira qué te pide realmente la ley. Para la mayoría de las empresas el trabajo real son dos cosas concretas.
La primera es la EIPD, la Evaluación de Impacto en Protección de Datos del art. 15 ter. Es genuinamente obligatoria cuando tratas datos a gran escala, datos sensibles, decisiones automatizadas o videovigilancia sistemática de espacios públicos. No hacerla es una infracción grave. Si no sabes si te aplica, parte por saber si necesitas una EIPD.
La segunda es la brecha más frecuente y la que casi nadie mira: los contratos con tus proveedores. La mayoría de las empresas usan SaaS (correo, nube, facturación, RRHH) sin un contrato de encargo de tratamiento. Eso se resuelve con el pack de remediación de DPA, no con la política de privacidad de tu sitio web.
- EIPD express: la evaluación del art. 15 ter, a precio cerrado, con tu asesor legal validando el criterio.
- Pack de remediación DPA: los contratos de encargo con tus proveedores SaaS, que es la brecha real más habitual.
| Tarea | Abogado | Implementador (nosotros) |
|---|---|---|
| Interpretar la ley y resolver dudas jurídicas | Sí | No |
| Definir la base de licitud de cada tratamiento | Sí | No |
| Hacer la EIPD del art. 15 ter | No | Sí |
| Remediar y firmar los DPA con proveedores | No | Sí |
| Levantar el RAT e inventario de datos | No | Sí |
Por qué desconfiar de quien te vende un DPO como obligación
Si un consultor abre la conversación diciendo que debes contratar un Delegado de Protección de Datos porque la ley lo obliga, revisa el texto. El art. 50 dice que la empresa "podrá designar" un delegado. Es una facultad, no un deber.
El DPO solo pasa a ser exigible si adoptas voluntariamente un Modelo de Prevención de Infracciones (MPI, art. 49), y eso es una decisión tuya, no una imposición. Además, hoy nadie puede certificarte un MPI: la Agencia de Protección de Datos aún no está constituida.
Vender un cargo permanente contra una obligación que no existe es la señal de alerta más clara. Si quieres el detalle, revisa si el DPO es obligatorio en Chile y contrasta con los hechos verificados de la ley.
Qué contratar y en qué orden
El orden importa porque evita pagar por trabajo que no necesitas. Primero, determina el alcance real: qué datos tratas, con qué proveedores y si alguno de tus tratamientos gatilla la EIPD del art. 15 ter.
Segundo, cierra los dos entregables a precio fijo en vez de comprar horas abiertas. La ventaja de un entregable cerrado es que sabes qué recibes, cuánto cuesta y cuándo termina. Las horas abiertas de "acompañamiento" tienden a crecer sin un resultado claro.
Tercero, coordina a tu abogado y a tu implementador desde el inicio, no en secuencia. El abogado valida el criterio jurídico de la EIPD y las cláusulas del DPA; nosotros producimos y dejamos la evidencia.
- Paso 1: define alcance y confirma si te aplica la EIPD.
- Paso 2: contrata los dos entregables a precio cerrado, no horas indefinidas.
- Paso 3: trabaja abogado e implementador en paralelo, cada uno en lo suyo.
El plazo es firme: 1 de diciembre de 2026
La ley entra en vigencia el 1 de diciembre de 2026 y esa fecha es firme. Las empresas sobre 100.000 UF de ingresos no tienen el período de gracia PYME, así que conviene no dejar la EIPD ni los contratos para el último trimestre.
No basamos esto en el miedo a las multas. Hay un proyecto en trámite que podría reducirlas de forma importante, así que el argumento durable no es la sanción, es tener el trabajo bien hecho y a tiempo. Si quieres dimensionar el calendario, revisa cuánto tiempo queda.
Preguntas frecuentes
¿Necesito un abogado o un consultor de implementación para la Ley 21.719?
Los dos, en roles distintos. El abogado interpreta la ley, valida cláusulas y define bases legales para tu caso. El implementador ejecuta los entregables concretos: la EIPD del art. 15 ter y la remediación de contratos con proveedores. Nosotros hacemos la implementación y trabajamos junto a tu asesor legal, no lo reemplazamos.
¿Es obligatorio contratar un DPO para cumplir la ley?
No. El art. 50 dice que la empresa "podrá designar" un delegado, es una facultad, no una obligación. Solo se vuelve exigible si adoptas voluntariamente un Modelo de Prevención de Infracciones (art. 49), que es una decisión tuya. Desconfía de quien te vende un DPO permanente presentándolo como un deber legal.
¿Qué debería contratar primero?
Primero define si algún tratamiento tuyo gatilla la EIPD obligatoria del art. 15 ter (gran escala, datos sensibles, decisiones automatizadas o videovigilancia sistemática). En paralelo, revisa tus contratos con proveedores SaaS, que es la brecha más común. Esos dos entregables, a precio cerrado, resuelven lo esencial para la mayoría.
¿Puede un consultor certificarme el cumplimiento hoy?
No. La Agencia de Protección de Datos aún no está constituida, así que hoy nadie puede certificarte un Modelo de Prevención de Infracciones. Lo que sí puedes hacer ahora es dejar listos los entregables reales: la EIPD y los contratos de encargo con tus proveedores, antes del 1 de diciembre de 2026.