Ley 21.719 para PYME: la verdad sobre el cumplimiento
Actualizado el
Su PYME queda igual de obligada por la Ley 21.719 desde el 1 de diciembre de 2026. No existe un período de gracia automático: la única excepción es el artículo sexto transitorio, que solo alcanza a las empresas de menor tamaño (ingresos bajo 100.000 UF, según la Ley 20.416) y es facultativa de la Agencia, no un derecho. Tampoco existe la regla de que la primera infracción sea solo una amonestación. El mínimo realista para una empresa chica es concreto: base de licitud definida, Registro de Actividades de Tratamiento (RAT), contratos DPA con sus proveedores SaaS, política de privacidad publicada y una EIPD solo si sus tratamientos la gatillan. Priorice por riesgo, no por tamaño. Vea el mínimo de cumplimiento paso a paso.
Mito 1: la PYME tiene un período de gracia automático
Es la creencia más repetida y es falsa. La Ley 21.719 no concede a las PYME un plazo extra ni una entrada en vigor distinta. La plena vigencia es el 1 de diciembre de 2026 para todos, sin importar el tamaño de la empresa.
Lo único que existe es el artículo sexto transitorio, y conviene leerlo con cuidado porque no dice lo que la gente cree. No crea un período de gracia general: faculta a la Agencia para considerar la condición de empresa de menor tamaño al aplicar sanciones, y esa consideración es discrecional. No es un derecho que usted pueda invocar, es una posibilidad que la Agencia puede o no usar.
Además, ese beneficio no alcanza a cualquier empresa que se llame a sí misma PYME. Se ancla en la definición de la Ley 20.416: empresas de menor tamaño son las que facturan bajo 100.000 UF anuales. Si su empresa supera ese umbral, no entra en la categoría por más chica que se sienta.
- Vigencia única: 1 de diciembre de 2026, sin plazo diferido por tamaño.
- Artículo sexto transitorio: facultad de la Agencia, no un derecho de la empresa.
- Solo aplica a empresas bajo 100.000 UF de ingresos (Ley 20.416).
Mito 2: la primera infracción es solo una amonestación
Tampoco existe. La ley no dice que la primera falta se perdone ni que se resuelva con un aviso. Las sanciones se gradan por gravedad de la infracción, no por cuántas veces usted ha sido fiscalizado.
El rango sigue siendo el mismo para todos: infracción leve hasta 5.000 UTM, grave hasta 10.000 UTM, y gravísima hasta 20.000 UTM o entre 2% y 4% de los ingresos anuales. No hacer una EIPD cuando corresponde, por ejemplo, es una infracción grave desde el primer día.
Hay un matiz honesto: existe un proyecto en trámite (Boletín 18060-07) que rebajaría las multas entre 75% y 95%. Pero es un proyecto, no ley vigente. Planificar su cumplimiento apostando a que se apruebe es apostar contra el texto que hoy rige.
- La sanción se grada por gravedad, no por ser la primera vez.
- Leve hasta 5.000 UTM, grave hasta 10.000 UTM, gravísima hasta 20.000 UTM o 2 a 4% de ingresos.
- La rebaja del Boletín 18060-07 es un proyecto en trámite, no una garantía.
Quién cuenta como PYME para efectos de la ley
La ley no define PYME por número de empleados ni por percepción propia. Para el único beneficio realmente relevante, el artículo sexto transitorio, la referencia es la Ley 20.416 y su umbral de ingresos anuales por ventas.
En términos prácticos, empresa de menor tamaño es la que factura bajo 100.000 UF al año. Micro bajo 2.400 UF, pequeña hasta 25.000 UF, mediana hasta 100.000 UF. Si usted está bajo ese techo, la Agencia podría atenuar. Si está por encima, cumple exactamente igual que una gran empresa.
Ojo con un punto que confunde a muchos: el tamaño de la empresa no cambia sus obligaciones, solo puede influir en la sanción. Una PYME que trata datos sensibles a gran escala tiene las mismas cargas que un gran actor que hace lo mismo.
El mínimo realista de cumplimiento para una empresa chica
La buena noticia es que la mayoría de las PYME no necesita el aparato completo de una corporación. El mínimo defendible es acotado y se puede levantar en semanas si se ordena por prioridad.
Primero, defina la base de licitud de cada tratamiento: por qué puede usted tratar esos datos (consentimiento, contrato, obligación legal, interés legítimo). Sin base válida, todo lo demás se cae. Segundo, arme su RAT, el inventario de qué datos trata, para qué, dónde viven y con quién los comparte. Es el documento sobre el que se construye todo el resto.
Tercero, regularice los contratos con sus proveedores. Cada SaaS que procesa datos por usted (facturación, CRM, mailing, nube) necesita un DPA, el contrato de encargo de tratamiento. Cuarto, publique una política de privacidad clara y veraz. Y quinto, haga una EIPD solo si sus tratamientos la gatillan, no por defecto.
- Base de licitud definida y documentada por cada tratamiento.
- Registro de Actividades de Tratamiento (RAT) al día.
- Contrato DPA con cada proveedor SaaS que procesa datos.
- Política de privacidad publicada, en lenguaje claro.
- EIPD solo si aplica, no por defecto (vea si le corresponde en necesito una EIPD).
El DPA con proveedores extranjeros: el punto que más se olvida
Casi toda PYME chilena corre sobre software externo: Google, Microsoft, un CRM, una pasarela de pago, una herramienta de correo. Cada uno de esos proveedores es un encargado de tratamiento, y la ley le exige a usted, como responsable, tener un contrato que regule ese encargo.
Esto es lo que más se posterga porque suena administrativo, pero es de los primeros que una fiscalización revisa: es documental, es verificable y no depende de la Agencia. Muchos proveedores grandes ya ofrecen su DPA estándar, otros no, y ahí es donde hay que negociar o firmar el anexo correspondiente.
Si trabaja con proveedores fuera de Chile, revise además el mecanismo de transferencia internacional. Nuestro pack de remediación de contratos DPA ordena justo esta capa: identifica sus encargados, revisa qué contratos existen y cuáles faltan, y deja los anexos firmados.
- Cada SaaS que procesa datos es un encargado y necesita contrato.
- Es documental y verificable: de lo primero que se fiscaliza.
- Con proveedores extranjeros revise la transferencia internacional.
Cómo priorizar con recursos limitados
No intente hacer todo a la vez. Priorice por riesgo real, no por completar una lista. El orden que recomendamos parte por lo que más expone a su empresa y por lo que una fiscalización revisa primero.
Empiece por el RAT, porque sin ese mapa no sabe dónde están sus riesgos. Siga por la base de licitud de los tratamientos más sensibles o masivos. Luego los DPA, que son documentales y rápidos de cerrar. Después la política de privacidad. Y deje la EIPD para cuando confirme que alguno de sus tratamientos la gatilla: alto riesgo, gran escala, datos sensibles, perfilamiento, decisiones automatizadas o videovigilancia sistemática. Si ninguno aplica, no está obligado a hacerla.
El DPO tampoco es obligatorio para su PYME salvo que usted adopte voluntariamente un Modelo de Prevención de Infracciones. Revise el detalle en DPO obligatorio en Chile antes de contratar a nadie por miedo.
- 1. RAT primero: sin el mapa no ve el riesgo.
- 2. Base de licitud de los tratamientos sensibles o masivos.
- 3. DPA con proveedores: rápidos y verificables.
- 4. Política de privacidad publicada.
- 5. EIPD solo si sus tratamientos la gatillan.
Preguntas frecuentes
¿Mi PYME tiene período de gracia con la Ley 21.719?
No de forma automática. La ley entra en plena vigencia el 1 de diciembre de 2026 para todos. El único beneficio es el artículo sexto transitorio, que faculta a la Agencia a considerar el tamaño al sancionar, solo para empresas bajo 100.000 UF y de manera discrecional. No es un derecho garantizado.
¿Es verdad que la primera infracción es solo una amonestación?
No. La ley grada las sanciones por gravedad de la falta, no por ser la primera vez. Una infracción grave puede llegar a 10.000 UTM desde el primer día. Existe un proyecto (Boletín 18060-07) que rebajaría las multas, pero es un proyecto en trámite, no una garantía vigente.
¿Qué cuenta como empresa de menor tamaño?
Según la Ley 20.416, la que factura bajo 100.000 UF anuales por ventas: micro bajo 2.400 UF, pequeña hasta 25.000 UF, mediana hasta 100.000 UF. Solo esas empresas pueden acceder a la atenuación del artículo sexto transitorio. Sobre ese umbral, cumple igual que una gran empresa.
¿Qué es lo mínimo que debe hacer una PYME?
Definir la base de licitud de cada tratamiento, mantener un Registro de Actividades de Tratamiento (RAT), firmar contratos DPA con sus proveedores SaaS, publicar una política de privacidad clara, y hacer una EIPD solo si sus tratamientos la gatillan. El DPO no es obligatorio salvo que adopte un Modelo de Prevención voluntario.
¿Necesita mi PYME una EIPD?
Solo si alguno de sus tratamientos la gatilla: alto riesgo, gran escala, datos sensibles, perfilamiento, decisiones automatizadas o videovigilancia sistemática. No es un trámite por defecto. Si ninguno de esos supuestos aplica, no está obligado. Revise su caso antes de gastar en un informe que quizás no le corresponde.