Ley 21.719 explicada: qué es, a quién aplica y qué le exige
Actualizado el
La Ley 21.719 es la nueva ley chilena de protección de datos personales, que moderniza y reemplaza el régimen de la antigua Ley 19.628 de 1999. Se publicó el 13 de diciembre de 2024 y rige plenamente desde el 1 de diciembre de 2026, fecha firme. Aplica a toda organización, pública o privada, que trate datos personales de personas en Chile, sin importar su tamaño; no existe una gracia automática para las PYME por debajo de 100.000 UF. Le exige, entre otras cosas, un registro de actividades, una base de licitud para cada tratamiento, respetar los derechos ARCOP, notificar brechas «sin dilaciones indebidas», firmar contratos de encargo con sus proveedores y hacer una EIPD cuando el tratamiento es de alto riesgo. La Agencia (APDP) todavía no está constituida, pero las obligaciones rigen igual y la fiscalización llegará después. Empiece por entender cómo cumplir la Ley 21.719 antes de que llegue la fecha.
La Ley 21.719 sustituye el régimen de la antigua Ley 19.628 y rige plenamente desde el 1 de diciembre de 2026 para toda persona u organización, pública o privada, que trate datos personales de personas en Chile.
Qué es la Ley 21.719 y qué reemplaza
La Ley 21.719 es la ley que regula el tratamiento y la protección de los datos personales en Chile. Vino a modernizar y reemplazar a la antigua Ley 19.628, de 1999, que había quedado corta frente a la economía digital: no tenía una autoridad que la hiciera cumplir, sus sanciones eran mínimas y no contemplaba figuras hoy básicas como el consentimiento reforzado, los derechos del titular o la evaluación de impacto.
El cambio de fondo es de enfoque. La 19.628 trataba los datos casi como un activo comercial; la 21.719 los trata como un derecho de la persona, alineado con estándares como el GDPR europeo, pero con particularidades chilenas propias. La más comentada es que la situación socioeconómica de una persona se considera dato sensible. Si quiere separar lo que la ley dice de lo que se ha exagerado sobre ella, revise los hechos verificados de la Ley 21.719.
A quién aplica la Ley 21.719
La regla es amplia: la ley aplica a toda organización, pública o privada, que trate datos personales de personas que están en Chile, sin importar su tamaño ni su rubro. Da igual si usted es un banco, una clínica, un retailer, una fundación, una municipalidad o una PYME de diez personas. Si guarda una base de clientes, gestiona una nómina, corre una campaña de marketing o instala cámaras, está tratando datos personales y la ley le alcanza.
Sobre las PYME conviene desarmar un mito frecuente. No existe una exención general ni un período de gracia automático por ser empresa pequeña. La ley contempla una atenuación acotada para empresas de menor tamaño, bajo 100.000 UF de ingresos anuales según la Ley 20.416, pero es facultativa de la futura Agencia y no borra las obligaciones. No hay una regla de «primera infracción, solo amonestación».
- Empresas privadas de cualquier tamaño, incluidas PYME y unipersonales.
- Órganos del Estado y municipios que traten datos de personas.
- Quien esté fuera de Chile pero trate datos de personas que sí están en Chile.
Fechas clave: publicación y entrada en vigencia
La ley se publicó en el Diario Oficial el 13 de diciembre de 2024. A partir de ahí corrió un plazo de veinticuatro meses de vacancia legal para que empresas y Estado se prepararan. Su plena vigencia es el 1 de diciembre de 2026, y esa fecha es firme: no está sujeta a las prórrogas que a veces circulan en el mercado.
En términos prácticos, esa fecha es su plazo real de cumplimiento. Todo lo que la ley exige debe estar operativo el 1 de diciembre de 2026, no iniciado ese día. Como muchas obligaciones toman meses de trabajo, conviene contar hacia atrás desde esa fecha y no desde hoy.
Las obligaciones principales en una vista
Estas son las obligaciones centrales que la Ley 21.719 impone al responsable de datos. No es una lista de recomendaciones: son deberes exigibles cuyo incumplimiento constituye infracción. La tabla resume qué es cada una y si es obligatoria u opcional, con el matiz honesto que suele omitirse en la sobreventa.
- La notificación de brechas es «sin dilaciones indebidas»; la Ley 21.719 no fija 72 horas. Ese plazo es de la Ley 21.663 de ciberseguridad. Vea derechos ARCOP y brechas.
- La EIPD es obligatoria solo si su tratamiento marca un gatillo del art. 15 ter. Si no está seguro, revise ¿necesito una EIPD?.
- El delegado de protección no es obligatorio por defecto, aunque a veces se vende como tal. Lo aclaramos en ¿es obligatorio el DPO en Chile?.
| Obligación | Qué es | ¿Obligatorio? |
|---|---|---|
| Registro de actividades (RAT) | Un inventario documentado de cada tratamiento de datos que realiza, con su finalidad y base legal | Sí |
| Base de licitud | Una causa legal, como el consentimiento u otra prevista por la ley, para cada tratamiento | Sí |
| Derechos ARCOP | Responder solicitudes de acceso, rectificación, cancelación, oposición y portabilidad del titular | Sí |
| Seguridad y brechas | Medidas de seguridad y notificación de brechas «sin dilaciones indebidas» | Sí |
| DPA con proveedores | Contrato de encargo de tratamiento con cada proveedor que trate datos por usted | Sí, si terceriza datos |
| EIPD (art. 15 ter) | Evaluación de impacto cuando el tratamiento es de alto riesgo | Sí, si hay gatillo |
| Delegado (DPO) | Persona a cargo de vigilar el cumplimiento | No por defecto (art. 50) |
La Agencia (APDP) aún no está constituida
La ley crea la Agencia de Protección de Datos Personales (APDP), el organismo que fiscalizará y sancionará. Al día de hoy no está constituida: el Senado rechazó a los consejeros propuestos y el plazo para nombrarlos venció el 1 de junio de 2026. Mientras tanto, nadie puede certificar todavía un Modelo de Prevención de Infracciones.
Esto genera una confusión peligrosa. Que la Agencia no esté operativa no significa que las obligaciones no rijan. Las exigencias entran en vigor el 1 de diciembre de 2026 igual, y la fiscalización llegará después, con capacidad de revisar el pasado. Prepararse ahora, mientras no hay fiscalizador, es exactamente lo prudente.
Las multas y el caveat del Boletín 18060-07
La ley establece sanciones por tramos según la gravedad: infracción leve hasta 5.000 UTM, grave hasta 10.000 UTM y gravísima hasta 20.000 UTM, o entre 2% y 4% de los ingresos anuales del infractor. No hacer una EIPD cuando corresponde, por ejemplo, es una infracción grave.
Aquí va el caveat honesto: existe un proyecto en trámite, el Boletín 18060-07, que rebajaría esos montos de forma importante, en un rango del 75% al 95%. No es ley todavía y puede cambiar, así que planifique con los montos vigentes y siga el estado del proyecto. La lógica es simple: cumplir bien sale mucho más barato que cualquier multa, incluso rebajada. Si prefiere empezar por lo concreto, la EIPD Express y el pack de remediación DPA cubren dos de las obligaciones más pesadas a precio fijo.
Preguntas frecuentes
¿Qué es la Ley 21.719 en simple?
Es la nueva ley chilena de protección de datos personales. Moderniza y reemplaza la antigua Ley 19.628 de 1999, y trata los datos como un derecho de la persona. Le exige a las organizaciones documentar sus tratamientos, tener base legal, respetar los derechos del titular y proteger la información.
¿A quién aplica la Ley 21.719?
A toda organización, pública o privada, que trate datos personales de personas que están en Chile, sin importar su tamaño ni rubro. Alcanza a empresas grandes y PYME, a órganos del Estado y también a quien esté fuera de Chile pero trate datos de personas que sí están en el país.
¿Cuándo entra en vigencia la Ley 21.719?
Se publicó el 13 de diciembre de 2024 y entra en plena vigencia el 1 de diciembre de 2026, tras veinticuatro meses de vacancia legal. Esa fecha es firme. Todo lo que la ley exige debe estar operativo ese día, no recién comenzado.
¿Las PYME están exentas de la Ley 21.719?
No. No existe una exención general ni un período de gracia automático por ser empresa pequeña. La ley prevé una atenuación acotada para empresas de menor tamaño, bajo 100.000 UF de ingresos, pero es facultativa de la Agencia y no borra las obligaciones.
¿Hay multas si no cumplo la Ley 21.719?
Sí. Las sanciones van por tramos: leve hasta 5.000 UTM, grave hasta 10.000 UTM y gravísima hasta 20.000 UTM, o entre 2% y 4% de los ingresos. Un proyecto en trámite, el Boletín 18060-07, rebajaría esos montos, pero aún no es ley.