Ley 21.719 vs GDPR: en qué se parecen y en qué no
La Ley 21.719 se inspira en el RGPD europeo pero no es una copia. Comparte los mismos principios y figuras (responsable, encargado, derechos ARCOP, evaluación de impacto) porque Chile buscó la adecuación con Europa, y por eso quien ya trabajó bajo RGPD reconocerá casi todo. Las diferencias, sin embargo, cambian su implementación: en Chile la situación socioeconómica es dato sensible (art. 2), algo casi único a nivel comparado; el DPO no es obligatorio (art. 50 dice "podrá designar"), mientras el RGPD lo exige en varios supuestos; y la EIPD del art. 15 ter no calca al DPIA europeo en sus gatillos. También difieren los plazos de brecha: la 21.719 exige notificar sin dilaciones indebidas, no las 72 horas del RGPD. Si viene del mundo RGPD, reaproveche su RAT, sus DPA y sus bases de licitud, pero revise datos sensibles, la figura del DPO y los umbrales de EIPD antes de darse por cumplido en Chile.
A diferencia del RGPD, la Ley 21.719 clasifica la situación socioeconómica como dato sensible (art. 2) y no obliga a designar un delegado de protección de datos: el art. 50 señala que el responsable "podrá designar" uno, donde el RGPD lo exige en determinados casos.
Por qué se parecen tanto
La Ley 21.719 reforma la antigua Ley 19.628 y moderniza el régimen chileno de datos personales. El modelo de referencia fue el Reglamento General de Protección de Datos europeo (RGPD o GDPR), porque uno de los objetivos de fondo es acercar a Chile a un estándar reconocible internacionalmente y facilitar los flujos de datos con la Unión Europea.
Por eso el esqueleto es familiar: mismos principios (licitud, finalidad, proporcionalidad, calidad, transparencia, seguridad, responsabilidad), la misma distinción entre quien decide y quien ejecuta el tratamiento, derechos reforzados para las personas, obligación de notificar brechas y una figura de evaluación de impacto para los tratamientos más riesgosos.
Si tu empresa ya trabajó bajo RGPD (por una casa matriz europea, por ejemplo), reconocerás casi todo. Pero conviene no asumir que basta con traducir tus documentos europeos. Los matices chilenos cambian el resultado.
Las diferencias que sí cambian tu implementación
Estas son las divergencias que más veces terminan mal cuando alguien aplica el manual europeo tal cual en Chile.
- Situación socioeconómica = dato sensible en Chile. Este es el matiz que casi nadie explica bien. El RGPD no trata la situación socioeconómica como categoría especial; la Ley 21.719 sí la incluye entre los datos sensibles. Eso significa que información sobre nivel de ingresos, deudas, situación patrimonial o condición socioeconómica exige el trato reforzado de un dato sensible, con las consecuencias que eso tiene para consentimiento, seguridad y evaluación de impacto.
- El DPO no es obligatorio. El RGPD obliga a designar un Delegado de Protección de Datos en varios supuestos. En Chile el art. 50 dice que el responsable "podrá designar" un encargado de prevención, y solo pasa a ser exigible si adoptas voluntariamente un Modelo de Prevención de Infracciones (art. 49). No estás obligado a tener DPO por el solo hecho de tratar datos.
- La EIPD no es idéntica al DPIA europeo. La Evaluación de Impacto chilena del art. 15 ter comparte el espíritu del Data Protection Impact Assessment, pero tiene sus propios gatillantes y su propio encuadre en la ley chilena. Se exige para tratamientos de alto riesgo, a gran escala, de datos sensibles, decisiones automatizadas o videovigilancia sistemática de espacios públicos. No basta con reutilizar una plantilla de DPIA europea sin ajustarla.
- Otra autoridad y otro estado de madurez. El RGPD lleva años con autoridades consolidadas. En Chile la Agencia de Protección de Datos Personales (APDP) todavía no está constituida, por lo que hoy no es posible, por ejemplo, certificar un Modelo de Prevención de Infracciones.
| Concepto | Ley 21.719 | GDPR (RGPD) |
|---|---|---|
| DPO / delegado | Opcional (art. 50, "podrá designar") | Obligatorio en varios supuestos (art. 37) |
| Situación socioeconómica | Dato sensible (art. 2) | No es categoría especial |
| Evaluación de impacto | EIPD (art. 15 ter) | DPIA (art. 35) |
| Notificación de brechas | Sin dilaciones indebidas | Regla general de 72 horas |
| Regulador | APDP (aún no constituida) | Autoridades de control por Estado |
| Multas | Hasta 20.000 UTM o 2-4% de ingresos | Hasta 20 M€ o 4% de facturación global |
Responsable y encargado: mismo concepto, cuídate igual
La Ley 21.719 mantiene la distinción europea entre el responsable (quien decide para qué y cómo se tratan los datos) y el encargado (quien los trata por cuenta del responsable). Es el equivalente al controller y processor del RGPD.
La consecuencia práctica es la misma que en Europa: necesitas contratos que regulen esa relación. En Chile esto se materializa en el contrato o anexo de encargo de tratamiento, y la brecha más común no es la política de privacidad del sitio web, sino la falta de estos contratos con proveedores SaaS. Si quieres entender bien los roles antes de firmar nada, revisa responsable vs encargado de tratamiento.
Qué hacer si vienes del mundo RGPD
Tener cumplimiento RGPD es una ventaja de partida, no un cumplimiento chileno automático. La ruta razonable es partir de lo que ya tienes y ajustarlo a los matices locales.
En concreto: reclasifica tus datos para incorporar la situación socioeconómica como sensible; decide con criterio si designas o no un encargado de prevención en vez de asumir que el DPO es obligatorio; y rehaz tu evaluación de impacto según el art. 15 ter chileno en lugar de reciclar el DPIA europeo. Para no mezclar mitos con obligaciones reales conviene apoyarse en los hechos verificados de la Ley 21.719.
La fecha manda: la fiscalización parte el 1 de diciembre de 2026 y las empresas sobre 100.000 UF de ingresos no tienen periodo de gracia. Si tu tratamiento gatilla el art. 15 ter, el trabajo concreto es hacer la EIPD de la Ley 21.719 a tiempo.
Preguntas frecuentes
¿La Ley 21.719 es lo mismo que el GDPR?
No. Está inspirada en el RGPD europeo y comparte sus principios y figuras (responsable, encargado, derechos ARCOP, evaluación de impacto), pero tiene diferencias propias: la situación socioeconómica es dato sensible en Chile, el DPO no es obligatorio y la EIPD del art. 15 ter no es idéntica al DPIA europeo.
¿Qué considera dato sensible la ley chilena que el RGPD no?
La situación socioeconómica. El RGPD no la trata como categoría especial, pero la Ley 21.719 la incluye expresamente entre los datos sensibles. Por eso información sobre ingresos, deudas o situación patrimonial exige en Chile el trato reforzado propio de un dato sensible.
¿La EIPD chilena y el DPIA europeo son lo mismo?
Comparten el propósito de evaluar riesgos antes de tratar datos, pero no son idénticos. La EIPD del art. 15 ter tiene sus propios gatillantes en la ley chilena (alto riesgo, gran escala, datos sensibles, decisiones automatizadas, videovigilancia sistemática de espacios públicos). Reutilizar una plantilla de DPIA europea sin adaptarla es un error.
Si mi empresa ya cumple con el GDPR, ¿cumplo con la ley chilena?
No automáticamente. Es un buen punto de partida, pero debes ajustar tres cosas: reclasificar la situación socioeconómica como dato sensible, decidir con criterio la designación (el DPO no es obligatorio en Chile) y rehacer la evaluación de impacto según el art. 15 ter en vez de reciclar tu DPIA europeo.