Ley 21.719 vs 19.628: qué cambia y qué tienes que rehacer
La Ley 21.719 reemplaza el régimen de la antigua 19.628 y sube el estándar completo. Muere el consentimiento tácito: ahora debe ser libre, informado y específico. Aparecen derechos nuevos como la portabilidad y la oposición, junto a los ya conocidos de acceso, rectificación y cancelación. Se crea la APDP como regulador con poder real de fiscalizar y multar, algo que la 19.628 no tenía, y se incorporan obligaciones que antes no existían: el registro de actividades (RAT), la notificación de brechas y la EIPD del art. 15 ter, hoy obligatoria para tratamientos de alto riesgo. No es un ajuste menor, es rehacer cómo pide, guarda, documenta y protege los datos. En la práctica debe revisar sus bases de licitud, rehacer consentimientos, levantar el RAT, firmar DPA con proveedores y evaluar EIPD donde corresponda, todo antes del 1 de diciembre de 2026, fecha en que la nueva ley entra en vigencia.
La Ley 21.719 sustituye el régimen de la Ley 19.628 y agrega obligaciones que antes no existían, como el registro de actividades de tratamiento, la notificación de brechas y la evaluación de impacto del art. 15 ter para tratamientos de alto riesgo.
Por qué la 19.628 quedó corta
La Ley 19.628 fue la primera norma chilena de protección de datos, pero nació en 1999 y arrastraba dos problemas de fondo: permitía usos de datos con consentimiento débil y, sobre todo, no tenía un regulador con dientes. Nadie fiscalizaba de verdad y las sanciones eran testimoniales.
La Ley 21.719 no borra el tema de un plumazo, reforma ese régimen y lo lleva al estándar moderno (parecido al europeo). El resultado práctico es que muchas cosas que antes pasaban sin problema ahora son incumplimientos con consecuencias reales a partir del 1 de diciembre de 2026. Si quieres el detalle de la fecha y las etapas, lo tienes en cuánto tiempo queda de la Ley 21.719.
Antes y después: qué cambia punto por punto
Esta es la parte que importa. No es historia legal, es qué se movió y qué te obliga a rehacer:
- Consentimiento: antes se aceptaba el consentimiento tácito (el clásico "no dijo que no"). Ahora tiene que ser libre, informado, específico e inequívoco. Si tu base legal dependía del silencio del usuario, hay que rehacerla.
- Derechos de las personas: antes existían acceso, rectificación y cancelación. Ahora se suman portabilidad y oposición, el bloque que se conoce como ARCOP. Tu proceso para responder solicitudes tiene que cubrir los cinco, no tres.
- Datos sensibles: la categoría se amplía y la "situación socioeconómica" pasa a ser dato sensible en Chile, con reglas más estrictas de tratamiento.
- Encargados de tratamiento (tus proveedores): antes casi no estaban regulados. Ahora necesitas un contrato de encargo, el DPA, con cada proveedor que toca datos por ti (tu CRM, tu correo, tu nube, tu software de RRHH).
- Evaluación de impacto (EIPD): simplemente no existía. El art. 15 ter la vuelve obligatoria para tratamientos de alto riesgo, datos sensibles a gran escala, decisiones automatizadas o videovigilancia sistemática de espacios públicos.
- Regulador: la 19.628 no tenía agencia. La 21.719 crea la Agencia de Protección de Datos Personales (APDP), con facultad de fiscalizar y sancionar.
| Concepto | Ley 21.719 | Ley 19.628 |
|---|---|---|
| Consentimiento | Libre, informado y específico | Admitía el tácito |
| Portabilidad y oposición | Reconocidas | No existían |
| Regulador | APDP con poder de multar | Sin autoridad de control |
| EIPD | Obligatoria (art. 15 ter) | No existía |
| RAT y notificación de brechas | Obligatorios | No exigidos |
| Multas | Hasta 20.000 UTM o 2-4% de ingresos | Sanciones acotadas y bajas |
Qué tienes que rehacer en la práctica
Si traduces la tabla anterior a una lista de trabajo, para la mayoría de las empresas queda así de concreto:
Primero, revisar tus formularios y flujos de captura para que el consentimiento sea explícito y separado por finalidad. Segundo, levantar el registro de qué datos tratas y con qué base legal (el RAT). Tercero, y esto es lo que más se olvida, firmar o actualizar los DPA con tus proveedores SaaS. Cuarto, si tienes tratamientos de alto riesgo, hacer la EIPD.
En terreno, el gap más común no es la política de privacidad del sitio web, que casi todos ya tienen, sino los contratos de encargo que faltan con proveedores extranjeros. Ese hueco es el que aparece primero en cualquier revisión. La ruta completa, ordenada por prioridad, está en cómo cumplir la Ley 21.719.
La APDP: el regulador que antes no existía
El cambio más grande respecto a la 19.628 no es una norma puntual, es que ahora hay quién fiscaliza. La APDP concentra la facultad de recibir reclamos, investigar y aplicar sanciones que van desde infracciones leves hasta gravísimas.
Un matiz honesto que conviene saber: a la fecha la APDP todavía no está constituida, porque el Senado rechazó la propuesta del consejo y el plazo venció. Eso no cambia que la ley entra en vigor el 1 de diciembre de 2026, esa fecha es firme, y que las empresas sobre 100.000 UF de ingresos no tienen período de gracia PYME. El estado real de la implementación, con lo que está y lo que falta, lo seguimos en estado de la Ley 21.719.
Por dónde partir sin sobrecomplicarte
No necesitas rehacer todo el primer día ni contratar un DPO, que además no es obligatorio bajo la nueva ley. Ordena el trabajo por riesgo: primero cierra los contratos de encargo que te faltan con proveedores, porque es el hueco más visible y más fácil de detectar en una fiscalización, y luego resuelve la evaluación de impacto si tu tratamiento la exige.
Para esos dos frentes tenemos entregables a precio fijo y sin vueltas: la EIPD express cuando el art. 15 ter te aplica, y el pack de remediación DPA para dejar los contratos con proveedores en regla. La idea es que llegues a diciembre con lo que de verdad se fiscaliza cubierto, no con una carpeta de teoría.
Preguntas frecuentes
¿La Ley 21.719 deroga por completo la 19.628?
Reemplaza el régimen y sube el estándar. No es un parche a la ley vieja: cambia las bases legales, los derechos de las personas, las obligaciones con proveedores y crea un regulador. En la práctica, para tu empresa lo relevante es que las reglas que rigen desde el 1 de diciembre de 2026 son las de la 21.719.
¿Tengo que rehacer mi política de privacidad del sitio web?
Sí, hay que actualizarla, pero no es lo primero ni lo más importante. En las revisiones reales el gap más frecuente no es la política web, que casi todos ya tienen, sino los contratos de encargo (DPA) que faltan con proveedores SaaS. Parte por ahí.
¿Ahora que cambia la ley necesito un DPO obligatorio?
No. El art. 50 dice que la empresa "podrá designar" un delegado, no que deba. Solo se vuelve obligatorio si adoptas voluntariamente un Modelo de Prevención de Infracciones (MPI, art. 49). No dejes que te vendan un DPO como requisito legal, porque no lo es.
¿Desde cuándo se aplica la ley nueva en vez de la 19.628?
Desde el 1 de diciembre de 2026, y esa fecha es firme. Las empresas sobre 100.000 UF de ingresos no tienen período de gracia PYME. La APDP todavía no está constituida, pero eso no mueve la entrada en vigor.