A menos de tres meses de que entre en vigencia, muchas empresas chilenas todavía tratan la ley de protección de datos personales como un trámite legal más: actualizar la política de privacidad del sitio web y listo. No lo es, debido a que la Ley 21.719 cambia cómo se recolectan, almacenan y comparten los datos de clientes, trabajadores y proveedores, y además, trae una agencia con poder real para fiscalizar.

Según la Encuesta de Protección de Datos Personales 2025, sólo el 13% de las organizaciones consultadas considera “muy preparada” para cumplir con la nueva normativa, mientras un 33% reconoce estar poco preparada. La encuesta se aplicó a 87 gerentes y directivos de áreas de Riesgo, Digital, TI, Legal y Cumplimiento. La pregunta ya no es “qué dice la ley”, sino si tu empresa está lista para el 1 de diciembre de 2026.

¿Que es la Ley 21.719 y que cambia respecto a la norma anterior?

La ley moderniza por completo la protección de datos personales en Chile. Se publicó 

en el Diario Oficial el 13 de diciembre de 2024 y se inspira en el RGPD europeo. Entre sus principales cambios, destacan:

  • Crea la Agencia de Protección de Datos Personales (APDP), primera autoridad chilena con poder real para fiscalizar y sancionar.
  • Reconoce los derechos ampliados para los titulares de datos. 
  • Impone obligaciones de seguridad, trazabilidad, transparencia a toda empresa que trate datos personales, sin importar su tamaño.

¿Cuándo entra en vigencia la Ley 21.719 en Chile?

La Ley entra en vigencia el 1 de diciembre de 2026, tras un período de adecuación de 24 meses desde su publicación. No es una fecha lejana: un proceso serio de cumplimiento (mapeo de datos, contrato con proveedores, políticas internas) suele tomar entre 9 y 12 meses, por lo que septiembre es, en la práctica, el último trazo razonable para empezar.

¿Qué empresas deben cumplir con la Ley 21.719? 

Todas las empresas. La ley no excluye por tamaño ni por rubro. Si tu empresa tiene una base de datos de clientes, un sistema de RR.HH o una tienda online, ya trata de datos personales y está sujeta a la ley. De todas maneras existe una consideración especial: 

  • Pymes: durante los primeros doce meses de vigencia (diciembre 2026 – diciembre 2027), pueden recibir amonestación por escrito en lugar de multa ante un primer incumplimiento según su clasificación bajo la ley 20.416 (más conocida como el Estatuto Pyme, que fija normas especiales para orientar y facilitar el desarrollo de las micro, pequeñas y medianas empresas en Chile).

¿Cuáles son las sanciones por incumplir la ley?

Las infracciones se clasifican en leves, graves y gravísimas, y escalan aún más dependiendo su impacto sobre los titulares y la capacidad económica de la organización.

  • Infracciones leves: hasta 5.000 UTM.
  • Infracciones graves: hasta 10.000 UTM.
  • Infracciones gravísimas: hasta 20.000 UTM, o hasta el 4% de los ingresos anuales de la empresa, lo que resulta mayor.
  • Reincidencia: la multa puede triplicarse, hasta 60.000 UTM.
  • La APDP también puede suspender el tratamiento de datos hasta por 30 días y publicar la sanción en el Registro Nacional, un listado público que se ha mantenido por 5 años.

¿Qué son los derechos ARCO?

Los derechos ARCO (acceso, rectificación, cancelación y oposición) son las facultades que en este caso la ley entrega a cualquier persona sobre sus propios datos:

  • Acceso: saber qué datos tiene una empresa sobre ti y para qué los usa.
  • Rectificación: corregir datos erróneos y desactualizados.
  • Cancelación: pedir que se eliminen tus datos cuando ya no exista una razón legítima para conservarlos.
  • Oposición: negarte a que tus datos se usen para un fin específico, como marketing directo.

La ley 21.719 amplía este marco a seis derechos en total, incluyendo portabilidad de datos.

¿Mi empresa necesita un encargado de protección de datos (DPO)?

Depende del volumen y sensibilidad de los datos que manejas. La designación de un Delegado de Protección de Datos (DPO) es obligatoria para organismos públicos y para empresas privadas que traten datos de forma significativa o a gran escala, como por ejemplo, datos sensibles, biométricos o de salud. Para una Pyme que sólo administra una base de clientes básica, no es un requisito legal directo, pero sí una buena práctica si el volumen de datos crece.

Cómo comenzar: pasos clave antes de diciembre de 2026 

  • Realiza un inventario de datos: identifica la información de usuarios, colaboradores y convenios en tus plataformas internas (CRM, contabilidad o RR.HH) y con qué proveedores externos se comparten.
  • Revisa los contratos con tus proveedores tecnológicos: si usas herramientas que almacenan datos fuera de Chile, necesitas un acuerdo de tratamiento de datos vigentes. 
  • Ordena la gestión documental: consentimientos, políticas y registros de tratamientos deben quedar respaldados con trazabilidad verificable, no en papeles dispersos. Un certificado Digital de Acepta te permite firmar estos documentos con firma electrónica avanzada y conservar un prueba clara de quién la firmó, qué firmó y cuándo.
  • Establece un protocolo ante incidentes: define un responsable para reportar cualquier vulneración de seguridad en los plazos legales establecidos.

Por qué la firma electrónica avanzada es parte del cumplimiento

Cumplir la ley de protección de datos personales no es solo tener políticas escritas, sino poder demostrar que las aplicas. Ante una fiscalización, la Agencia va a esperar respaldo de los consentimientos obtenidos, de los contratos con proveedores que acceden a datos y de los procedimientos internos.

La firma electrónica avanzada tiene la misma validez legal que la firma manuscrita, según la Ley 19.799, y Acepta está acreditada como Prestador de Servicios de Certificación. Si quieres partir por ordenar tus documentos antes de diciembre, solicita tu certificado digital Acepta aquí y ten tu gestión documental lista para el 1 de diciembre.

Preguntas frecuentes 

¿Cuándo entra en vigencia la ley 21.719 en Chile?

El 1 de diciembre de 2026, 24 meses después de su publicación en el Diario Oficial el 13 de diciembre de 2024.

¿Qué pasa si la Agencia de Protección de Datos no está instalada antes de diciembre de 2026? 

La ley entra en vigencia igual en esa fecha; la instalación completa de la Agencia y sus reglamentos puede seguir en curso, pero eso no exime a las empresas de cumplir desde el primer día. 

¿Qué empresas deben cumplir con la ley 21.719? 

Todas las empresas que traten datos personales en Chile, sin importar su tamaño o rubro, aunque las pymes tienen un año de gracia con amonestaciones en lugar de multas.

¿Cuáles son las sanciones por incumplir la ley? 

Van desde 5.000 UTM en infracciones leves hasta 20.000 UTM en infracciones gravísimas, con posibilidad de triplicarse hasta 60.000 UTM en caso de reincidencia.