Que es la Ley 21.719?
La Ley 21.719, publicada en el Diario Oficial el 13 de diciembre de 2024, representa la reforma más significativa al marco de protección de datos personales en Chile en más de 25 años. Esta nueva normativa modifica sustancialmente la antigua Ley 19.628 sobre Protección de la Vida Privada, actualizandola para responder a los desafios de la era digital y alineandola con los estándares internacionales más exigentes, como el Reglamento General de Protección de Datos (GDPR) de la Union Europea.
La ley entrara en plena vigencia el 1 de diciembre de 2026, otorgando a las organizaciones un período de dos años para adecuar sus procesos, sistemas y políticas al nuevo marco regulatorio. Además, crea la Agencia de Protección de Datos Personales, un organismo autónomo encargado de velar por el cumplimiento de la normativa, con amplias facultades fiscalizadoras y sancionatorias.
Principales cambios respecto a la Ley 19.628
La Ley 21.719 introduce cambios fundamentales que transforman completamente el ecosistema de protección de datos en Chile. A diferencia de la Ley 19.628, que carecia de un organismo fiscalizador y establecia sanciones practicamente simbolicas, la nueva normativa incorpora mecanismos robustos de control y cumplimiento.
- Creacion de la Agencia de Protección de Datos Personales: Un organismo autónomo con facultades fiscalizadoras, normativas e interpretativas, encargado de velar por el cumplimiento de la ley.
- Nuevas bases de licitud: Se amplian y detallan las bases legales para el tratamiento de datos, incluyendo el consentimiento inequivoco, la ejecucion contractual, el interes legitimo, entre otras.
- Derechos ARCO+ reforzados: Los titulares de datos cuentan ahora con derechos de acceso, rectificacion, cancelacion, oposicion, portabilidad y bloqueo, con mecanismos efectivos de ejercicio.
- Régimen sancionatorio efectivo: Se establecen multas que pueden alcanzar hasta 20.000 UTM para infracciones gravísimas, con un sistema de escalamiento progresivo.
- Deber de seguridad reforzado: Las organizaciones deben implementar medidas técnicas y organizativas para proteger los datos personales.
- Notificación obligatoria de brechas de seguridad: Se exige comunicar las vulneraciones de datos tanto a la Agencia como a los titulares afectados.
- Transferencias internacionales reguladas: Se establecen requisitos específicos para la transferencia de datos personales fuera de Chile.
- Datos sensibles con protección especial: Se refuerza la protección de datos de salud, biometricos, geneticos y de orientacion sexual.
Obligaciones para las empresas
La nueva ley impone una serie de obligaciones concretas que toda organización que trate datos personales debe cumplir. Estas obligaciones aplican tanto a empresas privadas como a organismos públicos.
Designacion de un Delegado de Protección de Datos (DPO)
Las organizaciones que traten datos personales a gran escala o que realicen tratamiento sistematico de datos sensibles deberan designar un Delegado de Protección de Datos (DPO). Este puede ser un profesional interno o externo, y actua como punto de contacto entre la organización, los titulares de datos y la Agencia. La Ley 21.719 establece que el DPO debe tener autonomia funcional y no puede recibir instrucciones en el ejercicio de sus funciones.
Registro de Actividades de Tratamiento (RAT)
Toda organización debe llevar un Registro de Actividades de Tratamiento (RAT) que documente de manera detallada todas las operaciones de tratamiento de datos personales que realiza. El Decreto 662 ha establecido que este registro debe contener 41 campos obligatorios, lo que exige un nivel de documentación exhaustivo.
Notificación de brechas de seguridad
En caso de una vulneracion de seguridad que afecte datos personales, la organización debe notificar a la Agencia de Protección de Datos en un plazo máximo establecido por la ley. Si la brecha puede generar un riesgo alto para los titulares, también deben ser notificados directamente.
Evaluación de Impacto en Protección de Datos (EIPD)
Antes de iniciar operaciones de tratamiento que impliquen un alto riesgo para los derechos de los titulares, las organizaciones deben realizar una Evaluación de Impacto en Protección de Datos (EIPD). Este análisis debe documentar los riesgos identificados, las medidas de mitigacion y la justificacion del tratamiento.
Consentimiento reforzado
El consentimiento del titular debe ser libre, informado, específico e inequivoco. Las organizaciones deben poder demostrar que obtuvieron el consentimiento de manera válida y deben facilitar su revocacion en cualquier momento. Se eliminan las clausulas genericas o preseleccionadas como mecanismo válido de consentimiento.
Plazos de implementación
Fecha clave: La Ley 21.719 entrara en plena vigencia el 1 de diciembre de 2026. A partir de esa fecha, la Agencia de Protección de Datos Personales estara facultada para ejercer sus funciones fiscalizadoras y sancionatorias. Las organizaciones tienen hasta esa fecha para adecuar completamente sus procesos.
El proceso de implementación no debe dejarse para el último momento. Dada la complejidad de los cambios requeridos, se recomienda iniciar la adecuación con al menos 9 a 12 meses de anticipación. Esto incluye el diagnóstico inicial, la implementación de procesos, la capacitación del personal y las pruebas de los sistemas.
Régimen de sanciones
Uno de los cambios mas significativos de la Ley 21.719 es la introducción de un régimen sancionatorio efectivo. Las multas se clasifican en tres niveles según la gravedad de la infracción:
| Tipo de infracción | Multa maxima | Valor aproximado (CLP) |
|---|---|---|
| Leves | Hasta 5.000 UTM | ~$335 millones |
| Graves | Hasta 10.000 UTM | ~$670 millones |
| Gravísimas | Hasta 20.000 UTM | ~$1.340 millones |
Además de las multas, la Agencia puede imponer sanciones accesorias como la suspension del tratamiento de datos, la prohibicion de tratar datos por un período determinado y la publicación de la resolucion sancionatoria. Es importante destacar que contar con un Modelo de Prevención de Infracciones (MPI) certificado puede actuar como atenuante en caso de procedimientos sancionatorios.
Como prepararse: pasos concretos
La adecuación a la Ley 21.719 requiere un enfoque sistematico y planificado. A continuacion, presentamos los pasos fundamentales que toda organización deberia seguir:
- Realizar un diagnóstico inicial: Evaluar el estado actual de cumplimiento de la organización, identificando brechas respecto a los requisitos de la nueva ley.
- Mapear los flujos de datos: Documentar todos los procesos que involucran tratamiento de datos personales, identificando que datos se recopilan, para que fines, donde se almacenan y con quien se comparten.
- Implementar el RAT: Crear y mantener actualizado el Registro de Actividades de Tratamiento con los 41 campos exigidos por el Decreto 662.
- Designar un DPO: Evaluar la necesidad de contar con un Delegado de Protección de Datos y proceder a su designacion, ya sea interno o externo.
- Actualizar políticas y avisos de privacidad: Revisar y actualizar toda la documentación relacionada con el tratamiento de datos personales.
- Implementar medidas de seguridad: Establecer controles técnicos y organizativos adecuados al nivel de riesgo de los tratamientos realizados.
- Crear protocolos de gestión de brechas: Definir procedimientos claros para la deteccion, evaluación y notificación de vulneraciones de seguridad.
- Capacitar al personal: Formar a todos los colaboradores que tratan datos personales sobre sus obligaciones y buenas prácticas.
- Considerar un Modelo de Prevención de Infracciones: Evaluar la conveniencia de implementar y certificar un MPI ante la Agencia.
- Realizar evaluaciones periodicas: Establecer un programa de auditorías internas para verificar el cumplimiento continuo.
Prepara tu empresa para la Ley 21.719
En Nortika ofrecemos un diagnóstico gratuito de cumplimiento normativo. Evaluamos el estado actual de tu organización y te entregamos una hoja de ruta personalizada para alcanzar el cumplimiento antes de diciembre de 2026.
Solicitar diagnóstico gratuito