Ley 19.628: resumen de la ley de datos personales de Chile
La Ley 19.628 regula los datos personales en Chile desde 1999. Resumen de lo que exige a tu empresa, artículo por artículo: consentimiento, datos sensibles, derechos, plazos y sanciones.
La Ley 19.628, sobre protección de la vida privada, regula desde 1999 cómo las empresas y el Estado pueden recolectar y usar datos personales en Chile. Exige consentimiento escrito salvo excepciones, reconoce a las personas el derecho a acceder, corregir y eliminar sus datos, y se hace valer ante los tribunales. La Ley 21.719 la reforma casi entera, con vigencia legal desde el 1 de diciembre de 2026.
La 19.628 aparece en las bases de una licitación, en el contrato de un cliente grande o en una auditoría, y casi siempre detrás de la misma duda: si la base de clientes con que vende tu equipo está en regla. Este resumen sirve para las dos cosas: entender qué exige hoy y qué va a exigir después de la reforma.
La idea en simple
- La 19.628 es la ley de datos personales de Chile. Sigue vigente: la Ley 21.719 no la deroga, la modifica y le agrega instituciones nuevas.
- Hoy la regla general es que necesitas autorización escrita de la persona, pero la ley tiene excepciones amplias, como los datos de fuentes accesibles al público.
- Las personas pueden pedirte qué datos tienes de ellas y exigir que los corrijas o los borres. Si no respondes en dos días hábiles, pueden ir al juez.
- Lo que cambia con la reforma: aparece una Agencia que fiscaliza, multas de hasta 20.000 UTM y la obligación de poder demostrar cómo tratas los datos.
¿Qué es la Ley 19.628?
Es la Ley sobre Protección de la Vida Privada, promulgada el 18 de agosto de 1999. Fue la primera ley chilena dedicada a los datos personales y, durante más de 25 años, la única regla general sobre el tema. Su texto vigente está en la Biblioteca del Congreso Nacional.
Tiene seis títulos: disposiciones generales, uso de datos, derechos de las personas, datos de deudas y morosidad, tratamiento por organismos públicos y responsabilidad por infracciones. Se le hicieron cambios puntuales en 2002, 2011 y 2012, sobre todo en lo que se refiere a datos comerciales y de morosidad, hasta la reforma de fondo de 2024.
¿Qué cuenta como dato personal según la 19.628?
El artículo 2 define dos categorías que siguen siendo la base de todo:
| Concepto | Qué dice la ley | Ejemplos en una empresa |
|---|---|---|
| Dato personal | Cualquier información concerniente a personas naturales identificadas o identificables | Nombre, RUT, correo, teléfono, dirección, historial de compras |
| Dato sensible | Datos que se refieren a características físicas o morales, o a la vida privada o intimidad | Salud, origen racial, opiniones políticas, creencias religiosas, vida sexual, hábitos personales |
| Fuente accesible al público | Registros o recopilaciones de datos de acceso no restringido | Algunos registros públicos y listados profesionales |
Dos detalles que suelen pasarse por alto. Primero, la ley protege a personas naturales: el RUT de una empresa no es un dato personal, pero el nombre y el celular del gerente que te compra sí lo son. Segundo, el dato no tiene que ser secreto para estar protegido: un correo corporativo con nombre y apellido es dato personal. En qué son los datos personales hay más ejemplos.
¿Cuándo puedes usar datos personales sin pedir permiso?
El artículo 4 dice que solo puedes tratar datos personales cuando la ley lo autoriza o cuando la persona consiente expresamente, después de ser informada del propósito. Esa autorización debe constar por escrito y se puede revocar.
Las excepciones son las que explican por qué en Chile se compran y venden bases de datos desde hace dos décadas. No se necesita autorización cuando los datos vienen de fuentes accesibles al público y, además, cumplen una de estas condiciones:
- Son de carácter económico, financiero, bancario o comercial.
- Están en listados de una categoría de personas que solo indican pertenencia al grupo, profesión o actividad, títulos, dirección o fecha de nacimiento.
- Son necesarios para comunicaciones comerciales de respuesta directa o para la venta directa de bienes o servicios.
Tampoco se necesita cuando los trata una persona jurídica privada para su uso exclusivo, el de sus asociados y entidades afiliadas, con fines estadísticos, de tarificación u otros de beneficio general.
Con la reforma ya no basta con que el dato sea público: cada uso necesita una base legal que puedas justificar. En compraste una base de datos: qué hacer está el detalle práctico.
¿Qué pasa con los datos sensibles?
El artículo 10 es corto y estricto: los datos sensibles no se pueden tratar, salvo que la ley lo autorice, que exista consentimiento del titular o que sean necesarios para otorgar beneficios de salud. Para una empresa que no es de salud, la regla práctica es simple: si no necesitas el dato sensible para entregar el servicio, no lo pidas.
¿Te pasa algo parecido? En 30 minutos por Meet, sin costo, te mostramos cuánta plata tienes cotizada sin seguimiento.
Agendar los 30 minutos¿Qué derechos tienen las personas sobre sus datos?
El artículo 12 da a toda persona el derecho a exigir a quien tenga una base de datos:
- Información: qué datos tienes de ella, de dónde salieron, para qué los guardas y a quién se los comunicas.
- Modificación: que corrijas los datos erróneos, inexactos o incompletos.
- Eliminación: que los borres si no tienes fundamento legal para guardarlos o si están caducos.
- Bloqueo: que suspendas su uso, por ejemplo, si te los dio voluntariamente o los usas para enviarle publicidad y ya no quiere recibirla.
El ejercicio de estos derechos es gratuito. Y hay un plazo que muchas empresas no conocen: según el artículo 16, si no respondes la solicitud en dos días hábiles, la persona puede reclamar ante el juez de letras en lo civil. El tribunal puede aplicar multas de 1 a 10 UTM, o de 10 a 50 UTM si se trata de datos de deudas y morosidad.
¿Qué regula sobre deudas y morosidad?
Los artículos 17 a 19 regulan qué datos de obligaciones económicas se pueden comunicar (protestos de cheques, letras y pagarés, deudas con bancos y casas comerciales, entre otras) y fijan un límite: no se pueden comunicar después de cinco años desde que la obligación se hizo exigible, ni después de pagada. Es la parte de la ley que más se ha usado en tribunales, porque es la que afecta el acceso al crédito.
¿Qué responsabilidad tiene tu empresa si incumple?
El artículo 23 obliga al responsable de la base de datos a indemnizar el daño patrimonial y moral que cause un tratamiento indebido, además de corregir, bloquear o borrar los datos. El artículo 11 agrega que quien guarda datos personales debe cuidarlos con la debida diligencia y responde por los daños.
El problema de la 19.628 nunca estuvo en lo que exigía, sino en cómo se hacía cumplir: no había un organismo que fiscalizara, y la persona afectada tenía que demandar por su cuenta. Por eso casi nadie la cumplía y casi nadie reclamaba.
¿Qué cambia con la reforma de la Ley 21.719?
La Ley 21.719, publicada el 13 de diciembre de 2024, modifica la 19.628 de forma profunda. La fecha legal de vigencia hoy es el 1 de diciembre de 2026. Hay un proyecto del Gobierno para postergarla un año que aún se discute en el Senado; lo que conviene preparar es lo mismo con cualquiera de las dos fechas.
| Tema | Ley 19.628 (hasta la reforma) | Con la Ley 21.719 |
|---|---|---|
| Quién fiscaliza | Nadie; solo los tribunales | Agencia de Protección de Datos Personales |
| Cómo reclama una persona | Demanda ante el juez | Reclamo ante la Agencia |
| Sanciones | Multas de 1 a 50 UTM e indemnización | Multas de hasta 5.000, 10.000 y 20.000 UTM según gravedad |
| Consentimiento | Escrito, con excepciones amplias | Libre, informado, específico e inequívoco, y demostrable |
| Derechos | Información, modificación, eliminación y bloqueo | Acceso, rectificación, supresión (o cancelación), oposición, portabilidad y bloqueo |
| Filtraciones | No reguladas | Obligación de notificar brechas |
| Datos de fuentes públicas | Excepción amplia a la autorización | Cada uso necesita una base legal que puedas justificar |
Para las empresas de menor tamaño, la reforma prevé que durante el primer año la Agencia podrá aplicar una amonestación por escrito en lugar de multa. Es una facultad de la Agencia, no un derecho de la empresa. La comparación completa está en Ley 19.628 y Ley 21.719: qué cambia para tu empresa y en la guía completa de la Ley 21.719.
¿Qué hacer hoy si tu empresa solo cumple la 19.628?
- Haz el inventario. Lista qué datos personales tienes (CRM, planillas, WhatsApp, formularios, facturación), de dónde salió cada base y quién la usa.
- Revisa el origen de tus bases. Las que compraste o armaste desde fuentes públicas son las primeras que vas a tener que justificar.
- Ordena el consentimiento. Tus formularios deben decir para qué usarás los datos y guardar cuándo y a qué aceptó cada persona.
- Ten un canal para los derechos. Un correo o formulario donde alguien pueda pedir acceso, corrección o eliminación, con un responsable y un plazo interno.
- Revisa a tus proveedores. Tu CRM, tu hosting y quien te maneje la publicidad tratan datos por encargo tuyo: el contrato tiene que decirlo.
Preguntas frecuentes
¿La Ley 19.628 está derogada?
No. La Ley 21.719 no deroga la 19.628, la modifica: reescribe la mayor parte de sus artículos y le agrega la Agencia, las sanciones administrativas y nuevas obligaciones. Por eso los textos legales siguen citando la «Ley 19.628» después de la reforma.
¿La Ley 19.628 aplica a empresas o solo a personas?
Aplica a cualquier persona, empresa u organismo público que trate datos de personas naturales. Lo que protege son los datos de las personas, no los de las empresas: el RUT de una sociedad no es un dato personal, pero el nombre y el correo de su gerente sí lo son.
¿Cuánto plazo tengo para responder una solicitud de acceso a datos?
Bajo la Ley 19.628, dos días hábiles. Si no respondes o la rechazas sin causa legal, la persona puede reclamar ante el juez de letras en lo civil de tu domicilio, que puede aplicar multas de 1 a 10 UTM.
¿Puedo seguir usando una base de datos comprada?
Hoy la 19.628 permite tratar sin autorización ciertos datos que vienen de fuentes accesibles al público, incluso para venta directa, y por eso muchas empresas las usan. Con la reforma tendrás que poder justificar la base legal de cada tratamiento, así que conviene revisar el origen de esas bases antes de que entre en vigor.
Si quieres saber en qué está tu empresa frente a la reforma, acá está cómo abordamos la adecuación a la nueva ley.
