Ley 19.628 y Ley 21.719: qué cambia para tu empresa

Durante 25 años, Chile tuvo una ley de protección de datos que en la práctica funcionaba como una sugerencia. La Ley 19.628 existía desde 1999, decía cosas razonables y casi nadie la cumplía, porque no había quién revisara y porque la única salida para el afectado era ir a tribunales por su cuenta.

Eso se termina el 1 de diciembre de 2026. La Ley 21.719 no es una actualización cosmética de la anterior: cambia quién vigila, cuánto cuesta incumplir y qué tienes que poder demostrar.

La idea en simple

• La ley vieja no tenía fiscalizador; la nueva crea una Agencia dedicada.
• Antes el afectado tenía que demandar; ahora puede reclamar ante un organismo.
• Aparecen multas administrativas de hasta 20.000 UTM.
• El consentimiento pasa de ser un formalismo a algo que hay que poder acreditar.

Lo que cambia, punto por punto

Antes: nadie fiscalizaba. Ahora: hay una Agencia.
La 19.628 no creó ningún organismo encargado de hacerla cumplir. La 21.719 crea la Agencia de Protección de Datos Personales, con facultades para investigar, instruir procedimientos y aplicar sanciones. Es la diferencia entre una regla escrita y una regla vigilada.

Antes: ibas a tribunales. Ahora: reclamas ante la Agencia.
Bajo la ley vieja, si una empresa usaba mal tus datos, tenías que iniciar un juicio. Costaba plata, tiempo y abogado, así que casi nadie lo hacía. Ahora existe una vía administrativa: la persona reclama y la Agencia investiga. Baja tanto el costo de reclamar que la cantidad de reclamos va a subir.

Antes: sanciones difusas. Ahora: multas de hasta 20.000 UTM.
La nueva ley clasifica las infracciones en leves, graves y gravísimas, con topes de 5.000, 10.000 y 20.000 UTM respectivamente. Además contempla la suspensión de las operaciones de tratamiento, que para muchas empresas es peor que la multa: significa que tu marketing y tu CRM se detienen.

Antes: consentimiento como formalidad. Ahora: consentimiento demostrable.
La 19.628 pedía autorización, pero en la práctica se cumplía con un checkbox y nadie preguntaba más. La 21.719 exige que el consentimiento sea libre, informado, específico e inequívoco, y que la empresa pueda probar que lo obtuvo. Guardar el "cuándo" y el "a qué" deja de ser opcional.

Antes: derechos limitados. Ahora: cinco derechos con plazos.
Se amplían y ordenan los derechos de las personas: acceso, rectificación, cancelación, oposición y portabilidad. El último es nuevo y significa que alguien puede pedirte sus datos en un formato que le sirva para llevárselos a otro proveedor.

Antes: nada sobre brechas. Ahora: hay que notificarlas.
Si tu base de datos se filtra, tienes que informarlo. Bajo la ley vieja esto simplemente no estaba regulado, y la práctica habitual era guardar silencio y esperar que no se notara.

Lo que no cambia

Sigue siendo legal tratar datos personales. La ley no prohíbe hacer marketing, tener un CRM ni construir una base de clientes. Lo que exige es que sepas por qué tienes cada dato, que la persona lo sepa también y que puedas demostrarlo si te preguntan.

Tampoco cambia que tú eres responsable de lo que hagan tus proveedores. Si tu CRM, tu hosting o tu agencia tratan datos por encargo tuyo, respondes por esa cadena.

Qué hacer con esta diferencia

El error de lectura más común es pensar "llevamos 25 años así y nunca pasó nada". Es cierto, y es exactamente por eso que ahora cambia: durante 25 años no hubo quién revisara. La empresa que llegue a diciembre con las prácticas de la ley vieja va a estar incumpliendo la nueva desde el primer día, y con evidencia pública, porque buena parte de lo que la ley exige se ve entrando al sitio web.

El punto de partida no es legal, es de inventario: qué datos tienes, de dónde salieron y quién los toca. Si quieres verlo ordenado, acá está cómo abordamos la adecuación.