Ley 21.719 para pymes: qué te aplica y qué no

Sí, la Ley 21.719 te aplica aunque tu empresa tenga cinco trabajadores. No fija un umbral de tamaño: cubre a toda persona natural o jurídica que trate datos personales. Lo que sí cambia para una pyme es cuánto se le exige en algunos deberes, cómo se calcula una multa y qué puede hacer la Agencia el primer año.

Esa diferencia importa, porque en la conversación de pasillo circulan dos versiones igual de equivocadas: "a las pymes no les aplica" y "me pueden multar con 1.400 millones". Ninguna de las dos es cierta para una empresa de menor tamaño.

La idea en simple

• La ley aplica a todas las empresas; no hay tamaño mínimo.
• Pyme, para esta ley, es la empresa con ventas anuales de hasta 100.000 UF.
• Durante los primeros 12 meses, la Agencia puede sancionar a una pyme con una amonestación por escrito en vez de multa.
• Las obligaciones de fondo son las mismas; lo que se ajusta es el estándar.

Quién cuenta como pyme

La ley no inventa una definición propia: usa la de la Ley 20.416. Son empresas de menor tamaño las microempresas (ventas anuales de hasta 2.400 UF), las pequeñas (hasta 25.000 UF) y las medianas (hasta 100.000 UF), según los ingresos del último año calendario.

Ojo: se mide por ventas, no por número de trabajadores. Una distribuidora con doce personas y ventas sobre 100.000 UF no es pyme para estos efectos.

Qué te aplica igual que a una empresa grande

Tener un fundamento para cada uso de datos. Consentimiento, contrato, obligación legal o interés legítimo. Esto no se gradúa por tamaño.

Publicar tu política de tratamiento en tu sitio web o en un medio equivalente, con fecha y versión, y un canal para que las personas te escriban. Cómo hacerla bien está en esta guía de política de privacidad.

Responder las solicitudes de acceso, corrección, borrado, oposición y portabilidad dentro de 30 días corridos, prorrogables una vez.

Proteger los datos con medidas de seguridad acordes al riesgo, y reportar a la Agencia las vulneraciones de seguridad cuando exista un riesgo razonable para las personas.

Regular por contrato a los proveedores que tratan datos por cuenta tuya: el CRM, la plataforma de correos, el contador que hace las remuneraciones.

Qué cambia por ser pyme

El estándar de información y seguridad. La ley dice que las condiciones mínimas para cumplir esos dos deberes se fijarán considerando, entre otras cosas, el tamaño de la empresa. Las determinará la Agencia por instrucción general, así que el detalle todavía no se conoce. Lo razonable es asumir que a una pyme no se le pedirá la misma estructura que a un banco, pero sí lo básico funcionando.

La amonestación del primer año. Un artículo transitorio permite que, durante los 12 meses siguientes a la entrada en vigencia, la Agencia aplique a las empresas de menor tamaño una amonestación por escrito en lugar de multa. Es una facultad de la Agencia, no un perdón automático, y la amonestación queda anotada en el Registro Nacional de Sanciones y Cumplimiento, que es público. El proyecto de postergación propone extender esa opción a todas las empresas.

El cálculo de la multa. Los topes son los mismos (hasta 5.000, 10.000 y 20.000 UTM según la gravedad), pero la Agencia debe considerar la capacidad económica del infractor, entre otros criterios. Y la multa por reincidencia calculada como porcentaje de las ventas anuales no se aplica a las empresas de menor tamaño. El detalle de los niveles está en cuánto te puede costar no cumplir.

El delegado de protección de datos. Nombrarlo es voluntario y, en las micro, pequeñas y medianas empresas, el dueño o la máxima autoridad puede asumir esas tareas personalmente. Más sobre eso en si tu empresa necesita un delegado.

Qué pasa con la fecha

La ley rige el 1 de diciembre de 2026. Hay un proyecto del Gobierno para moverla al 1 de diciembre de 2027 que, a fines de septiembre, seguía en su primer trámite en el Senado sin haberse votado. Si se aprueba, se mueve la fecha desde la que se puede sancionar; lo que hay que ordenar dentro de la empresa sigue siendo lo mismo.

Cómo saber si te pasa

Si tu pyme cumple dos o más de estas condiciones, tienes trabajo pendiente:

• Tienes formularios en tu sitio y no sabes si guardan la aceptación de cada persona.
• Tu política de privacidad es copiada o no existe.
• Le escribes por WhatsApp o correo a una lista que nadie sabe de dónde salió.
• Nadie en la empresa está a cargo de responder si alguien pide borrar sus datos.
• Tus proveedores tienen acceso a tu base y no hay nada firmado sobre eso.

La buena noticia para una pyme es que el inventario es corto y el trabajo se resuelve en semanas, no en meses. Esto no es asesoría legal: lo jurídico lo redacta y firma MM Abogados, y nosotros dejamos funcionando lo digital. Acá está cómo lo hacemos.