Ley 21.719: la guía completa para tu empresa

Si tienes una empresa en Chile, guardas datos de personas. El correo de un cliente, el teléfono de alguien que llenó un formulario, la planilla con la cartera del vendedor que se fue el año pasado. Nada de eso es nuevo.

Lo nuevo es que desde el 1 de diciembre de 2026 hay una ley que regula qué puedes hacer con esa información, un organismo con facultades para fiscalizarte y multas que llegan a montos que ninguna empresa quiere pagar. La mayoría de las empresas con las que conversamos se enteró de esto de refilón, asumió que era un tema de bancos y lo dejó ahí.

No es un tema de bancos. Esta guía explica, en castellano y sin rodeos, qué dice la Ley 21.719, a quién le aplica y qué tiene que hacer tu empresa antes de diciembre.

Antes de partir: esto es una guía orientativa escrita desde la operación, no asesoría legal. Sirve para que entiendas el terreno y sepas qué preguntar. Las definiciones que dependen de tu caso concreto — si estás obligado a nombrar un delegado, qué base legal aplica a cada una de tus bases de datos, cómo redactar tus cláusulas — las tiene que resolver un abogado. Nosotros trabajamos estos proyectos junto a Salinas Whittaker Abogados, que se hace cargo de esa parte.

Qué es la Ley 21.719 y de dónde viene

Chile tenía una ley de protección de datos desde 1999: la Ley 19.628. Decía cosas razonables, pero tenía un problema de diseño que la volvió decorativa. No creó ningún organismo encargado de hacerla cumplir, y la única vía que le quedaba a una persona afectada era iniciar un juicio por su cuenta. Costaba plata, tiempo y abogado. Casi nadie lo hacía, así que en la práctica incumplir no tenía consecuencias.

La Ley 21.719 corrige exactamente eso. Se publicó en el Diario Oficial en diciembre de 2024 y su cambio de fondo no está en las obligaciones — varias ya existían — sino en que ahora hay quién vigila y cuánto cuesta incumplir.

Los tres cambios estructurales:

1. Crea la Agencia de Protección de Datos Personales, con facultades para investigar, instruir procedimientos y sancionar.
2. Establece un procedimiento administrativo: la persona reclama ante la Agencia en vez de demandar en tribunales. Baja tanto el costo de reclamar que la cantidad de reclamos va a subir.
3. Fija multas concretas, con topes que llegan a 20.000 UTM.

A eso se suma que moderniza el marco completo: incorpora las bases de licitud, amplía los derechos de las personas, obliga a documentar los tratamientos y regula qué hacer cuando hay una filtración.

Cuándo empieza a regir

El 1 de diciembre de 2026. La ley contempló un plazo de veinticuatro meses desde su publicación para que empresas y organismos públicos se adecuaran. Ese plazo se está terminando.

Vale la pena entender qué significa esa fecha en la práctica. No es que el 1 de diciembre empiece una fiscalización masiva. Significa que desde ese día las obligaciones son exigibles: si alguien reclama por algo ocurrido después de esa fecha, hay dónde reclamarlo y hay con qué sancionarlo.

También significa que la evidencia que puedas mostrar tiene fecha. Un registro de tus tratamientos armado en agosto vale más que uno improvisado en enero, porque demuestra que te preparaste y no que reaccionaste.

Qué cuenta como dato personal

Cualquier información que permita identificar a una persona natural, directa o indirectamente. La definición es más amplia de lo que la mayoría supone.

Lo evidente: nombre, RUT, correo, teléfono, dirección, fecha de nacimiento.

Lo que también entra y casi nadie considera:

• La patente de un vehículo asociada a su dueño.
• Una fotografía en la que se reconoce a alguien.
• La grabación de una llamada de servicio al cliente.
• El identificador que tu sitio web le asigna a un visitante para hacer remarketing.
• La dirección IP desde la que alguien navega.
• El historial de compras de un cliente en tu tienda.
• La ubicación que registra la aplicación de reparto de tu empresa.

Es decir: buena parte de lo que hoy tu empresa recolecta sin pensarlo dos veces.

Los datos sensibles y por qué importan más

Hay una segunda categoría con reglas bastante más estrictas: los datos sensibles. Son los que se refieren a características o situaciones de la esfera íntima de una persona, y su tratamiento indebido puede derivar en discriminación.

Entran acá el estado de salud, el perfil biológico o genético, los datos biométricos (huella, reconocimiento facial), el origen étnico, las creencias religiosas, la afiliación sindical o política, la vida sexual y la situación socioeconómica.

La regla general es que tratar datos sensibles requiere consentimiento expreso del titular, salvo excepciones acotadas que define la ley. Y las infracciones que los involucran caen en las categorías más graves.

Si trabajas en salud, educación, servicios financieros, seguros o recursos humanos, es muy probable que trates datos sensibles sin haberlo pensado en esos términos. Una ficha de postulante con una declaración de salud es un dato sensible. Un formulario de una clínica también.

A quién le aplica

A ti, con casi total seguridad. No hay un umbral de tamaño que te deje afuera. Si tu empresa hace alguna de estas cosas, está tratando datos personales:

• Tiene un formulario de contacto, cotización o suscripción en su sitio.
• Guarda una base de clientes o de prospectos, aunque sea una planilla.
• Envía correos comerciales o mensajes de WhatsApp a una lista.
• Usa píxeles de Meta o Google para hacer remarketing.
• Tiene un CRM.
• Registra a sus trabajadores, que también son personas con datos.
• Graba llamadas o tiene cámaras que registran personas identificables.

La ley sí considera el tamaño y la capacidad económica de la empresa al momento de determinar una sanción, y aplica un criterio de proporcionalidad: a una empresa de diez personas no se le va a exigir la misma estructura documental que a un banco. Pero las obligaciones de fondo — tener un fundamento legal para tratar los datos, informar con claridad y responder cuando alguien ejerce sus derechos — son las mismas para todos.

Los tres roles que define la ley

Esta parte parece burocrática y es la que más ordena la conversación interna. La ley distingue tres papeles:

El titular es la persona a quien pertenecen los datos. Tu cliente, tu prospecto, tu trabajador. Es quien tiene los derechos.

El responsable es quien decide para qué y cómo se tratan los datos. Es tu empresa. Aunque el dato lo procese físicamente otro, si tú decides qué se hace con él, la responsabilidad es tuya.

El encargado es quien trata datos por cuenta del responsable. Tu CRM, tu proveedor de hosting, la plataforma de correos, tu agencia de marketing, el estudio contable que procesa tus remuneraciones.

La consecuencia práctica es la que suele sorprender: tú respondes por lo que hagan tus encargados. Si tu proveedor de correos filtra tu base, el problema no es solo de él. Por eso la ley exige que la relación con cada encargado esté regulada por escrito, con instrucciones claras sobre qué puede y qué no puede hacer con los datos.

Haz el ejercicio de listar todos tus encargados. En una empresa mediana suelen ser entre ocho y quince, y en general no hay contrato con ninguno que diga algo sobre datos personales.

Por qué puedes tratar datos: las bases de licitud

Este es el concepto central de la ley y el que más cambia la forma de trabajar. Todo tratamiento de datos necesita una razón legal que lo justifique. No puedes guardar datos "por si acaso".

La ley reconoce varias bases. Las que más van a usar las empresas:

El consentimiento del titular. La persona autorizó ese tratamiento específico. Es la más conocida y la más frágil, porque se puede revocar y porque hay que poder demostrarla.

La ejecución de un contrato. Necesitas los datos para cumplir lo que acordaste con esa persona. Si alguien te compró, necesitas su dirección para despachar: no hace falta pedirle permiso aparte para eso.

El cumplimiento de una obligación legal. Debes conservar ciertos datos porque otra ley te lo exige, típicamente en materia tributaria o laboral. Esta base es la que te permite negarte, con fundamento, cuando alguien pide que borres todo.

El interés legítimo del responsable o de un tercero. Es la más flexible y la que exige más cuidado: hay que poder acreditar que ese interés no pasa por encima de los derechos de la persona. Requiere análisis caso a caso, no es un comodín.

La protección de intereses vitales del titular u otra persona, para situaciones de urgencia.

El ejercicio que hay que hacer no es elegir una base para toda la empresa, sino asignarle una base a cada tratamiento. Guardar los datos de un cliente para facturarle tiene una base; mandarle publicidad de otro producto tiene otra distinta. Mezclarlas es el error más común y el más caro de deshacer.

Qué hace válido a un consentimiento

Cuando la base que usas es el consentimiento, la ley exige que sea libre, informado, específico e inequívoco.

Libre significa que la persona pudo decir que no sin perder el servicio. Si obligas a aceptar publicidad para descargar un documento, ese consentimiento está viciado.

Informado significa que antes de aceptar supo qué datos entrega, para qué se usarán y quién los tratará. Un enlace a un documento de cuatro mil palabras cumple mal esta condición: el resumen tiene que estar a la vista.

Específico significa una finalidad, un consentimiento. Responder una cotización y recibir newsletter son cosas distintas y necesitan aceptaciones distintas.

Inequívoco significa que hubo una acción positiva. Marcar una casilla vacía es acción; que venga marcada de fábrica no lo es. El silencio no es un sí.

Y hay una quinta condición que no está en la lista pero define todo: tienes que poder demostrarlo. Acá se cae la enorme mayoría de las empresas. El formulario pidió el consentimiento, la persona lo dio, y esa información no quedó guardada en ninguna parte: al CRM entró el nombre, el correo y el teléfono, y el consentimiento se evaporó en el camino.

Un registro que sirve guarda, junto al contacto, la fecha y hora exacta, el texto específico que aceptó en la versión vigente ese día, el origen (qué formulario, en qué página) y, si después revocó, cuándo lo hizo.

Los cinco derechos de las personas

Se conocen por la sigla ARCOP y son ejercibles ante cualquier empresa que trate datos, de forma gratuita.

Acceso. Puede pedirte que le digas qué datos suyos tienes, de dónde salieron, para qué los usas y con quién los compartes.

Rectificación. Si un dato está equivocado o incompleto, puede exigir que lo corrijas.

Cancelación. Puede pedir que elimines sus datos. No es absoluto: si tienes una obligación legal de conservarlos, esa obligación prima. Pero tienes que poder explicar por qué conservas lo que conservas.

Oposición. Puede exigir que dejes de usar sus datos para ciertas finalidades, típicamente marketing, aunque siga siendo tu cliente.

Portabilidad. Puede pedirte sus datos en un formato estructurado para llevárselos a otro proveedor. Es el más nuevo y el que menos empresas tienen resuelto.

La prueba de fuego es simple. Imagina que mañana llega un correo que dice "solicito que eliminen todos mis datos personales de sus sistemas". ¿Quién lo recibe? ¿En cuántos lugares habría que buscar? ¿Quién confirma que se hizo? ¿En qué plazo?

En la mayoría de las empresas ese correo se queda sin dueño: alguien lo reenvía, alguien más dice que lo va a ver, y ahí muere. Desde diciembre eso deja de ser un descuido y pasa a ser una infracción, con plazos que hay que confirmar con tu abogado y cumplir.

Las obligaciones concretas de tu empresa

Más allá de los principios, esto es lo que hay que tener:

Un registro de actividades de tratamiento. El documento que describe qué datos tratas, con qué finalidad, bajo qué base legal, por cuánto tiempo los conservas y con quién los compartes. Es lo primero que te van a pedir si te fiscalizan. En la práctica es un inventario, y al levantarlo aparecen siempre las mismas sorpresas: planillas con datos de clientes en el Drive de alguien que ya no trabaja ahí, respaldos de hace cinco años, bases de origen desconocido.

Información clara al titular. Tu política de privacidad tiene que describir lo que realmente haces, no lo que copiaste de otro sitio. Si el documento declara que pides consentimiento antes de instalar cookies y tu sitio dispara los píxeles al cargar, acabas de dejar por escrito tu propio incumplimiento.

Medidas de seguridad proporcionales al riesgo. Control de accesos por rol, cifrado donde corresponda, respaldos, registro de quién accede a qué. La ley no impone una tecnología: impone un resultado razonable según el riesgo.

Contratos con tus encargados. Cada tercero que trata datos por cuenta tuya necesita un acuerdo por escrito que regule qué puede hacer.

Un procedimiento para atender solicitudes. Con un canal visible, un responsable con nombre y un registro de lo que se pidió y cómo se resolvió.

Evaluación de impacto cuando el tratamiento sea de alto riesgo, y delegado de protección de datos cuando corresponda según el tipo, la escala y la sensibilidad de lo que tratas. Si estás en ese caso es una de las primeras cosas que hay que definir con el abogado.

Qué pasa si se filtran tus datos

La ley obliga a notificar las brechas de seguridad. Bajo la ley anterior esto simplemente no estaba regulado, y la práctica habitual era guardar silencio y esperar que no se notara.

Cuando ocurre una filtración, el problema rara vez es técnico: es de reloj. Pasan días antes de que alguien decida que hay que informar, y para entonces el incumplimiento del plazo ya se sumó al incidente original.

Lo que hay que tener listo antes de que pase: cómo se detecta, quién lo evalúa, quién decide, a quién se notifica y en qué plazo. Escrito y probado, no improvisado.

La Agencia y las sanciones

La Agencia de Protección de Datos Personales es el organismo nuevo. Recibe reclamos, fiscaliza, instruye procedimientos y aplica sanciones. También dicta instrucciones generales, así que conviene seguir lo que publique.

Las infracciones se clasifican en tres niveles:

Para dimensionar: 20.000 UTM supera los $1.400 millones de pesos. Los montos exactos y los criterios de graduación los determina la Agencia considerando circunstancias como el tamaño de la empresa, la intencionalidad, el daño causado y si existía un modelo de prevención.

Pero la sanción que debería preocuparte no es la multa. Junto a ellas, la ley contempla la suspensión de las operaciones de tratamiento. Traducido: te pueden ordenar dejar de usar tus datos personales por un período.

Piensa qué significa eso para una empresa que vende. Sin base de datos no hay campañas de correo. Sin poder tratar datos no hay remarketing, no hay segmentación, no hay CRM operativo. Tu equipo comercial se queda mirando una pantalla que no puede usar. Para una empresa cuyo motor comercial es digital, un mes de suspensión cuesta bastante más que una multa leve.

Hay una contrapartida importante: la ley premia a quien se preparó. Contar con un modelo de prevención de infracciones documentado y funcionando permite atenuar la responsabilidad. Si te equivocas pero puedes demostrar que tenías procedimientos, que capacitaste a tu gente y que reaccionaste rápido, tu situación es distinta a la de quien nunca hizo nada.

Plan de trabajo de aquí a diciembre

Este es el orden que funciona. El error de proceso más común es partir por el final: redactar la política de privacidad primero. Como el documento es lo barato y rápido, y el trabajo real es lo que viene después, "después" suele significar nunca.

Fase 1 — Levantar el inventario (2 a 3 semanas). Antes de escribir nada, saber qué tienes. Todos los puntos donde tu empresa captura datos: formularios, WhatsApp, teléfono, presencial, ferias. Todos los lugares donde los guarda: CRM, planillas, correo, sistemas internos, respaldos. Todos los terceros que los tocan. Y de cada base, el origen y el volumen.

Fase 2 — Clasificar y decidir (1 a 2 semanas). Con el mapa sobre la mesa, asignar a cada tratamiento su base legal y su plazo de conservación. Acá aparece la conversación incómoda sobre las bases de datos que no tienen respaldo, y hay que enfrentarla ahora y no en diciembre.

Fase 3 — Documentación legal (en paralelo). Con el inventario listo, el abogado puede redactar lo que la ley exige por escrito: política de privacidad real, cláusulas de consentimiento por finalidad, registro de actividades de tratamiento y los contratos de encargo con tus proveedores.

Fase 4 — Implementación técnica (3 a 6 semanas). Es la parte que toma más tiempo y la que casi nadie presupuesta. Banner de consentimiento que efectivamente bloquee, propagación de la decisión a Google y Meta, formularios que registren evidencia, política de retención aplicada en el CRM, permisos por rol.

Fase 5 — Procedimientos y personas. El canal para recibir solicitudes, el responsable a cargo, el protocolo de brechas y la capacitación del equipo que toca datos todos los días.

Si estás partiendo en septiembre, llegas bien. Si partes en noviembre, vas a llegar con la documentación lista y la implementación a medias, que es exactamente la combinación que deja por escrito lo que no se cumple.

Los errores más comunes

Creer que basta con actualizar la política de privacidad. Es la declaración de lo que haces, no un escudo. Si el sitio hace otra cosa, el documento juega en tu contra.

Copiar la política de otra empresa. Describe una empresa que no eres tú, y deja documentadas prácticas que no aplicas.

Partir por el documento en vez del inventario. Sin saber qué datos tienes, cualquier texto que firmes es ficción.

Asumir que comprar una base te da derecho a usarla. La responsabilidad de tener un fundamento legal es de quien trata los datos, no de quien los vendió.

Dejar el consentimiento en el formulario y no llevarlo al CRM. Técnicamente es un problema de integración; legalmente es no poder probar nada.

Nombrar un responsable sin darle tiempo ni autoridad. Peor que no nombrar a nadie: crea un responsable formal sin capacidad real.

Pensar que como llevamos 25 años así, no va a pasar nada. Es cierto que no pasó nada, y es exactamente por eso que la ley cambió: durante 25 años no hubo quién revisara.

Preguntas frecuentes

¿Le aplica a una pyme?
Sí. No hay umbral de tamaño. Lo que cambia es la proporcionalidad de lo que se te exige y cómo se gradúa una eventual multa, no si estás obligado.

¿Qué hago con la base de contactos que ya tengo?
Segmentarla. Los que tienen origen documentado se quedan. Con los que tienen relación real pero sin respaldo, una campaña de re-consentimiento. Los comprados o extraídos sin ninguna interacción, lo más sano es depurarlos. Duele menos que sostener una base que no puedes usar.

¿Pedir consentimiento me va a arruinar la medición de las campañas?
Es la preocupación más frecuente y tiene solución técnica. El modo de consentimiento de Google y la medición del lado del servidor permiten conservar buena parte de la señal respetando la decisión del usuario. Bien implementado, la pérdida está lejos del desastre que la gente imagina. Y dejas de optimizar sobre datos que no deberías tener.

¿Necesito un Delegado de Protección de Datos?
Depende del tipo de tratamiento, su escala y si manejas datos sensibles de forma habitual. No todas las organizaciones están obligadas. Aunque no lo estés, conviene designar a alguien: si nadie es dueño de esto, no se hace.

¿Esto reemplaza a la Ley 19.628?
La 21.719 moderniza y sustituye el marco que regía desde 1999. Si tu empresa se guiaba por la 19.628, el estándar que tienes que cumplir cambia.

¿Por dónde empiezo si tengo poco tiempo?
Por el inventario. Es lo que hace posible todo lo demás y lo único que no puede hacer nadie por ti sin entrar a tu operación.

En resumen

La Ley 21.719 no prohíbe hacer marketing, tener un CRM ni construir una base de clientes. Lo que exige es que sepas por qué tienes cada dato, que la persona lo sepa también y que puedas demostrarlo si te preguntan.

Buena parte de lo que hay que hacer para cumplir es lo que conviene hacer igual. Una empresa que sabe qué datos tiene, de dónde salieron y quién los toca, toma mejores decisiones comerciales que una que no. El desorden de datos ya te estaba costando plata antes de la ley; la ley solo le puso fecha de vencimiento.

Si quieres ver cómo abordamos esto en concreto, acá está el detalle del servicio de adecuación: primero el diagnóstico de exposición, después los documentos legales con Salinas Whittaker Abogados y al final la implementación técnica en web, medición y CRM. Y si prefieres partir revisando cómo está tu sitio hoy, este análisis es gratuito.