Las dos leyes que te van a exigir controles antes de diciembre de 2026

La Ley 21.719 protege datos personales. Entra en vigencia el 1 de diciembre de 2026, la fiscaliza la Agencia de Protección de Datos Personales, y aplica a cualquier empresa que trate datos de clientes, trabajadores o proveedores. Es decir, prácticamente a todas.

La Ley 21.663, Ley Marco de Ciberseguridad, protege la continuidad de los servicios esenciales. La fiscaliza la ANCI, que ya calificó 1.154 Operadores de Importancia Vital en dos etapas — 915 en la primera nómina y 239 más en julio de 2026, incorporando transporte, sector sanitario, farmacéutico y seguridad social.

Confundirlas tiene un costo concreto: un mismo incidente puede activar obligaciones bajo las dos, ante autoridades distintas y con plazos distintos. Un plan de respuesta que solo contempla un camino termina cumpliendo la mitad.

Ninguna de las dos suele llegar como una fiscalización. Llegan como un anexo contractual o un cuestionario de tu cliente más grande.

Por el lado de la 21.719, el artículo 15 bis establece responsabilidad solidaria entre el responsable y sus encargados del tratamiento. Eso obliga a tu cliente a mirar hacia abajo en su cadena, y a pedirte por escrito lo que antes daba por supuesto.

Por el lado de la 21.663, la ANCI pidió formalmente a los prestadores esenciales, mediante el Oficio N.º 203 de 2025, que informen quiénes son sus proveedores, y usa la dependencia de la cadena de suministro como criterio de calificación. Si tu cliente principal es un banco, una eléctrica, una minera o una institución del Estado, la exigencia te alcanza aunque tu empresa nunca aparezca en una nómina.

Durante los primeros doce meses de vigencia de la 21.719, la Agencia solo puede aplicar amonestación escrita a las empresas de menor tamaño. Esa gracia cubre la multa propia, no la exigencia de tus clientes: ellos no tienen el mismo plazo y van a trasladar el requisito antes de diciembre, no después.

Conviene además dimensionar las sanciones sin exagerarlas ni minimizarlas. En la 21.719 van de 5.000 UTM en infracciones leves a 20.000 UTM en gravísimas, con hasta 4% de los ingresos anuales. En la 21.663 van de 5.000 a 40.000 UTM y se duplican cuando el incidente involucra a un operador vital. Son UTM, no UF.

Tres cosas rinden más que cualquier otra en este plazo. La primera es el inventario: qué datos personales maneja la empresa y qué sistemas sostienen la operación. Sin ese mapa no se puede responder ninguna de las dos leyes ni ningún cuestionario.

La segunda es la revisión de contratos, hacia arriba y hacia abajo. Hacia arriba, qué estás firmando con tus clientes; hacia abajo, si tus proveedores están obligados a avisarte a tiempo lo que tú te comprometes a avisar. Esa asimetría es el incumplimiento más común y el más fácil de evitar.

La tercera es el plan de respuesta a incidentes, con la bifurcación de ambas leyes escrita: a quién se notifica, en qué plazo y quién decide. La 21.663 exige alerta temprana en 3 horas desde la detección. Tres horas no alcanzan para averiguar a quién le toca.