Qué exige la Ley 21.719 y a quién le aplica

La Ley 21.719 moderniza la protección de datos personales en Chile, reemplazando el régimen de la Ley 19.628, y entra en vigencia el 1 de diciembre de 2026. Crea además una autoridad con capacidad de fiscalizar y sancionar: la Agencia de Protección de Datos Personales.

Su alcance es más amplio de lo que muchas empresas suponen. No aplica solo a quienes venden a consumidores finales: cualquier organización que trate datos de clientes, trabajadores, postulantes o contactos de proveedores está dentro. En la práctica, eso es casi cualquier empresa formal.

Los dos artículos que mueven el negocio

Artículo 14 quinquies — medidas de seguridad

Obliga a implementar medidas técnicas y organizativas apropiadas, con mención expresa a seudonimización, cifrado, capacidad de restauración y verificación periódica de su eficacia. La carga de probar que esas medidas existen recae sobre tu empresa, no sobre quien reclama.

Artículo 15 bis — encargados del tratamiento

Exige contrato escrito con cada tercero que trate datos por tu cuenta, prohíbe subdelegar sin autorización escrita y establece responsabilidad solidaria. Es la cláusula exacta que un banco, una aseguradora o un operador regulado te va a pedir acreditar antes de seguir trabajando contigo.

La ventana real no es la que parece

Durante los primeros doce meses de vigencia, la Agencia solo puede aplicar amonestación escrita a las empresas de menor tamaño. Leído rápido suena a que hay un año de gracia, y esa lectura es la que genera el retraso más costoso.

Esa gracia cubre la multa propia. No cubre la exigencia contractual: tus clientes grandes no están sujetos al mismo plazo y, como el artículo 15 bis los hace solidariamente responsables por lo que hagan sus encargados, van a trasladarte el requisito antes de diciembre, no después.

Para el resto de las empresas las multas escalan de 5.000 UTM en infracciones leves a 20.000 UTM en gravísimas, con hasta 4% de los ingresos anuales y suspensión de las operaciones de tratamiento por hasta 30 días. Conviene no confundir la UTM con la UF: son unidades distintas y de valor muy distinto.

Por dónde se empieza

El primer paso es un inventario real: qué datos personales maneja la empresa, de quién, para qué y con qué base legal. Sin ese mapa no se puede evaluar nada más, y suele revelar tratamientos que nadie tenía identificados — la planilla de postulantes, el CRM, los grupos de WhatsApp con clientes.

El segundo es revisar los contratos vigentes con cualquier proveedor que procese datos por tu cuenta: hosting, correo, CRM, WhatsApp Business, contabilidad externa. La pregunta concreta es si ya incorporan la cláusula del artículo 15 bis o si hay que renegociarlos, y eso toma meses cuando el proveedor es grande.

El tercero es evaluar si corresponde una evaluación de impacto bajo el artículo 15 ter, que aplica cuando hay datos sensibles o tratamiento a gran escala. Ninguno de los tres pasos se resuelve con una plantilla genérica: dependen de qué datos maneja tu empresa y con quién los comparte.

Cómo se relaciona con la Ley 21.663

Son leyes distintas y se confunden seguido. La 21.719 protege datos personales y su autoridad es la Agencia de Protección de Datos; la 21.663 protege la continuidad de servicios esenciales y su autoridad es la ANCI. Una empresa puede estar sujeta a ambas, a una o a ninguna.

En la práctica se refuerzan: un incidente que compromete un sistema con datos personales puede gatillar obligaciones bajo las dos, con plazos y destinatarios diferentes. Por eso conviene que el plan de respuesta a incidentes contemple ambos caminos desde el principio.

Preguntas frecuentes

¿Le aplica a una empresa que no vende a consumidores finales?

Sí. La ley aplica al tratamiento de datos personales, y los datos de tus propios trabajadores, postulantes y contactos de empresas proveedoras también lo son. Una empresa B2B sin un solo cliente persona natural igualmente está dentro del alcance.

¿Basta con publicar una política de privacidad en el sitio?

No. La política es una pieza de transparencia, pero la ley exige medidas técnicas y organizativas verificables, contratos con los encargados y capacidad de responder a los derechos de los titulares. Una política impecable sobre una operación desordenada no resiste una fiscalización ni una auditoría de cliente.

¿Qué pasa si un proveedor mío incumple?

El artículo 15 bis establece responsabilidad solidaria, así que el incumplimiento de tu encargado puede alcanzarte. Esa es exactamente la razón por la que los clientes grandes están auditando su cadena, y por la que conviene mirar hacia tus propios proveedores antes de comprometerte hacia arriba.